Evet, kullanıcı SMS kodunu kendi eliyle paylaşmış olsa dahi kripto varlık platformu sorumlu tutulabilir. İstanbul 14. Asliye Ticaret Mahkemesi (E. 2021/517, K. 2026/243, T. 12.03.2026), oltalama saldırısıyla hesabı boşaltılan kullanıcının açtığı davada platformu yüzde 70 kusurlu bulmuş; 430.000 TL’lik talebin 301.000 TL’lik kısmını zarar tarihinden işleyecek avans faiziyle birlikte hüküm altına almıştır.
Mahkemenin gerekçesi iki temele dayanıyor. Birincisi, yasal zorunluluk ile basiretli tacir standardı aynı kavram değildir: bir güvenlik önleminin o tarihte kanunen zorunlu olmaması, sektörde yerleşik hâle gelmiş bir önlemin alınmamasını mazur göstermez. İkincisi, kullanıcının verdiği onaylar kusur paylaşımını etkiler ancak nedensellik bağını koparmaz; çünkü yeni adrese bekleme süresi uygulanması gibi mekanizmalar kullanıcının onayından bağımsız çalışan sistem güvenceleridir. Mahkeme ayrıca “dikkatli bir insan kandırılmaz” ön kabulünü, bu tür saldırıların endüstriyel ölçekli ve psikolojik manipülasyona optimize edilmiş yapısı karşısında geçersiz saymıştır.
Bu Yazımızda Neler Bulacaksınız
- Sorunun Doğru Kurulması: Kod Paylaşan Kullanıcı Her Şeyi Kaybeder mi?
- Emsal Karar: 32 Birim Kripto Varlık, 430.000 TL, Yüzde 70 Kusur
- Saldırı Dakika Dakika: Onay Zinciri Nasıl Kuruldu?
- Mahkemenin Birinci Temeli: Yasal Zorunluluk Özen Borcunu Karşılamaz
- Platformun Almadığı Beş Önlem
- Kümülatif Risk: Üç Tetikleyicinin Aynı Anda Gerçekleşmesi
- “Dikkatli İnsan Kandırılmaz” Ön Kabulünün Reddi
- Sakatlanmış İrade: Onaylar Aynı Ağırlıkta mı?
- Nedensellik: Kullanıcı Onayı Bağı Koparır mı?
- Bugün Durum Daha da Güçlü: MASAK 29 No.lu Tebliğ
- Manevi Tazminat Neden Reddedildi ve Neye Mal Oldu?
- Gözden Kaçan Tuzak: Vekâlet Ücreti Dengesi
- Görevli Mahkeme: Tüketici mi, Ticaret mi?
- Mağdur İçin Delil ve Eylem Haritası
- En Sık Yapılan Sekiz Hata
- Sıkça Sorulan Sorular
Sorunun Doğru Kurulması: Kod Paylaşan Kullanıcı Her Şeyi Kaybeder mi?
Büromuza gelen dosyalarda platformların savunması neredeyse tek cümleye indirgeniyor: “Kullanıcı şifresini ve doğrulama kodunu kendisi paylaştı; sorumluluk tamamen kendisine aittir.” Bu savunma ilk bakışta güçlü görünür, çünkü olgusal olarak doğrudur. Kullanıcı gerçekten kodu girmiştir.
Ancak hukuki soru bu değildir. Doğru soru şudur: kullanıcının hatası, platformun kendi sisteminde bulunması gereken koruma katmanlarının yokluğunu ortadan kaldırır mı? Aşağıda inceleyeceğimiz karar bu soruya net cevap veriyor: hayır. Kullanıcı hatası kusur paylaşımını etkiler, ancak platformun tasarım eksikliğinden doğan sorumluluğu ortadan kaldırmaz.
Bu ayrımı görmek için iki koruma türünü birbirinden ayırmak gerekir.
| Koruma türü | Nasıl çalışır? | Kullanıcı hatası etkiler mi? |
|---|---|---|
| Kimlik doğrulama katmanı | Parola, SMS kodu, e-posta onayı, PIN. Kullanıcının bilgi vermesiyle çalışır | Evet. Kullanıcı bilgiyi paylaşırsa bu katman aşılır |
| Sistem güvencesi katmanı | Yeni adrese bekleme süresi, yüksek tutarda geciktirme, anomali tespiti, dinamik limit. Kullanıcının onayından bağımsız çalışır | Hayır. Kullanıcı ne onaylarsa onaylasın sistem devreye girer |
Kararın hukuki çekirdeği tam olarak buradadır. Kullanıcı birinci katmanı kendi eliyle aşılabilir hâle getirmiştir. Ancak ikinci katman hiç kurulmamıştır ve bu, kullanıcının hatasıyla açıklanamaz. Bir kripto hukuku avukatı olarak bu tür dosyalarda savunmanın omurgasını ikinci katman üzerine kuruyoruz.
Emsal Karar: 32 Birim Kripto Varlık, 430.000 TL, Yüzde 70 Kusur
Oltalama Saldırısında Kripto Varlık Platformunun Basiretli Tacir Sorumluluğu
Olay: Davacı, 06.11.2020 tarihinden bu yana davalı platformun kayıtlı kullanıcısıdır ve hesabında 463.000 TL bakiye bulunmaktadır. 18.02.2021 tarihinde saat 21:15 civarında bir sosyal medya platformunda, davalı şirkete ait görünümlü sahte bir hesabın paylaştığı bağlantıya tıklamıştır. Yönlendirildiği site, davalının resmî sitesiyle görsel açıdan özdeş bir kopyadır. Davacı bu siteye kullanıcı adını, parolasını ve telefonuna gelen altı haneli doğrulama kodunu girmiştir.
Zarar: Saldırganlar bu bilgileri eş zamanlı olarak gerçek sisteme ileterek hesaba giriş sağlamış; hesaptan 30 ve 2 birim olmak üzere toplam 32 birim kripto varlık (Ethereum ağı üzerinden) başka adreslere transfer edilmiştir. Transferlerin karşılığı 430.000 TL‘dir. Bilişim incelemesinde, aktarılan varlıkların farklı borsalar üzerinden çok sayıda hesaba dağıtılarak izinin kaybettirilmeye çalışıldığı tespit edilmiştir.
Davalının savunması: Platform, Türkiye’nin ilk ve lider, dünyanın dördüncü kripto varlık alım satım platformu olduğunu; dolandırıcılık işleminin tarafı olmadığını; kullanıcının bizzat kendi şifresini paylaştığını; giriş ve kritik işlemlerde iki aşamalı doğrulama uygulandığını; hiçbir şekilde müşterilerine kod veya şifre gönderilmediğini ve söz konusu güvenlik önlemlerinin 2021 yılında yasal zorunluluk olmadığını ileri sürmüştür.
Bilirkişi raporları: Kök raporda davalının iki faktörlü doğrulama uyguladığı ve kullanıcının tüm onayları bizzat verdiği tespit edilmiştir. Üçüncü ek raporda ise 2021 yılı itibarıyla uluslararası kripto varlık borsalarında fiilî standart hâline gelmiş beş kritik güvenlik kontrolünün davalı sisteminde bulunmadığı belirlenmiş; davacının müterafik kusurunun orta derecede olduğu ve tazminattan indirim yapılması gerektiği bildirilmiştir.
Mahkemenin kusur takdiri: Davalının kusuru yüzde 70, davacının kusuru yüzde 30 olarak belirlenmiştir.
Hüküm: Maddi tazminat talebinin kısmen kabulü ile 301.000 TL‘nin 18.02.2021 tarihinden itibaren işleyecek avans faiziyle birlikte davalıdan alınarak davacıya ödenmesine; fazlaya ilişkin talebin ve manevi tazminat talebinin reddine karar verilmiştir.
Rakamsal doğrulama yapıldığında hükmedilen tutarın kusur oranıyla birebir örtüştüğü görülüyor: 430.000 TL’nin yüzde 70’i tam olarak 301.000 TL’dir. Mahkeme takdir yetkisini kullanırken hesabı şeffaf biçimde kurmuştur.
Saldırı Dakika Dakika: Onay Zinciri Nasıl Kuruldu?
Kararın olgusal bölümü, bu saldırı tipinin anatomisini adım adım ortaya koyuyor. Bu akışı bilmek, hem savunma kurgusu hem de kendi güvenliğiniz bakımından değerlidir.
| Adım | Ne oldu? | Hangi katman aşıldı? |
|---|---|---|
| 1. Yem | Sosyal medyada platform görünümlü sahte hesabın paylaştığı bağlantı | Marka güveni araçsallaştırıldı |
| 2. Klon site | Resmî siteyle görsel açıdan özdeş sahte sayfa | Görsel doğrulama |
| 3. Kimlik bilgisi | Kullanıcı adı ve parola sahte siteye girildi | Birinci faktör |
| 4. Doğrulama kodu | Altı haneli SMS kodu sahte siteye girildi; saldırganlar gerçek sisteme eş zamanlı iletti | İkinci faktör |
| 5. Yeni cihaz | Saldırganlar yeni cihaz tanımladı; kullanıcı SMS ve e-posta onaylarını verdi | Cihaz doğrulaması |
| 6. Yeni adres | Transfer adresi hesaba eklendi; kullanıcı bu SMS’i de onayladı | Adres kaydı |
| 7. Birinci transfer | 30 birim için e-posta onayı verildi (“geri alınması mümkün değildir” uyarısı içeriyordu) | Çekim onayı |
| 8. İkinci transfer | 2 birim için aynı süreç tekrarlandı | Çekim onayı |
| 9. Fark ediliş | 21:18’de farklı cihazdan giriş bildirimi kullanıcıya ulaştı | Artık geç |
| 10. İz kaybettirme | Varlıklar farklı borsalar üzerinden çok sayıda hesaba dağıtıldı | Katmanlama |
Dokuzuncu adım kararın kilit noktasıdır. Kullanıcı saat 21:18’de durumu fark etmiştir. Mahkemenin tespitine göre, yeni eklenen adrese bekleme süresi uygulanmış olsaydı, bu bildirimden sonra kullanıcının hesabına müdahale edebileceği bir zaman penceresi açılacaktı. Transferler ancak bu mekanizmanın yokluğunda anında tamamlanabilmiştir. Yani zararı doğuran şey yalnızca kullanıcının onayı değil, onayın anında sonuç doğurmasına izin veren tasarımdır.
Mahkemenin Birinci Temeli: Yasal Zorunluluk Özen Borcunu Karşılamaz
Davalının en güçlü savunması şuydu: söz konusu güvenlik önlemleri 2021 yılında Türkiye’de yasal zorunluluk değildi. Mahkeme bu iddiayı olgusal olarak doğru kabul etmiş, ancak hukuki savunma olarak reddetmiştir.
Gerekçe, Türk Ticaret Kanunu’nun 18/2. maddesindeki basiretli iş insanı ölçütüne dayanıyor. Mahkemenin ifadesiyle bu yükümlülük, yasal düzenlemelere uyum sağlamakla sınırlı olmayıp; ilgili sektördeki bilinen tehditler ve mevcut teknik olanaklar gözetilerek müşterilerin zararına yol açabilecek öngörülebilir risklere karşı makul önlemlerin alınmasını da kapsar.
Mahkeme, standardın somut içeriğinin üç kaynaktan belirleneceğini söylüyor:
- Sektör uygulamaları. Karara göre 2021 Şubat itibarıyla büyük uluslararası borsalar yeni eklenen transfer adreslerine bekleme süresi uyguluyordu; bu süreler 24 saat, 48 saat ve beş güne kadar değişiyordu.
- Teknik standart kuruluşlarının kılavuzları. Karara göre ilgili kılavuz 2017’den itibaren IP adresi, coğrafi konum ve giriş zamanına dayalı risk bazlı adaptif kimlik doğrulamayı önermekte ve SMS tabanlı doğrulamayı kısıtlı kimlik doğrulayıcı olarak sınıflandırmaktadır.
- Öngörülebilir tehdit modelleri. Davalı, 2018 ve 2019 yıllarında benzer nitelikte güvenlik olayları yaşamış ve müşterilerini oltalama girişimlerine karşı uyaran çok sayıda bildirim yayımlamıştır. Mahkeme bu olguyu, davalının tehdidi bizzat bildiğinin kanıtı saymıştır.
Mahkemenin kurduğu denklem şudur: davalı tehdidi biliyordu, çünkü kendisi uyarı yayımlamıştı. Çözümü de biliyordu, çünkü rakipleri uyguluyordu. Uygulama kapasitesine de sahipti, çünkü sektörün lideriydi. Bu üçü bir aradayken önlemin alınmamış olması, yasal zorunluluk bulunmamasıyla açıklanamaz. Kararın en çok alıntılanacak bölümü budur ve benzer dosyalarda dilekçenin omurgasını oluşturmalıdır.
Platformun Almadığı Beş Önlem
Bilirkişi ek raporunda, 2021 yılı itibarıyla uluslararası borsalarda fiilî standart hâline gelmiş ancak davalı sisteminde bulunmayan kontroller tek tek sayılmıştır. Bu liste, benzer dosyalarda bilirkişiye sorulacak soruların şablonu niteliğindedir.
| Eksik önlem | Olsaydı ne olurdu? (Bilirkişi tespiti) |
|---|---|
| Yeni eklenen adrese bekleme süresi veya düşük limit | İşlem gerçekleşemezdi |
| Yüksek tutarlı işlemlerde geciktirme ve manuel inceleme | Sistem transferi otomatik durdururdu |
| Kullanıcı davranışına dayalı anomali tespiti | Yeni cihaz, yeni adres ve yüksek tutar kombinasyonu kırmızı alarm üretirdi |
| Dinamik işlem limiti (kademeli artırılan çekim limitleri) | Tutarın tek seferde çıkışı mümkün olmazdı |
| Kombinasyonel risk analizi | Üç tetikleyicinin birlikte değerlendirilmesiyle işlem durdurulurdu |
Bilirkişinin ifadesiyle, 2021 yılında uluslararası standartlara uygun bir risk temelli koruma katmanı uygulanmış olsaydı, saldırganın bu işlemi bu hızda gerçekleştirmesi teknik olarak mümkün olmayacak ya da çok daha zor olacaktı. Mahkeme bu tespiti, nedensellik bağının kurulmasında belirleyici saymıştır.
Kümülatif Risk: Üç Tetikleyicinin Aynı Anda Gerçekleşmesi
Kararın hukuken en özgün bölümü budur ve internetteki hiçbir içerikte ele alınmamıştır.
Mahkeme, eksikliği yalnızca bekleme süresinin yokluğuna indirgememiştir. Daha yapısal bir tespit yapmıştır: yeni cihaz tanımlama, yeni transfer adresi ekleme ve yüksek tutarlı transfer; bunların her biri tek başına dikkat gerektiren güvenlik tetikleyicileridir. Ancak bu üç tetikleyicinin aynı hesapta, aynı oturumda ve kısa bir zaman diliminde ardışık biçimde gerçekleşmesi, risk profilini katlanmış ölçüde yükseltir.
Mahkemenin ifadesiyle, kümülatif risk değerlendirme sistemlerinin mantığına göre birden fazla kritik tetikleyicinin eş zamanlı varlığı hâlinde uygulanacak güvenlik tepkisinin de orantılı biçimde artması gerekir. Davalının bu kombinasyonu değerlendirecek mekanizmadan yoksun olması; yalnızca bekleme süresi eksikliğini değil, öngörülebilir yüksek riskli işlem örüntülerine karşı tasarım güvenliği bakımından yapısal bir yetersizliği ortaya koymaktadır.
Mahkeme bu yetersizliği, basiretli tacir standardının karşılanmadığını gösteren bağımsız ve ek bir gerekçe saymıştır. Yani bekleme süresi argümanı çürütülse dahi, kümülatif risk argümanı ayakta kalmaktadır. Dava stratejisi bakımından bu, iki ayrı sütun üzerine kurulmuş bir iddia demektir.
“Dikkatli İnsan Kandırılmaz” Ön Kabulünün Reddi
Yargı pratiğinde zaman zaman şu ölçüte başvurulur: dolandırıcılık, normal bir insanı kandıracak nitelikte değilse hile unsuru gerçekleşmemiştir. Mahkeme bu ölçütün sofistike oltalama saldırılarına uygulanmasını açıkça reddetmiştir.
Gerekçesi iki katmanlıdır. Birincisi saldırının niteliğine ilişkindir: söz konusu saldırı, basit bir dikkatsizlikle önlenebilecek nitelikte değildir. Davalının görsel kimliğinin ve marka güveninin sistematik biçimde araçsallaştırıldığı; insan psikolojisinin zayıf noktalarına, yani güven, aciliyet ve alışkanlığa yönelik olarak optimize edilmiş; endüstriyel ölçekte yürütülen bir saldırı modelidir.
İkincisi nesnel verilere dayanır: mahkeme, Türkiye’de ve dünyada aynı saldırı tipinin mağdurları arasında hâkimler, akademisyenler, tıp doktorları ve hukuk profesyonellerinin bulunduğunun belgelendiğini tespit etmiştir. Bu gerçeklik, “dikkatli bir insanın kandırılmayacağı” ön kabulünün geçersizliğini ortaya koymaktadır.
Bu tespitin kullanım alanı geniştir. Aynı argüman, hukuk davalarının yanında ceza dosyalarında hilenin aldatıcı niteliği tartışılırken de kullanılabilir. Savcılıkların “yüksek getiri vaadine kanmak hayatın olağan akışına aykırıdır” veya “hile basit yalan boyutunda kalmıştır” gerekçeleriyle verdiği takipsizlik kararlarına itirazda bu karara dayanılabilir. Bu tür gerekçelerin Yargıtay tarafından hatalı bulunduğuna ilişkin ayrı çalışmamız için emsal kanun yararına bozma kararına bakabilirsiniz.
Sakatlanmış İrade: Onaylar Aynı Ağırlıkta mı?
Platformların en sık kullandığı argüman şudur: “Kullanıcı her adımda onay verdi; bu onaylar iradesinin ürünüdür.” Mahkeme bu argümanı da nitelikli biçimde ele almıştır.
Tespit şudur: davacının belirleyici onaylarının önemli bölümü, yani yeni cihaz tanımlama, yeni adres ekleme ve transfer onayları, hesap kontrolünün el değiştirmesinden sonra verilmiştir. Bu aşamada kullanıcı, saldırganların kurguladığı gerçeklik algısı içinde, güvendiği platformun kendi sisteminden gelen gerçek bildirimlere güvenmeye devam etmiştir.
Mahkemenin sonucu nettir: sakatlanmış irade koşullarında verilen bu onayların, serbest ve tam bilinçli irade açıklamalarıyla aynı hukuki ağırlığa sahip tutulması mümkün değildir.
Bu, uygulamada çok işe yarayan bir ayrımdır. Onayları iki gruba bölmek gerekir:
| Onay grubu | Ne zaman verildi? | Hukuki ağırlığı |
|---|---|---|
| Birinci grup: parola ve ilk doğrulama kodu | Hesap kontrolü kullanıcıdaydı | Tam iradeye yakın; müterafik kusurun asıl kaynağı |
| İkinci grup: cihaz, adres ve transfer onayları | Hesap kontrolü el değiştirdikten sonra | Sakatlanmış irade; aynı ağırlıkta değerlendirilemez |
Nedensellik: Kullanıcı Onayı Bağı Koparır mı?
Mahkeme bu soruyu doğrudan yanıtlamıştır. Bekleme süresi mekanizması, kullanıcının onaylarından bağımsız olarak devreye girecek bir sistem güvencesidir. Bu mekanizma, kullanıcının hatasından değil platform tasarımından kaynaklanan bir koruma katmanıdır. Saldırı ancak bu mekanizmanın yokluğunda zararı tamamlanmış biçimde üretebilmiştir.
Buna karşı davalının öne sürdüğü, davacının tüm onayları kendisinin verdiği argümanı kusur paylaşımını etkilemekte; ancak nedensellik bağını koparmamaktadır.
Bu cümle, benzer dosyalarda ezberlenmesi gereken formüldür. Platform savunmasının tamamı “kullanıcı onayladı” üzerine kuruludur ve bu savunma nedenselliği değil, yalnızca oranı etkiler.
Bugün Durum Daha da Güçlü: MASAK 29 No.lu Tebliğ
Kararın en önemli pratik sonucu, karar metninde yalnızca bir cümleyle geçen ancak bugünkü dosyalar bakımından her şeyi değiştiren bir olguda saklıdır.
Mahkeme, davalının “yasal zorunluluk yoktu” savunmasını değerlendirirken şunu tespit etmiştir: Türkiye’de kripto varlık borsalarına ilişkin ilgili düzenleme olan MASAK 29 No.lu Genel Tebliğ, yeni adres ve transfer limitine ilişkin zorunlulukları ancak Haziran 2025’te getirmiştir. Söz konusu Tebliğ 28 Haziran 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.
Tebliğ ile getirilen zorunluluklar şunlardır:
| Yükümlülük | Süre veya limit |
|---|---|
| Kripto varlık çekim işlemlerinde bekleme | Alım, takas veya yatırma işleminden itibaren en az 48 saat |
| İlk kripto varlık çekim işlemi | En az 72 saat |
| Değerini sabit tutmayı amaçlayan kripto varlıkların başka platformlara transferi | Günlük 3.000 ABD doları, aylık 50.000 ABD doları; belirli güvenlik tedbirleri alınırsa iki katına çıkarılabilir |
Bu, davanın hukuki zeminini kökten değiştiriyor. 2021 tarihli olayda mahkeme, bekleme süresini sektör standardı sayarak basiretli tacir ölçütü üzerinden sorumluluk kurmuştu; davalının “kanunen zorunlu değildi” savunması olgusal olarak doğruydu ancak yeterli görülmedi. 28 Haziran 2025’ten sonra gerçekleşen olaylarda ise bu savunma tamamen ortadan kalkmıştır; çünkü bekleme süresi artık bir sektör teamülü değil, doğrudan mevzuat yükümlülüğüdür. Dolayısıyla bugünkü dosyalarda yüzde 70 oranı bir tavan değil, makul bir taban olarak değerlendirilmelidir. Güncel limit ve süreler için kripto çekim limitleri rehberimizi inceleyebilirsiniz.
Manevi Tazminat Neden Reddedildi ve Neye Mal Oldu?
Davacı 100.000 TL manevi tazminat talep etmiş, bu talep tümüyle reddedilmiştir. Gerekçeyi anlamak, benzer davaları planlarken önemlidir.
Mahkeme, manevi tazminatın kişilik haklarının ihlali ve bunun yarattığı manevi acıyı karşılamak amacıyla hükmedildiğini belirtmiştir. Uyuşmazlık ise özünde kripto varlıkların kaybedilmesine ilişkin maddi bir zarara dayanmaktadır. Davacının şeref, onur, bedensel bütünlük veya özel yaşam gibi kişilik değerlerine yönelik doğrudan bir saldırı olgusu ispat edilememiştir.
Mahkemenin kilit cümlesi şudur: birikimlerin kaybedilmesi son derece üzücü olmakla birlikte, her önemli maddi kaybın otomatik olarak manevi tazminata yol açacağı kabul edilemez; aksi yorum, manevi tazminat kurumunun maddi tazminatı tamamlayan bir ek araca dönüşmesi anlamına gelir.
Mahkeme ayrıca ikinci bir gerekçe eklemiştir: davacının yüzde 30 oranındaki müterafik kusuru gözetildiğinde, kendi kusuruyla sözleşmeden doğan yükümlülüklerini ihlal eden tarafın bu sonuçlardan manevi tazminat talep etmesi hukuki tutarsızlık oluşturur.
Gözden Kaçan Tuzak: Vekâlet Ücreti Dengesi
Kararın hüküm fıkrası dikkatle okunduğunda, davayı kazanan tarafın karşılaştığı ve hiçbir içerikte ele alınmayan bir sonuç ortaya çıkıyor.
| Kalem | Tutar | Kim öder? |
|---|---|---|
| Davacı lehine vekâlet ücreti | 48.160,00 TL | Davalı öder |
| Davalı lehine vekâlet ücreti (maddi talebin reddedilen kısmı) | 45.000,00 TL | Davacı öder |
| Davalı lehine vekâlet ücreti (manevi talebin reddi) | 45.000,00 TL | Davacı öder |
| Vekâlet ücretinde net sonuç | 41.840,00 TL | Davacı net ödeyici |
| Manevi tazminat talebinin toplam maliyeti | 45.732,00 TL (vekâlet artı maktu red harcı) | Davacı |
| Yargılama giderinin davacı üzerinde kalan kısmı | 4.600,80 TL | Davacı |
Pratik sonuç: davacı 301.000 TL ve beş yıllık avans faizi kazanmıştır; bu ciddi bir başarıdır. Ancak reddedilen 100.000 TL’lik manevi tazminat talebi tek başına 45.732 TL‘ye mal olmuştur. Kazanılma ihtimali düşük bir kalem eklemek, hüküm altına alınan tutarın önemli bir bölümünü eritebilir. Dava dilekçesi hazırlanırken talep kalemlerinin, kazanılma olasılığı ve red hâlindeki vekâlet ücreti riski birlikte değerlendirilerek belirlenmesi gerekir.
Görevli Mahkeme: Tüketici mi, Ticaret mi?
Dosya önce tüketici mahkemesinde açılmış, o mahkemenin görevsizlik kararıyla asliye ticaret mahkemesine tevdi edilmiştir. Bu usul meselesi, aynı hatayı yapmamak bakımından önemlidir.
Mahkemenin gerekçesi şudur: tüketici, ticari veya mesleki olmayan amaçlarla hareket eden kişidir. Yatırım amacıyla kripto varlık alım satımı yapan kişiler bu kapsamda tüketici sayılamaz. Taraflar arasındaki sözleşme komisyonculuk ve saklama hükümlerini içerdiğinden ticari dava vasfı taşımaktadır.
Bunun pratik sonuçları şunlardır:
- Görevli mahkeme asliye ticaret mahkemesidir. Tüketici mahkemesinde açılan dava görevsizlikle sonuçlanır ve zaman kaybettirir.
- Zorunlu arabuluculuk uygulanır. Kararda tarafların arabuluculuk sürecinde anlaşamadıkları ve bu giderin kabul-red oranına göre paylaştırıldığı görülmektedir. Dava açmadan önce arabuluculuğa başvurulması dava şartıdır.
- Ticari faiz uygulanır. Mahkeme avans faizine hükmetmiştir.
- Nispi harç ve vekâlet ücreti rejimi geçerlidir. Tüketici mahkemesindeki harç muafiyetlerinden yararlanılamaz.
Davalının husumet itirazı ise reddedilmiştir. Mahkemenin gerekçesine göre, dolandırıcılık eyleminin faili üçüncü kişiler olmakla birlikte, platforma yöneltilen sorumluluk doğrudan bu kişilerin eylemine değil, platform güvenliği kapsamındaki eksikliklere dayanmaktadır.
Mağdur İçin Delil ve Eylem Haritası
Bu tür dosyalarda sonucu belirleyen şey, ilk saatlerde toplanan delillerdir. Kararda hükmün dayandığı delil kümesi açıkça sayılmıştır; aynı listeyi kendi dosyanız için çıkarmalısınız.
İlk Saatler
- Platforma yazılı bildirim yapın. Kararda çağrı merkezi ses kayıtları ve müşteri hizmetleri yazışmaları esaslı delil olarak kullanılmıştır. Bildirimin saat ve dakikası belgelenmelidir.
- Hesabı kapattırın. Ek transferleri engellemek için hesabın işleme kapatılmasını talep edin.
- Ekran görüntülerini alın. Sahte site adresi, sosyal medya paylaşımı ve bağlantı; bu hesaplar hızla kapatılır.
- İşlem kimliklerini çıkarın. Transferlerin zincir üstü kayıtları, takibin başlangıç noktasıdır.
- Savcılığa suç duyurusunda bulunun. Kararda savcılık soruşturma dosyasındaki teknik bilirkişi raporu hukuk davasında da kullanılmıştır.
Dava Öncesi Toplanacak Deliller
| Delil | Neyi ispatlar? |
|---|---|
| Kullanım sözleşmesi | Platformun taahhüt ettiği güvenlik yükümlülükleri ve kullanıcı sorumluluk maddeleri |
| Log kayıtları ve hesap hareketleri | Giriş, cihaz kaydı, adres ekleme ve transfer zamanlarının dakika bazında sıralaması |
| Müşteri hizmetleri yazışmaları ve ses kayıtları | Bildirim zamanı ve platformun tepki süresi |
| Sosyal medya ekran görüntüleri | Saldırının platform kimliğini araçsallaştırdığı |
| Zincir üstü işlem kayıtları | Fonun akışı ve katmanlama davranışı |
| Savcılık dosyasındaki teknik rapor | Olayın teknik seyri |
| Platformun geçmiş uyarı paylaşımları | Tehdit modelini bildiğini; bu, kararın en güçlü dayanağıdır |
| Rakip borsaların o tarihteki uygulamaları | Sektör standardının ne olduğu |
Son iki satır kritiktir. Kararda mahkeme, davalının kendi geçmiş uyarılarını “tehdidi biliyordu” tespitinin dayanağı yapmış; rakip borsaların bekleme sürelerini ise sektör standardının kanıtı saymıştır. Bu iki delil kalemi dosyaya sunulmazsa, basiretli tacir argümanı soyut kalır. Süreç yönetiminin diğer boyutları için kripto hesap dolandırıcılığı ve kripto para blokesi çalışmalarımızı; suç tipinin genel çerçevesi için kripto para dolandırıcılığı sayfamızı inceleyebilirsiniz.
Kripto Borsasındaki Hesabınız Oltalama Saldırısıyla mı Boşaltıldı?Platform sorumluluğunun tespiti, bilirkişi sorularının kurgulanması, sektör standardı karşılaştırması ve tazminat davası süreçlerinde hukuki destek alabilirsiniz.
En Sık Yapılan Sekiz Hata
- “Kendi hatam, yapacak bir şey yok” diye vazgeçmek. Karar, kod paylaşan kullanıcının dahi yüzde 70 oranında tazminat alabildiğini göstermektedir.
- Tüketici mahkemesinde dava açmak. Yatırım amaçlı kripto işlemlerinde görevli mahkeme asliye ticaret mahkemesidir; aksi görevsizlikle sonuçlanır.
- Arabuluculuğu atlamak. Ticari davalarda arabuluculuk dava şartıdır.
- İddiayı yalnızca “geç dönüş yapıldı” üzerine kurmak. Bilirkişi, onaylanmış transferin geri alınamayacağını tespit etmiştir; bu argüman tek başına sonuç doğurmaz. Asıl güçlü iddia bekleme süresi ve kümülatif risk analizi eksikliğidir.
- Sektör standardını belgelememek. Rakip borsaların o tarihteki uygulamaları dosyaya sunulmazsa basiretli tacir iddiası soyut kalır.
- Platformun geçmiş uyarılarını toplamamak. Bu paylaşımlar, tehdidin bilindiğinin en somut kanıtıdır.
- Yüksek manevi tazminat talep etmek. Reddedilen manevi talep, kararda 45.732 TL’ye mal olmuştur.
- Faizi dava tarihinden istemek. Zarar olay tarihinde doğmuştur; faiz olay tarihinden talep edilmelidir.
Sıkça Sorulan Sorular
SMS kodunu ben paylaştım; borsa yine de sorumlu olur mu?
Evet, olabilir. İstanbul 14. Asliye Ticaret Mahkemesinin 2021/517 E., 2026/243 K. sayılı kararında kullanıcı parolasını, doğrulama kodunu ve sonraki tüm onayları bizzat vermiş olmasına rağmen platform yüzde 70 kusurlu bulunmuştur. Mahkemeye göre kullanıcının verdiği onaylar kusur paylaşımını etkiler ancak nedensellik bağını koparmaz; çünkü yeni adrese bekleme süresi uygulanması gibi mekanizmalar kullanıcının onayından bağımsız çalışan sistem güvenceleridir.
Borsa “bu önlemler yasal zorunluluk değildi” derse ne olur?
Bu savunma tek başına yeterli değildir. Mahkeme, iddianın olgusal doğruluğunu kabul etmiş ancak hukuki savunma olarak reddetmiştir. Gerekçeye göre Türk Ticaret Kanunu’nun 18/2. maddesindeki basiretli tacir standardı, yalnızca yasal zorunlulukları yerine getirmeyi değil, sektörde bilinen ve uygulanan makul güvenlik önlemlerini almayı da kapsar. Bir önlemin yasal olarak zorunlu kılınmamış olması, basiretli tacirin o önlemi sektör uygulamaları ışığında almasını gerektirmediği anlamına gelmez.
Bugün aynı olay olsa sonuç değişir mi?
Evet, mağdur lehine güçlenir. 28 Haziran 2025 tarihli Resmî Gazete’de yayımlanan MASAK 29 No.lu Genel Tebliğ ile kripto varlık çekim işlemlerinde alım, takas veya yatırma işleminden itibaren en az 48 saat, ilk çekim işlemlerinde ise en az 72 saat bekleme süresi zorunlu hâle getirilmiştir. Karara konu olayda bekleme süresi bir sektör standardıydı ve mahkeme sorumluluğu basiretli tacir ölçütü üzerinden kurmuştu. Bu tarihten sonraki olaylarda ise söz konusu önlem doğrudan mevzuat yükümlülüğüdür; dolayısıyla yüzde 70 oranı tavan değil taban olarak değerlendirilmelidir.
Kusur oranı nasıl belirlendi?
Mahkeme davalının kusurunu yüzde 70, davacının kusurunu yüzde 30 olarak belirlemiştir. Davalı aleyhine değerlendirilen unsurlar: tehdit modelinin yıllardır bilinmesi ve davalının bu konuda bizzat uyarı yayımlamış olması, sektörde yerleşik bekleme süresi ve anomali tespiti mekanizmalarının uygulanmaması, bu eksikliklerin kullanıcının iradesinden bağımsız çalışması gereken sistem güvencelerine ilişkin olması. Davacı aleyhine değerlendirilenler: sözleşmede açıkça zorunlu kılınan adres kontrolünün yapılmaması ve doğrulama kodunun sahte siteye girilmesi.
Hangi mahkemede dava açmalıyım?
Asliye ticaret mahkemesinde. Karara konu dosya önce tüketici mahkemesinde açılmış, o mahkemenin görevsizlik kararıyla asliye ticaret mahkemesine tevdi edilmiştir. Mahkemenin gerekçesine göre yatırım amacıyla kripto varlık alım satımı yapan kişiler tüketici sayılamaz; taraflar arasındaki sözleşme komisyonculuk ve saklama hükümleri içerdiğinden ticari dava vasfı taşır. Ayrıca ticari davalarda arabuluculuk dava şartıdır.
Faiz hangi tarihten işler?
Zarar tarihinden. Mahkeme, davalının faizin dava tarihinden işlemesi gerektiği yönündeki savunmasını reddetmiş; zararın olay tarihinde gerçekleştiğini ve tazminat borcunun bu tarihte muaccel hâle geldiğini belirtmiştir. Gerekçeye göre tazminatın zarar tarihinden itibaren faiziyle birlikte hükmedilmesi, gecikmenin alacaklı aleyhine sonuç doğurmaması ilkesinin zorunlu gereğidir. Kararda avans faizine hükmedilmiştir.
Manevi tazminat da alabilir miyim?
Somut olayda reddedilmiştir. Mahkemeye göre uyuşmazlık özünde kripto varlıkların kaybedilmesine ilişkin maddi bir zarara dayanmakta olup, davacının şeref, onur, bedensel bütünlük veya özel yaşam gibi kişilik değerlerine yönelik doğrudan bir saldırı ispat edilememiştir. Mahkeme, her önemli maddi kaybın otomatik olarak manevi tazminata yol açacağının kabul edilemeyeceğini belirtmiştir. Ayrıca bu talep davacıya vekâlet ücreti ve maktu harç olarak toplam 45.732 TL’ye mal olmuştur.
“Kullanıcı her adımda onay verdi” savunması dosyayı bitirir mi?
Hayır. Mahkeme onayları ikiye ayırmıştır: hesap kontrolü kullanıcıdayken verilen onaylar ile hesap kontrolü el değiştirdikten sonra verilenler. İkinci gruptaki onaylar, kullanıcının saldırganların kurguladığı gerçeklik algısı içinde ve güvendiği platformun kendi sisteminden gelen gerçek bildirimlere güvenerek verdiği onaylardır. Mahkemeye göre sakatlanmış irade koşullarında verilen bu onayların serbest ve tam bilinçli irade açıklamalarıyla aynı hukuki ağırlıkta tutulması mümkün değildir.
Borsanın hangi eksikliklerini ileri sürmeliyim?
Bilirkişi raporunda beş kontrol sayılmıştır: yeni eklenen adrese bekleme süresi veya düşük limit uygulaması, yüksek tutarlı işlemler için geciktirme ve manuel inceleme, kullanıcı davranışına dayalı anomali tespiti, dinamik işlem limiti ve kombinasyonel risk analizi. Bunlardan özellikle sonuncusu güçlüdür: yeni cihaz, yeni adres ve yüksek tutar tetikleyicilerinin aynı oturumda ardışık gerçekleşmesi risk profilini katlanmış ölçüde yükseltir ve mahkeme bunu bağımsız bir sorumluluk gerekçesi saymıştır.
Transfer geri alınabilir mi?
Hayır. Bilirkişi raporunda, kripto varlıkların yapısı gereği kullanıcı tarafından onaylanan işlemlerin ağa iletildiği ve onaydan sonra platform dâhil hiç kimsenin iptalinin mümkün olmadığı tespit edilmiştir. Nitekim transfer onay e-postasında da işlemin geri alınamayacağı açıkça hatırlatılmıştır. Bu nedenle dava stratejisini “geç dönüş yapıldı” argümanı üzerine kurmak isabetli değildir; asıl güçlü iddia, transferin gerçekleşmesini en baştan engelleyecek sistem güvencelerinin bulunmamasıdır.
Bu tür davalar ne kadar sürüyor?
Karara konu dosyada olay 18.02.2021 tarihinde gerçekleşmiş, dava 25.03.2021 tarihinde açılmış ve karar 12.03.2026 tarihinde verilmiştir; yargılama yaklaşık beş yıl sürmüştür. Bu sürede üç ayrı bilirkişi raporu alınmıştır. Uzun süre, faiz talebinin doğru kurulmasını daha da önemli hâle getirir; zarar tarihinden işleyecek faiz, beş yıllık bir yargılamada hükmedilen tutarın önemli bir bölümüne karşılık gelebilir.
Dolandırıcılık mağduru olduğumu ispatlamak zor mu?
Deliller zamanında toplanırsa hayır. Karara konu dosyada hüküm; kullanım sözleşmesi, log kayıtları ve hesap hareketleri, müşteri hizmetleri yazışmaları ile çağrı merkezi ses kayıtları, sosyal medya ekran görüntüleri, zincir üstü işlem kayıtları, savcılık soruşturma dosyasındaki teknik bilirkişi raporu ve mahkemece alınan bilirkişi raporlarına dayandırılmıştır. Ayrıca platformun geçmiş oltalama uyarıları ile rakip borsaların o tarihteki uygulamaları dosyaya sunulmalıdır; bunlar olmadan basiretli tacir iddiası soyut kalır.
Borsa “biz dolandırıcılık işleminin tarafı değiliz” derse?
Bu husumet itirazı kararda reddedilmiştir. Mahkemenin gerekçesine göre dolandırıcılık eyleminin faili dava dışı üçüncü kişiler olmakla birlikte, platforma yöneltilen sorumluluk doğrudan bu kişilerin eylemine değil, platformun kendi güvenlik yükümlülüğü kapsamındaki eksikliklerine dayanmaktadır. Platformun özen yükümlülüğünü yerine getirmemesinin zararın oluşumuna nedensel katkıda bulunmuş olması ihtimalinin yargılama yoluyla araştırılması gerektiğinden husumetin platforma yöneltilmesi yerinde görülmüştür.
Avukat Tarafından Yazılmıştır
Av. Ahmet Karaca, Marmara Üniversitesi Hukuk Fakültesi’nden onur derecesiyle mezun olmuş, İstanbul Barosu’na kayıtlı bir Türk avukattır. Kripto para hukuku, blockchain hukuku, bilişim hukuku ve yapay zeka hukuku alanlarında uzmanlaşmış olup, Türkiye’nin her yerinde avukatlık ve hukuki danışmanlık hizmeti vermektedir. Haberler.com’da “Bilişim Avukatı | Kripto Para Avukatı” imzasıyla köşe yazıları kaleme almaktadır. Platform sorumluluğu, bloke ve tazminat dosyalarına ilişkin çalışmalarımız için kripto para avukatı sayfamızı inceleyebilirsiniz.
Bu içerik yalnızca genel bilgilendirme amaçlıdır; somut hukuki görüş, yatırım tavsiyesi veya avukat-müvekkil ilişkisi oluşturmaz. Aktarılan karar ilk derece mahkemesi kararı olup istinaf kanun yolu açıktır ve somut olayın kendi koşulları içinde verilmiştir; her dosyada aynı sonucun doğacağı anlamına gelmez. Kusur oranları her uyuşmazlıkta ayrıca takdir edilir. Mevzuat ve içtihat değişebileceğinden, somut bir başvuru öncesinde güncel metinler kontrol edilmeli ve profesyonel hukuki destek alınmalıdır. Resmî metinler için Resmî Gazete ve MASAK kaynakları esas alınmalıdır.
