Kripto Saklama ve Muhafazanın Evrimi

1. Öz-Muhafaza: Beklentiler ve Operasyonel Gerçekler

Kripto ekosistemi temel bir vaat üzerine kuruludur: Öz-muhafaza (Self-Custody). Aracı yok, banka yok, dışa bağımlılık yok. Ancak pratikte bu model, çoğu zaman operasyonel zorluklar karşısında sekteye uğrar.

Özel bir anahtarın (Private Key) kaybedilmesi, varlıkların geri döndürülemez şekilde kaybı anlamına gelir. Destek hattı veya kurtarma seçeneği yoktur. Cüzdana erişimi sağlayan kurtarma ifadesinin (Seed Phrase) güvenliği; kayıp, yangın, hırsızlık ve insan hatasına karşı sıkı bir koruma gerektirir.

Buna karşın en yaygın pratik çözüm: Bu ifadeyi bir banka kasasında saklamaktır. Böylece, bankacılık sisteminden bağımsızlık vaadi, tam da başladığı yerde sona ermiş olur.

2. Omni-Wallet: Bankalar ve Borsalar Kriptoları Nasıl Saklar?

Kripto hizmetleri sunan bankalar ve borsalar, saklama sorununu genellikle Omni-Wallet adı verilen yapılarla çözer. Bu, tüm müşteri varlıklarının tek bir ortak cüzdanda tutulduğu ve dağılımın yalnızca kurum içi muhasebe kayıtlarıyla yapıldığı bir sistemdir.

Avantajları:

• Daha düşük işlem maliyetleri (kurum içi transferler blockchain üzerinde işlem gerektirmez).
• Operasyonel yükün azalması.

Yapısal Risk:
Varlıklar, blockchain üzerinde değil, yalnızca hizmet sağlayıcının muhasebe defterlerinde müşteriye aittir. Bir iflas durumunda bu varlıklar, iflas masasının bir parçası olarak değerlendirilir.

FTX Örneği (Kasım 2022):

• Müşteri varlıkları blockchain üzerinde (On-Chain) ayrıştırılmamıştı.
• İflas sürecinde kripto varlıklar şirket varlıklarıyla bir tutuldu.
• Müşteriler, teminatsız alacaklı sıfatıyla sıraya girmek zorunda kaldı.

3. Wallet-as-a-Service: Nasıl Çalışır?

Wallet-as-a-Service (WaaS), kurumsal saklama hizmetlerinin güvenlik seviyesini merkeziyetsiz uygulamaların kullanılabilirliği ile birleştirir. Omni-Wallet yapısına veya katı bir öz-muhafazaya ihtiyaç duymaz.

Temel Prensip (Multi-Party Computation / MPC):
Özel anahtar, hiçbir zaman tek bir yerde tam ve bütün halde bulunmaz. Anahtar parçalarına (Key-Shards) bölünür ve bu parçalar ayrı sistemlerde saklanır: Hizmet sağlayıcıda, kullanıcıda ve bazen bağımsız üçüncü taraflarda.

Bir işlem yalnızca yeterli sayıda parça bir araya geldiğinde gerçekleşir. Taraflardan hiçbiri varlıklara tek başına erişemez. Üstelik anahtar hiçbir zaman yeniden bütünleştirilmez; sadece imzalaması için hesaplanır.

Kullanıcı için arayüz, geleneksel bir cüzdanla birebir aynıdır. DeFi protokolleri, akıllı kontratlar ve token transferleri tamamen kullanılabilirdir çünkü blockchain üzerindeki imza, öz-muhafaza ile tamamen aynıdır.

4. Üç Temel Risk

4.1. Sağlayıcı Kaynaklı Erişim Kaybı

Eğer WaaS sağlayıcısı hizmet veremez duruma gelirse, varlıklara erişim tamamen sözleşmede belirlenen kurtarma sürecine bağlıdır. Buradaki kritik soru şudur: Kullanıcı, varlıklarına hizmet sağlayıcıdan bağımsız bir şekilde yeniden erişebilir mi?

Bu sürecin birçok sağlayıcıda net olarak tanımlanmamış olması, en büyük operasyonel riski oluşturur.

4.2. Sağlayıcının İflası

Omni-Wallet yapılarından farklı olarak, tahsis edilmiş (dedicated) cüzdan yapısına sahip WaaS çözümlerinde varlıklar blockchain üzerinde kullanıcıya aittir. Bu da iflas senaryosunda yasal durumu önemli ölçüde güçlendirir.

Ancak bu yapı otomatik bir koruma sağlamaz. Belirleyici olan şey, salt teknoloji değil, yasal ve sözleşmesel altyapıdır.

4.3. Sağlayıcının Yetkisiz Erişimi

Sistemin MPC tabanlı olması, hizmet sağlayıcının varlıklara hiçbir şekilde erişemeyeceği anlamına gelmez. Mimariye bağlı olarak, eğer sağlayıcı elinde yeteri kadar Key-Shard tutuyorsa teorik olarak kullanıcının izni olmadan işlem imzalayabilir.

Sorulması gereken asıl soru: Anahtar parçalarının ne kadarı sağlayıcıda, ne kadarı cihazda veya bağımsız bir üçüncü taraftadır?

5. Pazar Özeti

Aşağıdaki özet, sağlayıcıları yalnızca hedef kitleye göre değil, aynı zamanda operasyonel esneklik, DeFi kullanım uygunluğu ve saldırılar karşısındaki tepkilerine göre de karşılaştırmaktadır.

Kurumsal Aktörler

Fireblocks, varlık yöneticileri, bankalar ve borsalar için pazar lideridir. MPC mimarisi sunar, işlem kuralları için özel bir "Policy Engine" içerir ve SOC 2 Type II sertifikasına sahiptir. Yüksek işlem hacmi şartı koşmaktadır.

DeFi protokolleri Policy Engine üzerinden kullanılabilir. İşlemler; beyaz listeye alma (önceden onaylanmış alıcı adresleri), miktar sınırları ve çok aşamalı onay süreçleriyle güvence altına alınabilir. Sosyal mühendislik (Social Engineering) saldırılarında, Policy Engine ve dağıtılmış anahtar parçalarının kombinasyonu onaysız işlemleri engeller.

SOC 2 Type II, Amerikan Sertifikalı Kamu Muhasebecileri Enstitüsü (AICPA) tarafından belirlenen bir denetim standardıdır. Bir sağlayıcının en az altı aylık bir süre boyunca veri güvenliği, erişilebilirlik ve gizlilik kontrollerini başarılı bir şekilde uyguladığını kanıtlar. Yalnızca belirli bir tarihteki kontrol durumunu ölçen Type I'in aksine, Type II bu kontrollerin operasyonel verimliliğini günlük pratikte değerlendirir.

WaaS Bileşenli Düzenlenmiş Custody

Tangany, kripto saklama lisansına sahiptir ve denetime tabi bir finansal hizmet sağlayıcısıdır. MiCA (Kripto Varlık Piyasaları Yönetmeliği) uyumluluğunu temin etmesi gereken Avrupalı oyuncular için son derece uygundur.

DeFi kullanımı kısıtlıdır. Odak noktası akıllı kontrat etkileşimleri değil; tamamen güvenli muhafaza ve denetlenmiş transfer işlevleridir. Sosyal mühendislik saldırısı yaşandığında, manuel işlem kontrolüne dayanan yasal süreçler devreye girer. Bir güvenlik ihlali halinde, sağlayıcı mevzuattan doğan yükümlülükler çerçevesinde sorumlu tutulur.

Fintech ve Geliştiriciler

Dfns ve Web3Auth, WaaS entegrasyonunu kendi ürünlerine dahil etmek isteyen şirketleri hedefler. Kuruluşların doğrudan kullanımı için değil, kendi cüzdan altyapılarını sıfırdan oluşturmaları için tasarlanmıştır.

DeFi tam olarak bütüne entegre edilebilir niteliktedir. Ancak güvenlik seviyesi entegrasyonun ne kadar doğru yapıldığına dayanır. Hack direnci ile sosyal mühendislikten korunma sorumluluğu tamamıyla WaaS entegratöründe (şirketin kendisinde) olup servis sağlayıcısında değildir. Kendilerine ait bir Policy Engine (Kural Motoru) geliştirilmez ise büyük oranda kontrol edilemez açık riskleri doğar.

Tüketici Segmenti

Privy, temel ağırlığını hiçbir teknik geçmişe sahip olmayan, merkeziyetsiz uygulama (dApps) son kullanıcılarına verir. Kurumsal seviye standardı içermese de pazar yelpazesini geniş anlamamıza imkan tanır.

Basit DeFi işlemlerinin sürdürülmesinde rahatlıkla kullanılabilir vaziyettedir. Kimlik doğrulaması "Social Login" (E-posta, Google, Apple kimliği vb.) aracılığı ile yürütülür. Konfor oranı bir dApp için oldukça çekici sayılsa dahi aslında "sosyal mühendisliği" tam anlamıyla başlıca zayıf nokta haline dönüştürmektedir: Zira hesaba sızmayı başarabilen kötü niyetli bir figür tek başına bütün varlıkları cüzdandan çekebilir. Anahtarların asıl kontrolü büyük ölçekte sağlayıcının kontrol havuzlarında izole şekilde bekletilir.

6. Finansal Aktörler İçin Beklenen Özen (Due-Diligence) Listesi

Bir WaaS sağlayıcısıyla anlaşmaya varmadan önce şu beş noktanın titizlikle doğrulanması gerekir:

1. Cüzdan Yapısı: Her kullanıcıya özel tahsisli bir cüzdan mı, yoksa ortak bir Omni-Wallet mi? Bu yapı blockchain üzerinden teyit edilebiliyor mu?
2. Anahtar Kontrolü: Sağlayıcı ne kadar anahtar parçası (shard) kontrol ediyor, kullanıcının elinde ne kadarı var? Sağlayıcı tek başına işlem imzalama yetkisine sahip mi?
3. Kurtarma Planı: Sağlayıcının iflas etmesi veya hizmet verememesi durumunda erişim ne olacak? Bu süreç sözleşmeye dökülüp teknik olarak hizmet sağlayıcısına bağımlı olmadan devreye sokulabilecek net bir zemine bağlanmış mı?
4. Düzenleyici Statüsü: İlgili kurum sadece teknoloji sunan bir firma statüsünde mi yoksa bir emanetçi (Custodian) lisansı ile resmiyette kayıtlı mı? Buradaki nüanslar iflas tabloları ve yasalar önünde temel belirleyicidir.
5. Denetim: İlgili kurumu minimum bir şarta tabileyen SOC 2 Type II denetimini kapsayıp kapsamadığı; ve daha da ötesi dış-bağımsız uzman üçüncü şahıslarca testlere (Pen-test vb.) girip girmediği araştırılmalı.

7. Sonuç

Öz-muhafaza (Self-custody) ve Omni-Wallet emanetçiliği aslında bu düzenin iki aşırı ucudur. WaaS tam bu iki kutbun arasına yerleşerek her iki modelin en belirgin faydalarını, dezavantajlarından soyutlayarak sunar.

Piyasadaki hiçbir hizmet karşı taraf riskini tamamen ortadan kaldıramaz. Ancak, yapısal manada düzgün bir şekilde inşa edilmiş; tahsisli cüzdana, bağımsız anahtar parçalarına ve sözleşmesel güçlü bir kurtarma planına dayanan WaaS sistemi, an itibariyle profesyonel aktörler için operasyonel olarak en mantıklı çözüm biçimidir.

Bankadaki karanlık kasalara şifreleri gömmekten çok daha konforlu. Bir Omni-Wallet sisteminin size sadece vaat ettiği güven silsilesinden çok daha garantilidir.

Karar vericilere düşen soru ne sadece fiyatta ne sadece teknolojik algoritmada. O sorular asıl kontratın içeriğindeki o mühim şartlardadır.