Av. Ahmet Karaca Yazıları

Öncelikle ilk olarak şu ayrımı netleştirmem gerekir ki esasen Hacklenen şey Bitcoin ya da Bitcoin blok zinciri yahut genel anlamda blockchain teknolojisi değil. Olay, donanım tabanlı bir soğuk cüzdan olan Coldcard’ın cüzdan oluşturma sürecinde kullandığı yazılımın, kriptografik rastgelelik üreten bölümündeki bir zafiyetin istismar edilmesinden kaynaklanmaktadır.

Bir donanım cüzdanı internete hiç bağlanmadan, sahibinin elinden çıkmadan ve PIN’i bilinmeden boşaltılabilir mi? Coldcard olayında yanıt ne yazık ki evet. Ancak Bitcoin ağı kırılmadı ve cihazlara uzaktan girilmedi. Belirli Coldcard firmware sürümleri, yeni cüzdan oluştururken yeterince rastgele seed üretemedi. Saldırganlar da bu zayıflıktan yararlanarak bazı özel anahtarları çevrim dışı hesaplamalarla yeniden oluşturdu.

2 Ağustos 2026 itibarıyla güncellenen zincir üstü incelemeler, üç saldırı dalgasında 4.585 adresten 1.367,05 BTC’nin çıkarıldığını gösteriyor. Açıklanan yaklaşık karşılık 88,6 milyon dolar. Bununla birlikte 4.585 adres, aynı sayıda kişi veya cüzdan anlamına gelmiyor. Bir cüzdana ait birden fazla adres bulunabilir ve zincir üstü kümelendirmeler inceleme ilerledikçe değişebilir.

Olay, “soğuk cüzdanlar güvensizdir” sonucuna da götürmemeli. Burada sorun, özel anahtarın sonradan cihazdan çalınması değil, özel anahtarın temelini oluşturan seed’in ilk anda yeterince rastgele oluşturulmamasıdır.

Coldcard yazılımındaki güvenlik açığı nasıl ortaya çıktı?

Coldcard açığı, özel anahtarların cihazda saklanma biçiminden değil, yeni seed oluşturulurken kullanılan rastgelelik kaynağından doğdu. 2021 yılında yapılan bir kod değişikliğinin ardından seed üretme işlemi, güvenli donanımsal rastgele sayı üreticisi yerine Yasmarang adlı tahmin edilebilir bir yazılımsal üreticiye yöneldi.

Normal şartlarda bir donanım cüzdanı seed oluştururken fiziksel olaylardan beslenen güvenli bir rastgele sayı üreticisi kullanır. Ortaya çıkabilecek ihtimallerin sayısı o kadar büyüktür ki aynı seed’in başka biri tarafından bulunması fiilen mümkün değildir.

Coldcard kodundaki hata ise iki yazılım bileşeninin aynı ayarı farklı yorumlamasından kaynaklandı. MICROPY_HW_ENABLE_RNGadlı seçenek sıfır değeriyle tanımlanmıştı. Bir bileşen bu değerin sıfır olmasına bakarken diğer bileşen yalnızca seçeneğin tanımlanmış olup olmadığını kontrol etti. Sonuçta seed üretme yolu, Coldcard’ın güvenli donanımsal rastgele sayı üreticisini kullanmak yerine yazılımsal bir yedek sisteme düştü.

Yasmarang başlangıç değerlerini cihazın kimlik numarasının bir bölümünden, işlemci zaman sayacından ve cihaz saatinden alıyordu. Bu değerler gizli değildir. Belirli cihaz serileri ve açılış davranışları hakkında bilgi sahibi olan bir saldırgan, ihtimalleri ciddi biçimde daraltabilir.

Sorunu günlük bir örnekle açıklayalım: Güvenli bir seed üretmek, gözünüz kapalı şekilde trilyonlarca trilyon biletin bulunduğu bir torbadan tek bir bilet seçmeye benzer. Coldcard hatasında torbanın aynı büyüklükte olduğu sanıldı, fakat cihaz gerçekte daha küçük ve belirli bir düzene göre hazırlanmış bir kutudan seçim yaptı.

Cihaza dokunmadan Bitcoinler nasıl çalındı?

Saldırganın Coldcard cihazına ulaşması gerekmedi. Zayıf yazılımın üretebileceği seed adayları başka bilgisayarlarda oluşturuldu. Her seed adayından özel anahtarlar ve Bitcoin adresleri türetildi. Oluşturulan adresler daha sonra herkese açık Bitcoin blokzincirindeki bakiyeli adreslerle karşılaştırıldı.

Bir eşleşme bulunduğunda saldırganın elinde hedef adresin özel anahtarı da bulunmuş oldu. Saldırgan bu anahtarla geçerli bir Bitcoin işlemi imzalayarak bakiyeyi kendi adresine aktarabildi.

Saldırının temel akışı şu şekildeydi:

1. Riskli Coldcard sürümünün üretebileceği başlangıç değerleri modellendi.

2. Her başlangıç değerinden muhtemel seed’ler oluşturuldu.

3. Seed’lerden standart Bitcoin adresleri türetildi.

4. Adresler blokzincirdeki bakiyeli adreslerle karşılaştırıldı.

5. Eşleşme bulunan adreslerin özel anahtarları kullanılarak transfer işlemleri imzalandı.

Bu saldırı Bitcoin’in kriptografisini kırmadı. Saldırganlar normal şartlarda taranması mümkün olmayan bütün Bitcoin anahtar alanını aramadı. Yalnızca hatalı Coldcard yazılımının oluşturabileceği daha dar ihtimal alanına yoğunlaştı.

Cihazın çevrim dışı tutulması bu nedenle saldırıyı engelleyemedi. İnternet bağlantısı, özel anahtarın cihazdan çıkarılması veya PIN’in ele geçirilmesi gerekmiyordu. Saldırgan aynı anahtarı kendi sisteminde yeniden oluşturabiliyordu.

40 bit ve 72 bit entropi gerçekten ne anlama geliyor?

Coinkite tarafından açıklanan ilk değerlendirmeye göre riskli Mk2 ve Mk3 modellerinde etkili entropi yaklaşık 40 bit seviyesine düştü. Mk4, Mk5 ve Q modellerinde güvenli elemanlardan gelen ek veri nedeniyle yaklaşık 72 bitlik bir arama alanı oluştu. Bu sayılar kesin saldırı süreleri değil, mevcut teknik varsayımlar üzerinden yapılan ön tahminlerdir.

40 bit yaklaşık 1,1 trilyon ihtimal anlamına gelir. Doğru biçimde oluşturulmuş bir BIP-39 seed’in sağlaması beklenen güvenlikle karşılaştırıldığında bu sayı oldukça düşüktür. İyi bir optimizasyon, cihaz seri aralıkları ve muhtemel açılış zamanları gibi bilgiler aramayı daha da kolaylaştırabilir.

72 bit ise yaklaşık 4,7 × 10²¹ ihtimale karşılık gelir; 4 milyar değildir. Bazı haber ve sosyal medya paylaşımlarında 72 bitlik alanın yaklaşık 4 milyar kombinasyondan oluştuğu yazıldı. Bu hesap doğru değil. Yaklaşık 4,29 milyar sayısı 2³²’ye karşılık gelir ve sonraki modellerde güvenli elemandan gelen 32 bitlik ek bileşeni ifade eder.

Üstelik yalnızca bit sayısını bilmek, saldırının ne kadar süreceğini hesaplamaya yetmez. Cihaz kimliğinin ne kadar daraltıldığı, cihazın hangi anda açıldığı, seed oluşturulmadan önce yazılımsal üreticinin kaç kez çalıştığı ve saldırganın hangi adres yollarını taradığı sonucu doğrudan etkiler.

Saldırganların “yapay zekâ modelleri ve süper bilgisayarlar” kullandığı yönündeki iddialar da henüz doğrulanmış değil. Yapay zekâdan yararlanılmış olması mümkün; ancak bunu gösteren kamuya açık bir delil bulunmuyor. Hesaplamalar ekran kartları, özel işlem donanımları veya dağıtık sunucularla da yapılmış olabilir.

Son birkaç gün içinde neler yaşandı?

Coldcard olayı birkaç gün içinde önce münferit cüzdan boşaltma bildirimleri, ardından ortak işlem kalıplarının bulunması ve son olarak kod hatasının açıklanmasıyla büyüdü. Coinkite 30 Temmuz 2026 tarihinde güvenlik duyurusunu yayımladı. Duyuru 1 Ağustos’ta yeni teknik bulgular ve etkilenen sürümlerle güncellendi.

İlk haberlerde yaklaşık 500 cüzdandan 594 BTC’nin çıkarıldığı bildiriliyordu. Zincir üstü inceleme genişletilince ilk büyük dalgada 1.196 adresten 1.082,65 BTC’nin yalnızca 41 dakika içinde taşındığı tespit edildi. İşlemler 960.183 ile 960.191 numaralı bloklar arasında gerçekleşti.

İlk dalgadaki işlemlerin neredeyse tamamında 30 sat/vB ücret kullanılması dikkat çekti. Bakiyeler para üstü adresi oluşturulmadan doğrudan toplama adreslerine gönderildi. Aynı ücret ve çıktı yapısının tekrarlanması, işlemlerin otomatik bir sistem tarafından hazırlanmış olabileceğini gösterdi.

İkinci dalga yaklaşık 1.478 adres ve 76 BTC ile ilişkilendirildi. Bu defa işlem ücretleri tek bir değerde kalmadı. Ağırlıklı olarak 10 ve 50 sat/vB ücretler kullanıldı; bazı küçük işlemlerde yaklaşık 4 sat/vB görüldü.

Ağustos ayının ilk günlerinde belirlenen üçüncü dalgada yöntem yeniden değişti. Yaklaşık 1.912 adres ve 207,7294 BTC bu dalgayla ilişkilendirildi. Saldırganlar ortalama altı mağdura ait girdiyi aynı işlemde birleştirdi. Her mağdur için farklı P2WSH çıkışları kullanıldı ve ağırlıklı olarak varsayılan adres türetme yolu tarandı.

Üçüncü dalgadaki değişiklik iki ihtimali gündeme getiriyor: İlk saldırgan izlenmeyi zorlaştırmak için yöntem değiştirmiş olabilir veya güvenlik açığını öğrenen başka bir grup saldırıya katılmış olabilir. Mevcut blokzincir verileri bu iki ihtimalden hangisinin doğru olduğunu henüz göstermiyor.

2 Ağustos 2026 itibarıyla üç dalgayla ilişkilendirilen toplam 1.367,05 BTC, kesinleşmiş nihai zarar olarak değil, güncel zincir üstü tahmin olarak okunmalıdır. Aynı adrese veya cüzdana ait kümeler örtüşebilir. Saldırganların yeni yöntemler kullanması hâlinde tespit edilemeyen başka işlemler de bulunabilir.

Saldırganların kimliği tespit edildi mi?

Saldırganların kimliği henüz kamuya açıklanmadı. Bununla birlikte soruşturma açısından dikkate değer bir dijital iz bulundu. Block’un teknik ekibi, saldırıyla bağlantılı kişinin adı açıklanmayan bir blokzincir hizmet sağlayıcısında ücretli bir hesap kullandığını bildirdi.

Ücretli hesap önemli bir izdir. Hesap açılış bilgileri, ödeme aracı, IP adresleri, API kullanımı ve oturum geçmişi saldırganın kimliğinin belirlenmesine yardımcı olabilir. İlgili hizmet sağlayıcıyla iletişime geçildiği ve yetkili makamların bilgilendirildiği açıklandı.

Block’un yayımladığı teknik rapor henüz ön inceleme niteliğinde. Kamuya açık belgelerde belirli bir mağdurun seed’inin sıfırdan yeniden oluşturularak boşaltılan adresle eşleştirildiği tam bir uygulamalı test yayımlanmadı. Buna karşılık Coinkite kod hatasını kabul etti. Kullanıcı bildirimleri, işlem zamanlamaları ve zincir üstü örüntüler de güvenlik açığının fiilen kullanıldığı değerlendirmesini kuvvetlendiriyor.

Hangi Coldcard modelleri ve firmware sürümleri risk altında?

Risk, cihazın ne zaman satın alındığına veya bugün hangi sürümü çalıştırdığına göre belirlenmez. Asıl ölçüt, hâlen kullanılan seed’in hangi Coldcard modeli ve firmware sürümü üzerinde oluşturulduğudur. Riskli seed’i yeni bir cihaza aktarmak başlangıçtaki zayıflığı düzeltmez.

Standard ve Edge farklı firmware kollarıdır. Edge kullanıcısının yalnızca sürüm numarası daha yüksek göründüğü için eski bir 6.x sürümünü güvenli kabul etmemesi gerekir.

Mk1 ile Mk2 ve Mk3’ün 3.2.2 ve önceki sürümleri söz konusu yazılım gerilemesinden etkilenmiyor. Coinkite ayrıca TAPSIGNER, OPENDIME ve SATSCARD ürünlerinin farklı kod tabanları nedeniyle bu hatanın dışında kaldığını açıkladı.

Seed güvenli bir başka cihazda veya bağımsız bir yöntemle oluşturulup Coldcard’a aktarılmışsa Coldcard’ın seed oluşturma hatası o seed’in rastgeleliğini geriye dönük olarak azaltmaz.

Zar atanlar, passphrase ve multisig kullananlar güvende mi?

En az 50 adil, bağımsız ve gizli zar atışını Coldcard’ın doğru seed oluşturma akışında kullananlar, üreticinin değerlendirmesine göre bu rastgelelik hatasından etkilenmedi. Güçlü bir BIP-39 passphrase veya bağımsız anahtarlarla kurulmuş multisig yapı da saldırgana karşı ek engel oluşturabilir. Ancak her kurulum kendi koşullarına göre incelenmelidir.

Zar sonuçlarının başka biri tarafından bilinmemesi ve seed oluşturulmadan önce doğru menü üzerinden eklenmesi gerekir. Kaç zar atıldığı hatırlanmıyorsa veya sonuçların gizli kalıp kalmadığı bilinmiyorsa zar istisnasına güvenilmemelidir. Coinkite, 99 veya daha fazla zar atışının yaklaşık 256 bit bağımsız entropi sağladığını belirtiyor.

BIP-39 passphrase, cihaz PIN’iyle aynı şey değildir. Passphrase, mevcut seed’e eklenen ayrı bir sırdır ve bambaşka bir cüzdan oluşturur. Uzun, benzersiz ve tahmin edilemez bir passphrase saldırganın işi zorlaştırır. İsim, tarih, alıntı veya daha önce kullanılmış bir parola aynı güvenceyi sağlamaz.

Güçlü passphrase kullanılması zayıf seed’i düzeltmez. Üretici bu kullanıcıların da yeni seed’e geçmesini öneriyor.

Multisig koruması ise harcama eşiğine bağlıdır. Örneğin 2/3 bir cüzdanda yalnızca bir anahtar riskli Coldcard seed’inden geliyorsa saldırgan tek başına işlem yapamaz. Fakat gerekli iki anahtar aynı zayıf üretim yolundan geldiyse multisig koruması aşılabilir.

Farklı marka cihaz kullanmak tek başına yeterli değildir. Aynı seed’in Ledger, Trezor ve Coldcard’a yüklenmesi üç bağımsız anahtar oluşturmaz; yalnızca aynı anahtarın üç kopyasını oluşturur.

Coldcard kullananlar şimdi ne yapmalı?

Riskli sürümde oluşturulmuş bir seed kullanılıyorsa yalnızca firmware güncellemek yeterli değildir. Kullanıcı düzeltilmiş firmware üzerinde tamamen yeni bir seed oluşturmalı ve bütün bakiyeyi bu seed’den türetilen yeni adrese taşımalıdır. Eski seed’in başka marka bir cihaza aktarılması da sorunu çözmez.

İzlenmesi gereken sıra şöyledir:

1. Seed’in hangi cihazda, hangi tarihte ve hangi firmware sürümünde oluşturulduğunu belirleyin.

2. Sürüm kesin olarak tespit edilemiyorsa seed’i riskli kabul edin.

3. Modelinize uygun düzeltilmiş firmware’i yalnızca Coinkite’ın resmî kanallarından indirin.

4. Eski seed’i geri yüklemek yerine tamamen yeni bir seed oluşturun.

5. Yeni seed yedeğini, cüzdan parmak izini ve ilk alım adresini cihaz ekranından doğrulayın.

6. Önce küçük miktarlı bir test transferi yapın.

7. Yeni cüzdanın doğru şekilde geri yüklenebildiğini gördükten sonra kalan bakiyeyi taşıyın.

8. Transfer kesinleşene kadar eski seed yedeğini imha etmeyin. İşlem tamamlandıktan sonra eski seed’i bir daha kullanmayın.

Yeni seed’i internet sitesinde, telefonda veya sıradan bir bilgisayarda oluşturmak doğru değildir. Güvenlik açığından kaçmaya çalışırken seed’i doğrudan üçüncü kişilere teslim eden sahte bir siteye düşmek çok daha hızlı bir kayba yol açabilir.

Bitcoinler çalındıysa hangi hukuki yollar izlenebilir?

Çalınan Bitcoinlerin blokzincirde kesinleşen transferi tek taraflı şekilde geri alınamaz. Ancak para hareketleri zincir üzerinde izlenebilir. Varlıkların kimlik bilgisi tutan bir borsaya veya saklama hizmetine ulaşması hâlinde hesap sahibinin tespiti, verilerin korunması ve şartları varsa varlıklara el konulması mümkün olabilir.

Ceza hukuku yönünden değerlendirdiğimde, mağdurun iradesi dışında özel anahtar kullanılarak gerçekleştirilen transferlerde ilk tartışılacak hüküm TCK m.142/2-e’de düzenlenen bilişim sistemlerinin kullanılması suretiyle hırsızlıktır. Somut saldırı biçimine göre TCK m.243, m.244 ve suç gelirlerinin aklanmasına ilişkin TCK m.282 de değerlendirilebilir.

Mağdurun kandırılarak işlemi kendisinin onayladığı klasik dolandırıcılık vakalarından farklı olarak Coldcard olayında saldırgan, mağdur adına doğrudan geçerli imza üretmektedir. Bu nedenle TCK m.158/1-f kapsamındaki nitelikli dolandırıcılıktan önce rıza dışı malvarlığı aktarımının niteliği incelenir.

Kripto varlıkların TCK m.141 kapsamındaki “taşınır mal” kavramına dâhil edilmesi konusunda bütünüyle yerleşmiş bir yüksek mahkeme uygulaması henüz bulunmuyor. Mahkeme kripto varlığı ekonomik değer taşıyan veri olarak değerlendirirse, başka bir suçun oluşmaması şartıyla TCK m.244/4 de gündeme gelebilir.

Kripto varlık soruşturmalarında gördüğüm en kritik pratik sorun, Cumhuriyet Başsavcılığına yapılan başvuruda CMK m.127 kapsamındaki elkoyma ihtimali ile KYC, IP ve oturum kayıtlarının korunmasının açıkça istenmemesidir. Yalnızca işlem ekran görüntüsü sunmak, uluslararası nitelikteki bir para akışının araştırılması için yeterli değildir.

Bitcoinleri çalınan kullanıcının şu delilleri gecikmeden koruması gerekir:

• İşlem kimliği, yani TxID

• Mağdur ve ilk varış cüzdan adresleri

• BTC miktarı ve blok yüksekliği

• İşlemin Türkiye ve UTC saati

• Cihaz modeli ve seri bilgisi

• Seed’in oluşturulduğu tarih ve firmware sürümü

• Satın alma belgesi ve üreticiyle yapılan yazışmalar

• Cüzdan uygulamasındaki işlem kayıtları

• Fonların takip eden transfer rotası

Cihaz, microSD kart ve yedekler teknik inceleme yapılmadan sıfırlanmamalı veya güncellenmemelidir. Seed kelimeleri ise savcılık dilekçesine yazılmamalı, e-posta yoluyla gönderilmemeli ve “kurtarma hizmeti” sunduğunu söyleyen kişilerle paylaşılmamalıdır.

Coldcard üreticisine karşı tazminat talep edilebilir mi?

Firmware kaynaklı güvenlik kusuru üretici, satıcı veya ithalatçı açısından hukuki sorumluluk doğurabilir. Ancak zararın meydana gelmesi tek başına tazminat için yeterli değildir. Seed’in riskli sürümde oluşturulduğu ve kaybın bu hatadan kaynaklandığı teknik delillerle ortaya konulmalıdır.

Türkiye’de tüketici işlemi varsa 6502 sayılı Tüketicinin Korunması Hakkında Kanun’un ayıplı mala ilişkin hükümleri değerlendirilebilir. Sözleşmeye aykırılık, haksız fiil ve zarar sorumluluğu bakımından Türk Borçlar Kanunu da gündeme gelebilir.

Cihazın doğrudan yabancı üreticiden alınması hâlinde uygulanacak hukuk, yetkili mahkeme ve kararın yabancı ülkede icrası ayrıca incelenir. Bu nedenle “firmware hatası kabul edildi, zarar otomatik olarak ödenir” şeklinde bir sonuç çıkarılamaz.

2 Ağustos 2026 itibarıyla Coinkite tarafından kamuya açıklanmış genel bir zarar karşılama veya tazmin programı bulunmuyor. Şirketin güvenlik duyuruları düzeltilmiş firmware sürümlerine ve yeni seed’e geçiş yöntemine odaklanıyor.

Coldcard saldırısı hakkında sık sorulan sorular

Bitcoin ağı hacklendi mi?

Hayır. Bitcoin ağının işlem doğrulama sistemi ve temel kriptografisi kırılmadı. Saldırganlar, belirli Coldcard sürümlerinin zayıf oluşturduğu seed’leri yeniden türeterek geçerli Bitcoin işlemleri imzaladı.

Cihaz PIN’i bu saldırıya karşı korur mu?

Hayır. PIN yalnızca fiziksel cihazın kullanılmasını sınırlar. Saldırgan seed’i ve özel anahtarı kendi bilgisayarında yeniden oluşturuyorsa Coldcard PIN’ine ihtiyaç duymaz.

24 kelimelik seed kullanmak güvenli olmak için yeterli mi?

Hayır. Kelime sayısı tek başına güvenliği belirlemez. Yirmi dört kelime zayıf ve tahmin edilebilir bir rastgelelik kaynağıyla seçilmişse gerçek olasılık alanı görünenden çok daha küçük kalabilir.

Seed’i başka marka donanım cüzdanına aktarmak sorunu çözer mi?

Hayır. Aynı seed başka bir cihaza girildiğinde aynı özel anahtarlar oluşturulur. Çözüm, düzeltilmiş ve güvenilir bir sistemde tamamen yeni seed oluşturmak ve Bitcoinleri yeni adreslere taşımaktır.

Güçlü passphrase kullananlar yine de seed değiştirmeli mi?

Evet. Güçlü ve benzersiz bir BIP-39 passphrase ciddi bir ek engel oluşturur; ancak başlangıçtaki zayıf seed’i onarmaz. Üretici de yeni seed’e geçilmesini öneriyor.

Çalınan Bitcoinler geri alınabilir mi?

Blokzincirde kesinleşmiş işlem geri çevrilemez. Fonlar kimlik bilgisi tutan bir borsaya veya saklama kuruluşuna ulaşırsa tespit, elkoyma ve iade ihtimali doğabilir. Sonuç, transfer rotasına ve soruşturmanın ne kadar hızlı başlatıldığına bağlıdır.

Saldırı tamamen sona erdi mi?

Hayır. Riskli seed’lerde bulunan Bitcoinlerin güvende olduğu söylenemez. Teknik ayrıntıların kamuya açıklanması, başka kişilerin de aynı seed alanını taramaya çalışması riskini artırıyor.

Asıl ders: Güvenlik, seed’in oluşturulduğu anda başlar

Coldcard vakası, donanım cüzdanlarının işe yaramadığını değil, güvenliğin yalnızca cihazı çevrim dışı tutmaktan ibaret olmadığını gösterdi. Özel anahtar ne kadar iyi korunursa korunsun, anahtarın temelini oluşturan seed tahmin edilebiliyorsa güvenlik zinciri daha ilk halkada kopar.

Riskli sürümde oluşturulan seed altında bakiye tutan kullanıcıların firmware güncellemesiyle yetinmemesi gerekiyor. Tamamen yeni seed oluşturulmalı, küçük test işlemi yapılmalı ve kalan varlıklar doğrulanmış yeni cüzdana taşınmalı.

Bitcoinleri alınan kullanıcılar ise cihazı sıfırlamadan TxID, cüzdan adresleri, blok yüksekliği ve kurulum geçmişini korumalı; Cumhuriyet Başsavcılığına teknik veri taleplerini içeren başvuruyu gecikmeden yapmalıdır. Bu dosyalarda kaybedilen her saat, fonların yeni adreslere veya farklı ülkelere dağılması için saldırgana bırakılan ek süredir.

Yazar: * Av. Ahmet Karaca

• Av. Ahmet Karaca , İstanbul Barosuna kayıtlı avukat olup çalışmalarını bilişim hukuku, yapay zekâ hukuku, kripto varlık hukuku, siber suçlar ve dijital dolandırıcılık dosyaları üzerinde yoğunlaştırmaktadır.