Kripto varlık dolandırıcılığı soruşturması, bir cüzdan adresini blockchain işlem ve cüzdan arama aracına (örnek olarak en temel ve basit araçlar: tronscan, ethscan, bscscan vb.) yazıp ekrandaki okları takip etmekten ibaret değildir. Gerçek bir inceleme; aldatma sürecini, mağdurun para veya kripto varlık teminini, zincir üstü fon hareketlerini, dijital delilleri, cüzdanların fiilî kontrolünü ve suç gelirinin ulaştığı hizmet sağlayıcıları aynı zaman çizelgesinde buluşturur. Blockchain analizi paranın rotasını gösterir; kripto adli bilişim bu rotayı kişi, cihaz, hesap ve olayla ilişkilendirir.

Sorunun büyüklüğü artık münferit vakalarla açıklanamayacak ölçüdedir. FBI’ın yalnız Amerika Birleşik Devletleri’nden gelen bildirimleri kapsayan 2025 IC3 Yıllık Raporu, kripto yatırım dolandırıcılığına ilişkin 61.559 şikâyet ve 7,228 milyar dolar zarar kaydetti. Bu rakamlar küresel toplamı değil, tek ülkede kolluğa bildirilen olayları gösteriyor. Daha çarpıcı olan ise mağdurların önemli bir bölümünün, sahte platformdaki bakiyesini gerçek bir yatırım zannetmeye devam etmesi. ABD Adalet Bakanlığının 2026 tarihli Operation Level Up verilerinde, önceden uyarılan 8.935 kişinin yüzde 77’sinin kendisine ulaşılana kadar dolandırıldığının farkında olmadığı açıklandı.

Teknik Kripto varlık dolandırıcılık soruşturması ve raporu ( Crypto fraud investigation-report ) nedir?

Teknik Kripto varlık dolandırıcılık soruşturması yani uluslararası yaygın terminolojisiyle: Crypto fraud investigation, kripto varlık kullanılarak işlenen dolandırıcılığın oluşumunu, para hareketini, faillerin kullandığı dijital altyapıyı ve suç gelirinin nihai varış noktalarını araştıran disiplinler arası incelemedir. Türkçede “kripto dolandırıcılığı soruşturması” olarak da karşılanabilecek bu çalışma ile onchain analiz ile zincir dışı delilleri birlikte değerlendirmekteyim.

Temelde doğru bir inceleme şu dört ayrı soruya cevap vermeli:

1. Aldatma-hile nasıl kuruldu? Sahte yatırım sitesi, mesajlaşma hesabı, uzaktan erişim yazılımı, kimlik avı bağlantısı veya zararlı akıllı sözleşme belirlenir. (bilindiği üzere Türk hukukunda dolandırıcılık suçunun vücut bulabilmesi için hile unsuru gerekmektedir hatta uygulamada dolandırıcılık suçlarındaki hile unsuru çoğu kez maalesef ki takipsizlik sebebi olarak kullanılmaktadır.)

2. Ekonomik değer nasıl kaybedildi? Banka transferinden kripto varlık alımına, mağdur cüzdanından şüpheli adrese kadar bütün hareketler eşleştirilir.

3. Fonlar nereye gitti? Ara cüzdanlar, toplama adresleri, token takasları, köprüler ve merkezi platform temasları izlenir.

4. Adresler kimlerle ilişkilendirilebilir? Platform müşteri kayıtları, IP verileri, cihaz bilgileri, banka hesapları, telefon numaraları ve ortak dijital altyapı incelenir.

Bu dört sorudan yalnız üçüncüsü doğrudan blockchain analizidir. Diğer üçü olmadan ortaya çıkan grafik, para hareketini gösterebilir; fakat dolandırıcılık fiilini ve fail bağlantısını tek başına ispatlayamaz.

Kripto yatırım dolandırıcılığı gerçekte nasıl işliyor?

Kripto yatırım dolandırıcılığı çoğu zaman ani bir para isteme girişimiyle başlamaz. Fail önce güven üretir, ardından mağduru görünüşte meşru bir platforma yönlendirir. Küçük bir yatırım ve bazen küçük bir çekim işleminden sonra tutar büyütülür. Para çekme aşamasında “vergi”, “teminat”, “doğrulama” veya “likidite” adı altında yeni ödeme talep edilir.

INTERPOL’ün Küresel Finansal Dolandırıcılık Değerlendirmesi, bu yöntemi duygusal yakınlık ile kripto yatırım dolandırıcılığını birleştiren karma bir suç modeli olarak tanımlıyor. INTERPOL, mağduru aşağılayan “pig butchering” ifadesi yerine insan üzerindeki zararı öne çıkaran “romance baiting”, yani duygusal yakınlık yoluyla tuzağa çekme kavramını kullanıyor.

Tipik süreç altı aşamada ilerler:

1. Temas: Fail sosyal medya, arkadaşlık uygulaması, mesajlaşma servisi veya yanlış numara bahanesiyle mağdura ulaşır.

2. Güven: Düzenli iletişim, sahte kimlik, görüntülü görüşme, meslek ve yaşam öyküsü kullanılarak ilişkinin gerçek olduğu izlenimi oluşturulur.

3. Yatırıma hazırlık: Mağdura gerçek bir kripto varlık platformunda hesap açtırılır. Bankadan gelen para burada gerçekten kripto varlığa çevrilir.

4. Sahte platforma aktarım: Mağdur, aldığı kripto varlığı failin kontrolündeki cüzdana gönderir. Sahte internet sitesi aynı tutarı yatırım bakiyesi gibi gösterir.

5. Tutarı büyütme: Arayüzde yapay kâr oluşturulur. Fail kampanya, VIP seviyesi veya sınırlı fırsat söylemiyle yeni para ister.

6. Çekimi engelleme: Mağdur parasını çekmek istediğinde vergi, komisyon, kara para incelemesi, kredi puanı veya cüzdan doğrulaması bahanesiyle ek ödeme talep edilir.

Sahte platformdaki sayı, bir kripto varlık bakiyesi değildir. Çoğu vakada mağdurun gerçek varlığı ilk transferle birlikte failin kontrolüne geçmiştir. İnternet sitesindeki “işlemler” ise veri tabanına yazılmış rakamlardan veya bütünüyle kurgulanmış bir arayüzden ibarettir.

ABD’de 2025 yılında açılan bir el koyma dosyasında FBI, mağdurların başlangıçta küçük tutarları çekebildiğini, bu deneyimden sonra daha yüksek yatırım seviyelerine yönlendirildiğini ve bazı mağdurların kolluk kendilerine ulaşıncaya kadar dolandırıcılığı fark etmediğini ortaya koydu. Aynı soruşturmada mağdurların sağladığı yatırma adreslerinden geriye doğru yapılan analizle başka mağdurlar da tespit edildi.

Her kripto dolandırıcılığı aynı teknik izi mi bırakır?

Hayır. Sahte yatırım platformu, hesap ele geçirme, token yetkisi istismarı, adres zehirleme ve proje dolandırıcılığı farklı işlem örüntüleri üretir. İnceleme yöntemi suç anlatımına göre seçilmelidir. Yanlış tipolojiyle başlayan analiz, doğru işlemleri bulsa bile olayın nasıl gerçekleştiğini yanlış açıklayabilir.

Bir kripto varlığın kullanılmış olması, bütün olayları aynı suç tipine dönüştürmez. Dolandırıcılık, hırsızlık, bilişim sistemine girme, verileri bozma, güveni kötüye kullanma, piyasa suistimali ve suç gelirini aklama ihtimalleri olayın icra biçimine göre ayrı ayrı değerlendirilmelidir.

İnceleme hangi işlemden başlamalıdır?

İnceleme, mağdurun hatırladığı son cüzdandan değil, doğrulanabilen ilk ekonomik hareketten başlamalıdır. Banka çıkışı, kripto varlık alımı, platformdan çekim, kişisel cüzdana giriş ve fail adresine transfer tek zaman çizelgesine yerleştirilmelidir. Böylece gerçek zarar işlemi ile hazırlık işlemleri birbirinden ayrılır.

İlk aşamada şu veriler toplanır:

• Banka dekontları ve hesap hareketleri

• Kripto varlık platformu emir ve işlem geçmişi

• Platform yatırma ve çekme kayıtları

• İşlem kimliği veya transaction hash

• Kullanılan blockchain ağı

• Gönderen ve alıcı adresler

• Kripto varlığın tam adı ve sözleşme adresi

• Miktar ve işlem ücreti

• İşlemin blok numarası ve UTC zamanı

• Mesajlaşma kayıtları

• E-posta iletilerinin tam başlıkları

• Telefon numaraları ve kullanıcı adları

• İnternet sitesi ve yönlendirme adresleri

• İndirilen uygulama veya APK dosyaları

• Uzaktan erişim yazılımı kayıtları

• Cüzdan bağlantı ve imza geçmişi

• Failin gönderdiği ödeme talimatları

• Sahte panelde gösterilen bakiye ve işlemler

Mağdurun “USDT gönderdim” demesi teknik teşhis için yeterli değildir. USDT; Ethereum, TRON ve başka ağlarda çalışabilir. Aynı sembolü kullanan sahte tokenler de bulunabilir. Ağ ve token sözleşme adresi doğrulanmadan yapılan takip, daha başlangıçta farklı bir varlığın izlenmesine yol açabilir.

Blockchain üzerinde fon takibi nasıl yapılır?

Fon takibi, başlangıç işleminin doğrulanması ve sonraki hareketlerin işlem işlem sınıflandırılmasıyla yapılır. Analist; doğrudan transferleri, token takaslarını, akıllı sözleşme çağrılarını, zincirler arası geçişleri, toplama cüzdanlarını ve hizmet sağlayıcı temaslarını ayırır. Her ok aynı delil kuvvetine sahip değildir.

Önce başlangıç işlemi normalize edilir. Raporda en az şu alanlar bulunmalıdır:

• Blockchain ağı

• İşlem kimliği

• Blok yüksekliği

• Blok özeti

• UTC zaman damgası

• İşlemi başlatan adres

• Görünen hedef adres

• Aktarılan ana varlık

• Token sözleşme adresi

• Ham token miktarı

• Ondalık basamak uygulanmış gerçek miktar

• İşlem ücreti

• İşlem durumu

• İlgili olay kayıtları

• İç sözleşme çağrıları

Ethereum ve benzeri hesap tabanlı ağlarda görünen toalanı, ekonomik değerin nihai alıcısını her zaman göstermez. İşlem bir akıllı sözleşmeyi çağırabilir; sözleşme de varlığı başka sözleşmelere ve adreslere aktarabilir. ERC-20 standardındaki Transferve Approvalolayları, token hareketi ile harcama yetkisinin birbirinden ayrılmasını sağlar.

Bitcoin ise harcanmamış işlem çıktıları, yani UTXO modeliyle çalışır. Bir Bitcoin işlemi bir veya daha fazla önceki çıktıyı harcar ve çoğu zaman alıcı çıktısının yanında para üstü çıktısı üretir. Para üstü adresini failin yeni alıcısı sanmak, bütün fon akışını yanlış kola taşıyabilir. Ortak girdi sahipliği gibi kümeleme yöntemleri de CoinJoin benzeri ortak işlem yapılarında güvenilirliğini kaybedebilir.

Teknik rapor bu nedenle yalnız “A adresinden B adresine para gönderildi” diline dayanmaz. Hangi ağ modelinin kullanıldığı, ekonomik hareketin hangi kayıt üzerinden doğrulandığı ve yapılan çıkarımın sınırı ayrıca açıklanır.

İleri takip ve geriye doğru takip arasındaki fark nedir?

İleri takip, mağdurun transferinden başlayarak suç gelirinin nereye gittiğini araştırır. Geriye doğru takip ise bir toplama veya hedef cüzdanına gelen önceki fonların kaynaklarını inceler. İleri takip nakde çıkış noktasını bulabilir; geriye doğru takip başka mağdurları ve ortak suç altyapısını ortaya çıkarabilir.

ABD Adalet Bakanlığına sunulan bir el koyma başvurusu, kripto yatırım dolandırıcılığında sık rastlanan yapıyı ayrıntılı biçimde gösteriyor: Mağdura yalnız o olayda kullanılan geçici bir yatırma adresi veriliyor; varlık kısa süre sonra başka mağdurların fonlarının birleştiği toplama cüzdanına aktarılıyor; ardından ikinci toplama katmanına, başka varlıklara veya platform hesaplarına yönlendiriliyor.

Aynı dosyada soruşturmacılar, belirlenen toplama cüzdanından geriye doğru iz sürerek başka kaynak adreslerini tespit etti. Bu adreslerin bilinen platformlardan fonlandığı görüldü. Platformlara yöneltilen hukuki talepler sonucunda henüz şikâyetçi olmamış veya dolandırıldığını fark etmemiş kişiler belirlendi.

Bu yaklaşım üç nedenle değerlidir:

• Tek bir şikâyeti daha geniş bir suç ağına bağlar.

• Farklı internet sitelerinin aynı toplama altyapısını kullandığını gösterebilir.

• Mağdur anlatımlarını birbirinden bağımsız işlem kayıtlarıyla karşılaştırır.

Bununla birlikte bir toplama cüzdanına para gönderen herkes mağdur, aynı cüzdandan para alan herkes fail değildir. Ticari ödemeler, borsa işlemleri, likidite hareketleri ve başka kaynaklar aynı cüzdanda birleşebilir. Her bağlantı kendi bağlamında sınanmalıdır.

Karışan fonlar nasıl birbirinden ayrılır?

Fonların aynı cüzdanda veya likidite havuzunda birleşmesi, takibi otomatik olarak imkânsız hâle getirmez; fakat “aynı coin birimi” anlatımını zayıflatır. Analist, doğrudan izlenebilir hareket ile seçilen tahsis yöntemini ayırmalı ve hangi varsayımla hangi tutara ulaştığını açıkça göstermelidir.

Bir cüzdanda farklı kaynaklardan gelen misli varlıklar birleştiğinde çeşitli muhasebesel iz sürme yöntemleri kullanılabilir. İlk giren ilk çıkar, son giren ilk çıkar, oransal dağılım ve en düşük ara bakiye yaklaşımı aynı olayda farklı sonuçlar üretebilir. Hangi yöntemin hukuken ve teknik olarak uygun olduğu olayın özelliklerine göre değerlendirilir.

Raporun yalnız sonuç tutarını yazması yeterli değildir. Şu sorular da cevaplanmalıdır:

• Hangi girişler mağdur fonu kabul edildi?

• Hangi ara işlemlerde fonlar birleşti?

• Seçilen iz sürme yöntemi neden kullanıldı?

• Aynı miktar birden fazla işlem kolunda sayıldı mı?

• Mağdura dönen tutarlar düşüldü mü?

• İşlem ücretleri zarar hesabına nasıl yansıtıldı?

• Değerleme hangi tarih ve fiyat kaynağıyla yapıldı?

Grafikte aynı kaybı iki farklı kola yazarak toplam zararı büyütmek sık karşılaşılan bir raporlama hatasıdır. Teknik olarak etkileyici görünen grafik, miktar mutabakatı yapılmadığında güvenilirliğini kaybeder.

Cüzdan adresi gerçek kişiye nasıl bağlanır?

Bir cüzdan adresi, sahibinin adını üzerinde taşımaz. Kişi bağlantısı; hizmet sağlayıcı kayıtları, cihaz incelemesi, banka hareketleri, IP bilgileri, dijital imza veya birbirini destekleyen bağımsız delillerle kurulur. Analiz yazılımındaki etiket başlangıç noktasıdır; tek başına kesin kimlik tespiti değildir.

İlişkilendirme dört delil seviyesinde ele alınabilir:

1. Zincir üstü olgu

Belirli bir işlem kimliği, adres, miktar ve blok kaydı doğrudan doğrulanabilir. Bu katman, işlemin gerçekleştiğini gösterir.

2. Analitik ilişki

Ortak fonlama, aynı gaz cüzdanı, eş zamanlı hareket, para üstü davranışı veya ortak toplama adresi cüzdanlar arasında ilişki ihtimali oluşturabilir. Bu bulgular sezgiseldir; yöntem belirtilmeden kesin sahiplik sonucuna dönüştürülemez.

3. Hizmet sağlayıcı ilişkilendirmesi

Adresin bir kripto varlık platformuna, köprüye, ödeme işlemcisine veya saklama kuruluşuna ait olduğuna dair kurumsal ya da teknik veriler bulunabilir. Hizmetin belirlenmesi, ilgili müşteri hesabının da belirlendiği anlamına gelmez.

4. Kişi veya organizasyon ilişkilendirmesi

Platformun müşteri tanıma kayıtları, oturum IP’leri, cihaz tanımlayıcıları, para çekme adresleri, telefon ve e-posta bilgileri kişi bağlantısını destekleyebilir. Ele geçirilen cihazdaki cüzdan dosyası veya özel anahtarla yapılan doğrulama daha doğrudan bir kontrol delili sağlayabilir.

ABD’deki bir başka federal soruşturmada müfettişler, hedef cüzdana giren fonları geriye doğru takip ederek bir kripto varlık platformundaki kaynak hesaplara ulaştı. Platformdan hukuki süreçle alınan abone kayıtları, kaynak hesapların başka dolandırıcılık mağdurlarına ait olduğunu gösterdi. Bu örnek, platform kaydının yalnız şüpheliyi değil, zincirin önceki mağdurlarını da ortaya çıkarabileceğini gösteriyor.

Kripto adresi ile gerçek kişi arasında kurulacak bağın dili delilin gücüne göre seçilmelidir: “doğrulanmıştır”, “kuvvetle desteklenmektedir”, “uyumludur” veya “olasılık dâhilindedir.” Bu dereceler birbirinin yerine kullanılamaz.

Kripto dolandırıcılığı hangi zincir üstü göstergelerle tespit edilir?

Kripto dolandırıcılığı tek bir şüpheli işlemle teşhis edilmez. Tespit; işlem hızı, adreslerin kullanım ömrü, fonların birleşme biçimi, varlık dönüşümleri, müşteri profili ve zincir dışı davranışların birlikte değerlendirilmesine dayanır. Kırmızı bayrak, suçun kanıtı değil, ayrıntılı inceleme sebebidir.

FATF’ın yüzü aşkın vakadan hareketle hazırladığı Sanal Varlıklarda Kırmızı Bayrak Göstergeleri şu temel risk kümelerine dikkat çekiyor:

• Ekonomik amacı açıklanamayan işlem örüntüleri

• Müşteri profiliyle uyumsuz büyüklük ve sıklık

• Anonimliği artıran hizmetlerin kullanılması

• Yüksek riskli coğrafyalar

• Gönderici veya alıcının olağan dışı davranışı

• Fon ve servet kaynağındaki tutarsızlıklar

Kripto yatırım dolandırıcılığı dosyalarında ayrıca şu örüntüler görülür:

• Yeni açılan hesabın kısa sürede yüksek tutarla fonlanması

• Bakiyenin tamamının aynı gün veya ertesi gün dışarı çıkarılması

• Mağdura özel, kısa ömürlü yatırma adresleri

• Fonun dakikalar içinde başka adrese aktarılması

• Çok sayıda mağdur ödemesinin tek cüzdanda toplanması

• Farklı varlıkların belirli bir stabil kripto varlığa çevrilmesi

• Toplama cüzdanından eşit veya yuvarlak tutarlı dağıtımlar

• Aracı adreslere yalnız işlem ücreti sağlayan ortak bir cüzdan

• Birden çok sahte sitenin aynı toplama adresini kullanması

• Köprü veya anlık takas hizmetleri üzerinden hızlı zincir değiştirme

• Platforma yatırılan fonun ticari işlem yapılmadan çekilmesi

• Uzun süre hareketsiz kalan adresin toplu transfer için yeniden kullanılması

• İlk ödemenin küçük bir bölümünün mağdura geri gönderilmesi

• Para çekme talebinden hemen sonra yeni ücret adresi bildirilmesi

Bu göstergelerden biri tek başına dolandırıcılık sonucu doğurmaz. Örneğin profesyonel bir saklama hizmeti de çok sayıda kullanıcı fonunu tek cüzdanda birleştirebilir. Belirleyici olan; işlem örüntüsünün mağdur anlatımı, sahte platform ve diğer delillerle aynı olayı işaret etmesidir.

Merkeziyetsiz borsa, köprü ve karıştırıcılar izi yok eder mi?

Merkeziyetsiz borsa, zincirler arası köprü ve karıştırıcı kullanımı incelemeyi zorlaştırır; ancak her durumda izi ortadan kaldırmaz. Takip, basit adres zincirinden işlem olaylarının, miktarların, zamanlamanın ve protokol yapısının birlikte analiz edildiği daha ileri bir yönteme dönüşür.

Merkeziyetsiz borsada varlık bir likidite havuzuna girip başka bir token olarak çıkabilir. Analist; işlem girdisini, sözleşme çağrısını, havuzu, minimum çıkış miktarını, alıcı adresini ve olay kayıtlarını birlikte çözümler. “Borsaya girdi, iz kayboldu” ifadesi teknik olarak yetersizdir.

Köprü kullanımında kaynak zincirde kilitlenen veya yakılan varlık ile hedef zincirde serbest bırakılan ya da basılan varlık eşleştirilir. Mesaj kimliği, hedef adres, tutar, zaman aralığı ve köprünün çalışma modeli bu eşleştirmenin temelidir. Aracı hizmet veya toplu ödeme kullanan köprülerde bire bir bağ daha zayıf olabilir.

Karıştırıcı işlemleri, giriş ile çıkış arasında açık ilişki kurmayı özellikle güçleştirir. Havuz yapısı, bekleme süresi, tutar standardizasyonu ve sonraki harcama davranışı incelenebilir; ancak olasılıklı bir sonuç kesin transfer anlatımıyla yazılmamalıdır.

Gizlilik odaklı ağlar ve zincir dışı takaslar görünürlüğü daha fazla sınırlar. Yine de giriş ve çıkış platformları, cihaz verileri, iletişim kayıtları, işlem ücretinin kaynağı ve hata sonucu oluşan tekrar kullanımlar yeni temas noktaları sağlayabilir.

Elliptic’in 2025 zincirler arası suç araştırması, suç gelirlerinin farklı varlıklar ve ağlar arasında taşınmasının artık istisnai bir yöntem olmadığını gösteriyor. Bu nedenle tek zinciri inceleyip “fonlar kayboldu” sonucuna varan rapor, güncel dolandırıcılık altyapısını yakalamakta yetersiz kalabilir.

Akıllı sözleşme dolandırıcılığı nasıl incelenir?

Akıllı sözleşme incelemesi, kullanıcının ne imzaladığı ile zincir üzerinde hangi yetkinin doğduğunu karşılaştırır. Doğrudan transfer, token harcama onayı, çevrim dışı imza, operatör yetkisi ve merkeziyetsiz uygulama emri farklı hukuki ve teknik sonuçlar doğurur.

Bir mağdurun cüzdanı boşaltıldığında yalnız son Transferkaydına bakmak yeterli değildir. Şu sorular cevaplanmalıdır:

• Mağdur daha önce hangi sözleşmeye bağlandı?

• approveişlemiyle hangi adrese ne kadar yetki verildi?

• Sınırsız harcama yetkisi tanındı mı?

• permitveya başka imza tabanlı bir yetki kullanıldı mı?

• Varlığı çeken adres ile yetki verilen adres aynı mı?

• Sözleşme yükseltilebilir mi?

• Yönetici anahtarı hangi cüzdanda?

• İşlemin ücretini kim ödedi?

• Aynı sözleşme başka mağdurları da etkiledi mi?

• Varlıklar hangi toplama cüzdanında birleşti?

Onay oltalamasında mağdur işlemi imzalamış olabilir; fakat imzalanan şeyin görünürdeki amacı ile teknik sonucu farklı olabilir. Bu ayrım “işlemi mağdur onayladı, dolandırıcılık yoktur” şeklindeki yüzeysel değerlendirmeyi geçersiz kılar. İnceleme, imza ekranını, internet sitesini, sözleşme kodunu ve sonraki yetki kullanımını birlikte ele almalıdır.

Dijital deliller nasıl korunmalıdır?

Kripto dolandırıcılığı dosyasındaki deliller değişebilir, silinebilir veya erişilemez hâle gelebilir. Bu nedenle ekran görüntüsü almakla yetinilmemeli; ham veriler, dosya bütünlük değerleri, toplama yöntemi, kullanılan araç ve erişim zamanı kaydedilmelidir. İnceleme orijinal kopya yerine çalışma kopyası üzerinde yürütülmelidir.

NIST’in Dijital Delillerin Korunması Rehberi, dijital dosyaların kolayca değişebildiğini ve kaynağın, toplama yönteminin, erişim geçmişinin ve kriptografik özet değerlerinin belgelenmesi gerektiğini vurguluyor. Scientific Working Group on Digital Evidence tarafından yayımlanan 2025 Dijital Delil Toplama İlkeleri de delil zincirinin toplamayla eş zamanlı oluşturulmasını öneriyor.

Kripto adli bilişim çalışmasında şu kayıtlar tutulmalıdır:

• Veriyi toplayan kişi

• Toplama tarihi, saati ve saat dilimi

• Verinin alındığı kaynak

• Kullanılan düğüm, API veya blokchain izleme aracı

• Yazılımın adı ve sürümü

• Uygulanan sorgu ve filtreler

• İndirilen dosyanın özgün adı

• Dosya biçimi ve boyutu

• Kriptografik özet değeri

• Oluşturulan çalışma kopyaları

• Veriye erişen kişiler

• Yapılan dönüşüm ve görselleştirmeler

• Karşılaşılan hata veya eksiklikler

Blockchain transfer izleme araçlarındaki ekran görüntüsü tek başına yeterli değildir. Arayüz değişebilir, adres etiketleri güncellenebilir ve token görselleri kaldırılabilir. İşlem kimliği, blok yüksekliği, blok özeti, sözleşme olayları ve mümkünse ham düğüm yanıtı da korunmalıdır.

Araç çıktısı ile blockchain verisi aynı şey değildir. Blockchain verisi temel kayıttır; yazılımın oluşturduğu adres kümesi, risk etiketi ve fon grafiği analitik yorumdur. Rapor bu iki katmanı birbirine karıştırmamalıdır.

Türkiye’de kripto dolandırıcılığına karşı hangi tedbirler uygulanabilir?

Türkiye’de kripto dolandırıcılığı soruşturmaları bakımından en dikkat çekici güncel düzenleme, 7571 sayılı Kanun ile Ceza Muhakemesi Kanunu’na eklenen m.128/A’dır. Madde, belirli bilişim ve dolandırıcılık suçlarında banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısı nezdindeki hesabın 48 saate kadar askıya alınmasına imkân tanır.

Ceza Muhakemesi Kanunu m.128/A; Türk Ceza Kanunu m.142/2-e, m.158/1-f ve m.158/1-l ile m.245 kapsamındaki suçların işlendiğine dair makul şüphe bulunması hâlinde uygulanabilir. İlgili mali kurum, suçta kullanılan hesabı 48 saate kadar askıya alabilir. Askıya alma işlemi ve hesap hareketleri bütün bilgi ve belgelerle birlikte derhâl Cumhuriyet başsavcılığına bildirilir.

Düzenlemenin dosya yönetimi bakımından önemli sonuçları şunlardır:

• Hesap sahibi askıya alma kararının kaldırılması için Cumhuriyet başsavcılığına başvurabilir.

• Cumhuriyet savcısı bu başvuru hakkında 24 saat içinde karar verir.

• Menfaatin başka bir mali kuruma aktarıldığı belirlenirse ilk kurum, ikinci kuruma gecikmeksizin bildirim yapar.

• Askıya alınan menfaate hâkim kararıyla veya gecikmesinde sakınca bulunan hâllerde Cumhuriyet savcısının yazılı emriyle elkonulabilir.

• Savcılık emri 24 saat içinde hâkim onayına sunulur.

• Hâkim kararını elkoymadan itibaren 48 saat içinde açıklar; aksi hâlde elkoyma kalkar.

• CMK m.128/A kapsamındaki elkoymada CMK m.128’deki rapor şartı aranmaz.

• Menfaatin mağdura ait olduğu anlaşılırsa soruşturma veya kovuşturma sırasında sahibine iade edilebilir.

• Savcı, hâkim veya mahkemenin istediği bilgi ve belgeler mali kurum tarafından 10 gün içinde gönderilmelidir.

Bu hükümler, mağdurun platforma yaptığı her bildirim üzerine hesabın kendiliğinden dondurulacağı anlamına gelmez. Makul şüpheyi oluşturan bilgi ve belgelerin hızlı, anlaşılır ve işlem bazında sunulması gerekir. İşlem kimliklerini içermeyen genel bir şikâyet, fonun ulaştığı hesabın zamanında belirlenmesini güçleştirir.

6362 sayılı Sermaye Piyasası Kanunu m.99/B/7 uyarınca müşterilere ait nakit ve kripto varlıklar hakkındaki tedbir, haciz ve benzeri idari veya adli talepleri kripto varlık hizmet sağlayıcıları yerine getirir. Adli makamlarca elkonulan kripto varlıkların yetkilendirilmiş saklama hizmeti sağlayan kuruluş nezdindeki cüzdanlarda korunması için gereken işlemleri adli makamlar tesis eder.

MASAK’ın 30 Eylül 2025 tarihli Kripto Varlık Hizmet Sağlayıcılar Rehberi, müşterinin tanınması, seyahat kuralı, transfer sınırlamaları, bilgi-belge verme ve şüpheli işlem bildirimi yükümlülüklerini birlikte ele alıyor. Bu kayıtlar, zincir üstü adres ile platform müşterisi arasındaki bağın kurulmasında belirleyici olabilir.

Çalınan veya dolandırıcılıkla alınan kripto varlık geri getirilebilir mi?

Kripto varlığın geri alınması mümkündür; fakat blockchain analizi tek başına geri dönüş garantisi vermez. Sonuç, varlığın bulunduğu yer, hizmet sağlayıcının yetkisi, tokenin teknik özellikleri, özel anahtar kontrolü, uygulanabilir hukuk ve müdahale hızına bağlıdır. Analist fonu izler; el koyma yetkisini kullanmaz.

Dört temel senaryo vardır:

Fon merkezi bir platformdaysa

Platform hesabının belirlenmesi, müşteri ve oturum kayıtlarına ulaşılması ve hukuki tedbir uygulanması mümkün olabilir. Ancak platformun yabancı ülkede bulunması, uluslararası adli yardımlaşma ve veri saklama süreleri süreci etkileyebilir.

Fon dondurulabilir bir stabil kripto varlıktaysa

Bazı token ihraççıları teknik olarak belirli adresleri kısıtlayabilir. Bu yetkinin kullanılması hukuki süreç, kurum politikası ve somut delile bağlıdır. Her stabil kripto varlıkta aynı teknik yetki bulunmaz.

Fon kişisel cüzdandaysa

Blockchain bakiyeyi gösterebilir; ancak özel anahtar olmadan varlık hareket ettirilemez. Yetkili makamın cihaza, anahtara veya kurtarma materyaline ulaşması gerekebilir. UNODC’nin sanal varlıkların el konulmasına ilişkin çalışmaları da hukuki karar kadar fiilî kontrolün sağlanmasının önemine dikkat çekiyor.

Fon çoklu zincir, karıştırıcı veya gizlilik aracı kullandıysa

Takip zorlaşır ve sonuçların kesinlik seviyesi düşebilir. Buna rağmen önceki ve sonraki platform temasları, işlem ücreti kaynakları, zamanlama ve zincir dışı deliller yeni müdahale noktaları yaratabilir.

ABD Adalet Bakanlığı ve Secret Service tarafından 2025’te açılan bir dosyada, yüz binlerce işlemden oluşan aklama ağına bağlı 225,3 milyon dolarlık kripto varlık için el koyma süreci başlatıldı. Soruşturmada 400’den fazla muhtemel mağdur belirlendi. Bu örnek, karmaşık akışlarda kurtarmanın imkânsız olmadığını; ancak sonucun blockchain analizi, mağdur bildirimleri, hizmet sağlayıcı iş birliği ve hukuki tedbirin birleşmesine bağlı olduğunu gösteriyor. Dosyaya ilişkin resmî açıklama, yalnız zincir üstü verinin değil, “diğer soruşturma yöntemlerinin” de kullanıldığını özellikle belirtiyor.

Kripto adli bilişim raporu nasıl hazırlanmalıdır?

Nitelikli bir kripto adli bilişim raporu, renkli bir fon grafiğinden daha fazlasıdır. Rapor; inceleme sorusunu, veri kaynağını, yöntemi, bulguyu, varsayımı ve sınırlılığı birbirinden ayırmalıdır. Bağımsız bir incelemeci aynı verilerle süreci yeniden kurabilmelidir.

Raporun temel bölümleri şunlar olmalıdır:

1. Görevlendirme ve inceleme soruları

2. Olayın kısa ve tarafsız özeti

3. İncelenen materyaller

4. Blockchain ağı ve varlık bilgileri

5. Kullanılan araçlar ve sürümleri

6. Veri toplama ve doğrulama yöntemi

7. Bütünlük ve delil zinciri kayıtları

8. Birleşik olay zaman çizelgesi

9. Başlangıç işlemlerinin doğrulanması

10. İleri yönlü fon takibi

11. Geriye doğru kaynak ve mağdur analizi

12. Adres kümeleri ve ilişkilendirme dayanakları

13. Platform, köprü ve hizmet sağlayıcı temasları

14. Akıllı sözleşme ve token yetkisi incelemesi

15. Zarar ve varlık mutabakatı

16. Güven düzeyleri

17. Teknik sınırlılıklar

18. Sonuç ve cevaplar

19. Ham veri ve işlem tabloları

20. Fon akış görselleri

Rapor üç farklı cümle türünü açıkça ayırmalıdır:

• Olgu: “X işlem kimliğine sahip işlem, Y blok yüksekliğinde doğrulanmıştır.”

• Analitik çıkarım: “Adreslerin aynı toplama cüzdanını kullanması, ortak altyapı ihtimalini desteklemektedir.”

• Hukuki değerlendirmeye esas kanaat: “İşlem örüntüsü mağdur anlatımıyla birlikte değerlendirildiğinde, varlıkların sahte yatırım platformu aracılığıyla toplandığı yönünde bulgu oluşturmaktadır.”

“Adres suçludur”, “bu cüzdan aklama yapmıştır” veya “borsa faildir” gibi ifadeler teknik raporda kullanılmamalıdır. Adres bir tanımlayıcıdır; suçun faili değildir. Aklama sonucuna ulaşmak için suç geliri, hareketlerin amacı ve kast bakımından hukuki değerlendirme gerekir.

Hatalı blockchain analizleri neden dosyaya zarar verir?

Hatalı blockchain analizi yalnız teknik bir kusur yaratmaz; yanlış kişiye yönelmeye, tedbir talebinin reddine veya gerçek müdahale noktasının kaçırılmasına neden olabilir. En tehlikeli hata, olasılıklı bir ilişkiyi kesin kimlik bilgisi gibi sunmaktır.

Sık karşılaşılan hatalar şunlardır:

• Yanlış blockchain ağını incelemek

• Token sembolünü sözleşme adresi sanmak

• Token ondalık basamağını yanlış uygulamak

• Başarısız işlemi gerçekleşmiş transfer saymak

• Akıllı sözleşmenin olay kayıtlarını incelememek

• İç sözleşme çağrılarını gözden kaçırmak

• Bitcoin para üstü çıktısını alıcı kabul etmek

• CoinJoin işleminde sıradan kümeleme yöntemi kullanmak

• Platform sıcak cüzdanını müşteri cüzdanı sanmak

• Platform etiketini kişi kimliği gibi yazmak

• Aynı fonu iki işlem kolunda tekrar saymak

• İşlem ücretini zarar tutarıyla karıştırmak

• UTC zamanı yerel saat gibi göstermek

• Araç sürümünü ve sorgu tarihini kaydetmemek

• Değişebilir bir blockchain trace ekranını tek delil yapmak

• Fon grafiği sunup işlem tablosu vermemek

• Karışan fonlarda kullanılan tahsis yöntemini açıklamamak

• Teknik bulgudan doğrudan suç ve fail sonucu çıkarmak

En uzun rapor en iyi rapor değildir. İyi rapor, hangi sonuca hangi veriyle ulaştığını ve nerede kesin konuşamayacağını bilen rapordur.

Mağdur ilk saatlerde ne yapmalıdır?

Mağdur kalan varlığı korumalı, delilleri sabitlemeli, ilgili banka ve kripto varlık hizmet sağlayıcısına işlem bilgileriyle bildirim yapmalı ve adli mercilere gecikmeden başvurmalıdır. Telefonu sıfırlamak, yazışmaları silmek veya “parayı kurtaracağını” söyleyen kişilere yeni ödeme yapmak dosyayı ve zararı büyütebilir.

Uygulanabilecek ilk adımlar şunlardır:

1. Şüpheli kişiyle yeni ödeme pazarlığına girmeyin.

2. Kurtarma kelimesi veya özel anahtarı kimseyle paylaşmayın.

3. Şüpheli bağlantıya yeniden girmeyin.

4. Ele geçirilmiş olabilecek cihazda yeni işlem yapmayın.

5. İşlem kimliklerini ve cüzdan adreslerini ayrı dosyada kaydedin.

6. Yazışmaları uygulamanın dışa aktarma özelliğiyle koruyun.

7. E-postaların tam başlıklarını saklayın.

8. Banka ve platform kayıtlarını indirin.

9. İnternet sitesi ve uygulama bilgilerini kaydedin.

10. Cihazı sıfırlamayın ve uzaktan erişim kayıtlarını silmeyin.

11. Fonun ulaştığı platforma olay ve işlem bilgileriyle bildirim yapın.

12. Cumhuriyet başsavcılığına veya kolluk birimlerine başvurun.

13. Sonradan yapılan her arama ve ödeme talebini ayrı delil olarak koruyun.

Kurtarma kelimesi açığa çıktıysa cüzdan güvenli kabul edilmemelidir. Kalan varlıkların temiz bir cihazda oluşturulan yeni cüzdana taşınması değerlendirilebilir; ancak önce mevcut durum kayıt altına alınmalıdır. Zararlı yazılım taşıdığı düşünülen cihazda yeni cüzdan oluşturulmamalıdır.

FBI, kripto dolandırıcılığı mağdurlarını hedefleyen sahte hukuk büroları ve kurtarma şirketleri hakkında ayrıca uyarı yayımladı. Bu kişiler, paranın bulunduğunu söyleyerek vergi, dosya masrafı veya kilit açma bedeli ister. Kolluk adına ücret talep edilmesi, özel anahtar istenmesi ve garanti verilmesi kuvvetli dolandırıcılık göstergeleridir.

Kripto dolandırıcılığı soruşturmalarında sık sorulan sorular

Cüzdan adresinden failin adı bulunabilir mi?

Cüzdan adresi tek başına isim vermez. Adresin platform hesabına ulaşması hâlinde müşteri tanıma, IP, cihaz ve çekim kayıtları talep edilebilir. Kişi bağlantısı, platform etiketiyle değil, bağımsız delillerin birlikte değerlendirilmesiyle kurulmalıdır.

Transaction hash dolandırıcılığı kanıtlar mı?

İşlem kimliği, belirli bir işlemin zincirde gerçekleştiğini kanıtlamaya yarar. İşlemin dolandırıcılık sonucu yapıldığını, cüzdanı kimin kontrol ettiğini veya failin kastını tek başına göstermez. Yazışma, sahte platform ve hesap kayıtlarıyla birlikte değerlendirilmelidir.

Sahte platformda görünen bakiye geri alınabilir mi?

Ekrandaki bakiye gerçek bir blockchain varlığına dayanmıyorsa geri alınabilecek ayrı bir kripto bakiye bulunmaz. İnceleme, mağdurun gerçekten gönderdiği varlığı ve bu varlığın sonraki hareketlerini esas alır.

Para merkeziyetsiz borsada takas edilirse takip biter mi?

Hayır. Takasın sözleşme çağrıları, giriş ve çıkış tokenleri, havuz ve alıcı adresi incelenebilir. Fonların karışması veya çoklu yönlendirme, takip sonucunun kesinlik düzeyini etkileyebilir.

Cüzdan boşaltılmışsa rapor hazırlamanın anlamı var mı?

Evet. Boş cüzdanın işlem geçmişi, toplama adreslerini, başka mağdurları ve platform temaslarını gösterebilir. Mevcut bakiye bulunmaması, geçmiş fon akışını ortadan kaldırmaz.

Ekran görüntüsü teknik rapor için yeterli midir?

Hayır. Ekran görüntüsü destekleyici delildir. İşlem kimliği, ağ, blok bilgisi, token sözleşmesi, ham veri ve bütünlük kayıtları da korunmalıdır.

Blockchain işlemleri anonim midir?

Çoğu açık blockchain işlemi anonim değil, takma adlıdır. Adres herkese görünür; gerçek kişi bağlantısı doğrudan görünmez. Platform kayıtları ve zincir dışı deliller bu bağlantıyı kurabilir.

Karıştırıcı kullanan fon kesin olarak bulunabilir mi?

Her durumda kesin bağ kurulamaz. Karıştırıcı yapısı giriş ve çıkış ilişkisini zayıflatır. Zaman, tutar, havuz, sonraki harcama ve platform temasları incelenebilir; sonuç uygun güven derecesiyle yazılmalıdır.

Teknik uzman raporu parayı dondurur mu?

Hayır. Teknik rapor fon akışını ve müdahale noktalarını ortaya koyar. Askıya alma, elkoyma ve bilgi isteme işlemlerini kanunda yetkilendirilen mali kurumlar ve adli merciler yürütür.

Şikâyet için raporun tamamlanmasını beklemek gerekir mi?

Hayır. Fon hareket etmeye devam ediyorsa adli ve kurumsal bildirim geciktirilmemelidir. Teknik rapor ilk başvuruyla birlikte veya daha sonra dosyaya sunulabilir.

Bir kripto dolandırıcılığı dosyasını gerçekten ne çözer?

Kripto dolandırıcılığı dosyasını tek başına blockchain, analiz yazılımı veya hukuk bilgisi çözmez. Sonuç; mağdur anlatımının doğrulanması, dijital delilin korunması, fonların iki yönde izlenmesi, ortak suç altyapısının tespiti ve zincir üstü adreslerin platform kayıtlarıyla kişilere bağlanması sayesinde elde edilir.

Uluslararası soruşturmaların ortak başarısı da burada yatıyor. INTERPOL koordinasyonundaki HAECHI VI operasyonunda 40 ülke ve bölge birlikte çalıştı; 68 binden fazla banka hesabı bloke edildi, yaklaşık 400 kripto cüzdanı donduruldu ve 97 milyon dolarlık fiziki veya sanal varlık geri kazanıldı. Bu sonuç yalnız “blockchain şeffaftır” denilerek alınmadı. Mağdur bildirimleri, finansal istihbarat, dijital inceleme, hizmet sağlayıcı verileri ve hızlı uluslararası koordinasyon aynı dosya mimarisinde birleştirildi.

Kripto varlıkların sınır aşması saniyeler sürebilir; hukuki süreç ise doğru adrese, doğru ağa ve doğru hizmet sağlayıcıya yöneltilmediğinde daha ilk yazışmada zaman kaybeder. Bu nedenle mağdurun atacağı en değerli ilk adım, genel bir “param çalındı” anlatısı sunmak değil; işlem kimliklerini, kullanılan ağı, cüzdan adreslerini, iletişim kayıtlarını ve platform belgelerini koruyarak gecikmeden adli başvuru yapmaktır.

Yazar: Av. Ahmet Karaca

• Av. Ahmet Karaca , İstanbul Barosuna kayıtlı avukat olup çalışmalarını bilişim hukuku, yapay zekâ hukuku, kripto varlık hukuku, siber suçlar ve dijital dolandırıcılık dosyaları üzerinde yoğunlaştırmaktadır.