Kripto Para Dolandırıcılığında Borsa ve Bankanın Hukuki Sorumluluğu

Kripto para piyasalarının küresel ölçekte yakaladığı işlem hacmi, finansal kapsayıcılığı artırmakla birlikte, organize siber suç örgütleri ve dolandırıcılar için de yeni alanlar yaratmıştır. Oltalama (phishing) saldırıları, sahte yatırım platformları, Ponzi şemaları, sosyal mühendislik yöntemleri, SIM kopyalama ve cüzdan ele geçirme gibi yöntemlerle her gün binlerce kullanıcı finansal kayba uğramaktadır.

Bir kripto para dolandırıcılığı vakası gerçekleştiğinde, fonların izlediği hat genellikle şu şekildedir: Mağdurun Banka Hesabı $\to$ Yerli Kripto Para Borsası (Fiat-Kripto Köprüsü) $\to$ Harici/Yabancı Kripto Borsa Cüzdanları $\to$ Karıştırıcılar (Mixer) veya Kişisel Soğuk Cüzdanlar.

Bu zincirde en kritik iki aktör bankalar ve kripto para borsalarıdır. Mağdurun dolandırıcıya bizzat ulaşıp parasını tahsil etmesi anonimlik ve sınır ötesi engeller nedeniyle çoğu zaman mümkün olmadığından, hukuki uyuşmazlığın merkezine şu soru oturmaktadır: Dolandırıcılık sürecinde aracılık eden, fonların geçişine imkân tanıyan veya güvenlik açığı barındıran bankaların ve kripto para borsalarının hukuki, cezai ve idari sorumluluğu nedir?

Bu kapsamlı ve akademisyen titizliğiyle hazırlanan çalışmada; banka ve borsaların hukuki statüleri, özen ve sadakat borçları, mevzuatımızdaki sorumluluk esasları, emsal nitelikteki yargı yaklaşımları ve mağdurların başvurabileceği hukuki yollar her iki aktör bakımından ayrı ayrı ve bağlantılı olarak ele alınmıştır.

1. Hukuki Çerçeve ve Hizmet Sağlayıcıların Statüsü

Sorumluluk rejimini belirleyebilmek için öncelikle bankalar ile kripto para borsalarının hukuki niteliğini ve tabi oldukları mevzuat esaslarını tanımlamak gerekir.

                               Finansal Aktörler
                                       │
       ┌───────────────────────────────┴───────────────────────────────┐
       ▼                                                               ▼
  Bankalar (5411 sayılı Bankacılık Kanunu)            Kripto Varlık Hizmet Sağlayıcılar (KVHS)
   ├── Ağırlaştırılmış özen yükümlülüğü                ├── 7518 sayılı Kanun (SPK Düzenlemesi)
   ├── Güven kurumu niteliği                           ├── Müşterini Tanı (KYC) zorunluluğu
   ├── Bilişim/Güvenlik sorumluluğu (BDDK)             ├── MASAK bildirim yükümlülüğü (5549 s. K.)
   └── kusursuz/Tehlike sorumluluğu eğilimi            └── Özel saklama ve basiretli tacir borcu

A. Bankaların Hukuki Statüsü ve Güven Kurumu Niteliği

Bankalar, 5411 sayılı Bankacılık Kanunu çerçevesinde faaliyet gösteren, kamu güvenine mazhar olmuş özel güven kurumlarıdır.

• Ağırlaştırılmış Özen Borcu: Yargıtay Hukuk Genel Kurulu ve ilgili dairelerinin yerleşik içtihatlarına göre bankalar, sıradan bir basiretli tacirden (TBK m. 18/2) farklı olarak, topladıkları mevduatın ve yürüttükleri transfer sistemlerinin güvenliğini sağlamada ağırlaştırılmış özen borcu altındadır.

• Kusursuz Sorumluluk Eğilimi: Bankacılık işlemlerinde bilişim sistemlerinin güvenliğinin sağlanamaması, mevduatın korunmasında zafiyet gösterilmesi veya şüpheli işlemlere göz yumulması durumunda bankaların sorumluluğu kusursuz sorumluluğa yakın bir düzeye çekilmektedir.

B. Kripto Para Borsalarının (KVHS) Hukuki Statüsü

Türkiye’de 7518 sayılı Kanun ile 6362 sayılı Sermaye Piyasası Kanunu’nda yapılan değişiklikler neticesinde kripto varlık hizmet sağlayıcılar (KVHS) yasal bir tanıma kavuşmuştur.

• Basiretli Tacir ve Saklama Borcu: Borsalar, kullanıcı ile aralarında kurulan “Kendine Özgü Yapısı Olan Hizmet ve Saklama Sözleşmesi” (Sui Generis) uyarınca basiretli bir tacir gibi hareket etmek, kullanıcı fonlarını güvenle muhafaza etmek ve transfer emirlerini hukuka uygun olarak yerine getirmekle yükümlüdür.

• MASAK ve Suç Gelirlerinin Aklanması Mevzuatı: 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun uyarınca kripto borsaları “Yükümlü” sıfatına sahiptir. Müşterinin kimliğini doğrulamak (KYC), şüpheli işlemleri tespit etmek ve derhal MASAK’a bildirmek zorundadırlar.

2. Kripto Dolandırıcılığında Bankaların Hukuki Sorumluluğu

Kripto para dolandırıcılığı vakalarında bankanın sürece dahiliyeti genellikle iki şekilde gerçekleşir:

1. Mağdurun kendi banka hesabından dolandırıcının veya bir kripto borsasının hesabına para transferi yapması (Mobil/İnternet şubesi kanalıyla).

2. Dolandırıcının, mağdurun internet bankacılığı bilgilerini ele geçirerek hesaptaki parayı veya çekilen krediyi onay almaksızın kripto borsasına aktarması (SIM kart kopyalama, olta avcılığı vb.).

A. Yetkisiz İşlemlerde Bankanın Sorumluluğu (İnternet Bankacılığı Ele Geçirilmesi)

Mağdurun bilgisi ve iradesi dışında internet bankacılığına girilerek paranın bir kripto borsası hesabına transfer edildiği durumlarda bankanın sorumluluğu nettir.

• İlliyet Bağı ve Mevduatın Niteliği: Bankaya yatırılan para usulünce çekilmedikçe veya yetkili kişinin talimatıyla transfer edilmedikçe bankanın mülkiyetinde sayılır ve riski bankaya aittir. Yargıtay 11. Hukuk Dairesi’nin istikrarlı kararlarına göre; üçüncü kişilerin sahte belgeler veya siber korsanlık yöntemleriyle banka hesabını boşaltarak kripto borsalarına para aktarması durumunda, banka bu zararı tazmin etmek zorundadır.

• Müşterinin Ağır Kusuru İstisnası: Banka ancak mağdurun şifrelerini ve tek kullanımlık güvenlik kodlarını üçüncü kişilere kasten veya ağır ihmaliyle verdiğini kanıtlayabilirse sorumluluktan kurtulabilir. Ancak kullanıcıya ait şifrenin olta avcılığı (phishing) yöntemiyle ele geçirilmesi durumunda dahi bankanın çift faktörlü doğrulama (2FA), cihaz tanıma ve şüpheli işlem kontrolü altyapısındaki eksiklikler nedeniyle ortak kusur / müterafik kusur (TBK m. 52) ilkesi gereği zararın büyük kısmından sorumlu tutulduğu görülmektedir.

B. Mağdurun Kendi Eliyle Yaptığı Transferlerde Bankanın Sorumluluğu

Mağdur, dolandırıcı tarafından ikna edilerek (örneğin kendisini polis, savcı veya yatırım danışmanı olarak tanıtan kişilerce) parayı bizzat kendi banka hesabından transfer etmişse durum daha karmaşıktır.

• İzleme ve Basiret Yükümlülüğü: Banka, bir müşterinin olağan dışı işlem kalıplarını (örneğin emekli bir vatandaşın aniden yüksek tutarlı krediler çekip ilk kez açılan bir kripto borsa hesabına peş peşe para göndermesi) takip etmekle yükümlü müdür?

• Şüpheli İşlem Bloke Yükümlülüğü: BDDK düzenlemeleri ve MASAK rehberleri uyarınca bankalar, müşteri profiliyle uyuşmayan, dolandırıcılık şüphesi barındıran transferleri geçici olarak durdurmak, müşteriyi arayarak teyit etmek ve gerekirse işlemi reddetmekle yükümlüdür. Banka, sistem alarm vermesine veya bariz bir dolandırıcılık anomalisi bulunmasına rağmen transferi onaylamışsa özen borcunun ihlali nedeniyle tazminat sorumluluğu doğar.

                        Bankanın Sorumluluk Matrisi
                                     │
       ┌─────────────────────────────┴─────────────────────────────┐
       ▼                                                           ▼
Yetkisiz İşlem (Siber Korsanlık / SIM Kopyalama)     Mağdurun Kendi Eliyle Yaptığı Transfer
 ├── Bankanın Kusursuz Sorumluluğu Esastır            ├── Kural: Banka sorumsuz (Talimat var)
 ├── Risk Bankaya Aittir                              └── İstisna: Şüpheli İşlem Alarmına Rağmen
 └── Zararın %100'e Yakını Tazmin Edilir                  Basiret Gösterilmemesi (Müterafik Kusur)

3. Kripto Para Borsalarının Hukuki Sorumluluğu

Dolandırıcılık vakalarında fonlar bankadan çıktıktan sonra kripto para borsalarına ulaşır. Borsaların sorumluluğu; hesabın açılış aşamasından, fonun kripto varlığa dönüştürülüp harici cüzdanlara transfer edilmesine kadar geçen süreçteki tutumlarına göre belirlenir.

A. Müşterini Tanı (KYC) ve Sahte Hesap Açılışları

Dolandırıcılar genellikle suç gelirlerini aklamak ve izlerini kaybettirmek için üçüncü kişilere ait (para karşılığı kiralanan “mule/katır” hesaplar) veya sahte/çalıntı kimlik belgeleriyle açılmış borsa hesaplarını kullanırlar.

• Kimlik Doğrulama Zafiyeti: Borsa, canlılık testi (liveness check), kimlik doğrulaması veya adres teyidini yüzeysel yapmış ve sahte bir hesabın açılmasına izin vermişse, suçun işlenmesine zemin hazırlamış olur.

• Yasal Sorumluluk: Eksik KYC prosedürleriyle açılan hesap üzerinden dolandırıcılık parası aklanmışsa, borsa hem MASAK tarafından ağır idari para cezalarına çarptırılır hem de zararın tazmininde haksız fiile iştirak veya özen borcuna aykırılık nedeniyle borçlu konumuna düşer.

B. MASAK Şüpheli İşlem Bildirimi ve Fonların Dondurulması Yükümlülüğü

5549 sayılı Kanun m. 4 uyarınca borsalar, kendileri nezdinde yapılan veya yapılmaya teşebbüs edilen işlemlerin illegal yollardan elde edildiğine veya illegal amaçlarla kullanıldığına dair herhangi bir bilgi, şüphe veya şüpheyi gerektirecek bir husus bulunması halinde durumu MASAK’a bildirmek zorundadır.

• İşlemi Görmezden Gelme (Göz Yumma): Yeni açılmış, hiç işlem geçmişi olmayan bir borsa hesabına aniden bankadan yüksek tutarda TL gelmesi ve bu tutarla derhal Tether (USDT) alınarak dakikalar içinde izi sürülemeyen harici bir soğuk cüzdana çekilmesi (Withdrawal) kripto dünyasındaki en tipik dolandırıcılık tipolojisidir.

• Transferin Durdurulmaması: Borsa, bu tür tipik dolandırıcılık kalıplarını algılayacak algoritmaları kurmak ve transferi “risk incelemesi” gerekçesiyle dondurmak zorundadır. Otomatik risk sistemlerini çalıştırmayan ve fonun platform dışına kaçmasına sebep olan borsa, ağır ihmali nedeniyle tazminatla sorumlu tutulur.

C. Borsanın İç Siber Güvenlik Zafiyetleri

Dolandırıcılık borsa altyapısının hacklenmesi, veritabanının sızdırılması veya API anahtarlarının ele geçirilmesi yoluyla gerçekleşmişse; borsa TBK m. 112 (Sözleşmeye Aykırılık) ve Borçlar Kanunu’nun ifa yardımcısı sorumluluğu (TBK m. 116) hükümleri uyarınca kullanıcıların tüm zararını karşılamakla mükelleftir.

4. Hukuki Sorumluluğun Şartları ve Kusur Derecelendirmesi

Bir dolandırıcılık olayında bankanın veya borsanın tazminat ödemekle yükümlü kılınabilmesi için hukukun aradığı temel unsurlar şunlardır:

[Hukuka/Sözleşmeye Aykırı Eylem/İhmal] + [Kurumun Kusuru (Ağır/Hafif)] + [Zarar] + [İlliyet Bağı] = TAZMİNAT

1. Uygun İlliyet Bağı

Kurumun (banka veya borsa) ihmali ile meydana gelen zarar arasında mantıksal ve hukuki bir nedensellik bağı kurulmalıdır. Örneğin, banka hesabı ele geçirildiğinde banka SMS bildirimini doğru numaraya atmış ancak kullanıcı şifresini dolandırıcıya bizzat telefon konuşmasında vermişse, illiyet bağı kesilebilir veya zayıflayabilir.

2. Müterafik Kusur (Ortak Kusur – TBK m. 52)

Uygulamadaki davalarda mahkemeler genellikle %100 banka veya %100 müşteri kusuru vermek yerine kusur paylaşımı yapmaktadır.

• Örnek Kusur Dağılımı: Olta avcılığı (Phishing) yöntemiyle kandırılan ve şifresini sahte siteye giren mağdur %30-%50 oranında kusurlu bulunurken; şüpheli işlemi tespit edip bloke koymayan veya çift faktörlü güvenlikte zafiyet gösteren banka/borsa %50-%70 oranında kusurlu bulunarak zararın bu orandaki kısmını ödemeye mahkûm edilmektedir.

5. Banka ve Borsalara Karşı Başvurulabilecek Hukuki Yollar

Dolandırılan bir kullanıcının finansal kurumların sorumluluğuna dayanarak parasını geri alabilmesi için izlemesi gereken adli ve idari yollar şunlardır:

                         Başvurulacak Hukuki Yollar
                                     │
       ┌─────────────────────────────┼─────────────────────────────┐
       ▼                             ▼                             ▼
Ceza Hukuku Yolu             Özel Hukuk (Tazminat)          İdari / Düzenleyici Yollar
 ├── Savcılık Şikayeti        ├── Noter İhtarnamesi          ├── BDDK Şikayeti (Banka)
 ├── El Koyma / Blokaj        ├── Zorunlu Arabuluculuk       ├── SPK / MASAK Şikayeti (Borsa)
 └── Banka/Borsa Kayıtları    └── Asliye Ticaret Mahkemesi   └── Tüketici Hakem Heyeti/Mahkemesi

A. Ceza Soruşturması ve Tedbir Talepleri (Savcılık)

• Derhal Şikayet: Nitelikli Dolandırıcılık (TCK m. 158/1-f – Bilişim sistemlerinin kullanılması siluetiyle) ve Bilişim Sistemine Girme (TCK m. 243) suçlarından Cumhuriyet Başsavcılığı’na başvurulur.

• CMK m. 128 Uyarınca El Koyma: Savcılıktan, paranın aktarıldığı banka hesaplarına ve yerli kripto para borsasındaki cüzdanlara acil el koyma / kısıtlama kararı verilmesi istenir. Fonlar harici cüzdanlara kaçmadan önce konulacak bir blokaj paranızı kurtarmanın en hızlı yoludur.

B. Özel Hukuk Yolları (Tazminat Davaları)

• İhtarname Adımı: Bankaya ve ilgili kripto borsasına Noter kanalıyla ihtarname çekilerek, güvenlik zafiyetleri ve özen borcu ihlali belirtilmeli, zararın tazmini istenmelidir.

• Arabuluculuk: Ticari uyuşmazlıklardan doğan alacak davalarında (TTK m. 5/A) dava açmadan önce arabuluculuğa başvurulması dava şartıdır.

• Tazminat Davası (Asliye Ticaret Mahkemesi): Banka ve/veya borsa aleyhine “Sözleşmeye aykırılıktan doğan tazminat” veya “Haksız fiilden doğan tazminat” davası açılır. Mahkeme, bankacılık ve bilişim uzmanı bilirkişilerden rapor alarak kurumların kusur oranını ve ödeyeceği tazminat tutarını belirler.

C. İdari Şikayetler (BDDK, MASAK, SPK)

• BDDK (Bankacılık Düzenleme ve Denetleme Kurumu): Güvenlik zafiyeti gösteren banka şikayet edilir. BDDK incelemesi davanın seyrini etkileyecek resmi raporlar doğurabilir.

• MASAK ve SPK: Yeterli KYC yapmayan veya şüpheli işlemi bildirmeyen kripto borsası MASAK ve SPK’ya şikayet edilir. Bu durum borsaya ağır idari yaptırımlar uygulanmasını sağlar.

6. Sık Karşılaşılan Dolandırıcılık Tipleri ve Kurumların Sorumluluk Tablosu

7. Yargıtay ve Emsal Mahkeme Kararlarının Yaklaşımı

Türk yargı uygulamasında dolandırıcılık vakalarına ilişkin ilkesel kararlar şekillenmiştir:

• Bankaların Sorumluluğuna İlişkin İlke: Yargıtay Hukuk Genel Kurulu’nun yerleşik kararlarında; “Bankalar birer güven kurumudur. İnternet bankacılığı sisteminin güvenliğini sağlama yükümlülüğü bankaya aittir. Müşterinin ağır kusuru kanıtlanamadığı sürece, üçüncü kişilerin bilişim sistemlerini hackleyerek hesaptaki parayı başka yerlere (kripto borsaları dahil) aktarmasından banka sorumludur” denmektedir.

• Kullanıcının Şifre Güvenliği Sorumluluğu: Mahkemeler, kullanıcının şifresini dolandırıcılara kendi eliyle telefonda sözlü olarak söylediği durumlarda kullanıcının ağır kusurlu olduğuna hükmedebilmekte; ancak bu durumda dahi bankanın “şüpheli işlem iptal” mekanizmasını işletip işletmediğini denetlemektedir.

• Kripto Borsalarına Yönelik Yeni Yaklaşım: 7518 sayılı Kanun sonrasında derece mahkemeleri, borsaların kimlik doğrulama süreçlerini ve şüpheli para çekme işlemlerine uyguladıkları 24 saatlik blokaj gibi koruma tedbirlerini incelemekte; bu tedbirleri almayan borsaları dolandırıcılığın gerçekleşmesinde müteselsilen sorumlu tutma eğilimi göstermektedir.

Sonuç ve Genel Değerlendirme

Kripto para dolandırıcılığı vakalarında paranın geri alınması yalnızca dolandırıcıların ceza almasıyla sınırlı değildir. Sürece aracılık eden finansal altyapı sağlayıcılarının —yani bankaların ve kripto para borsalarının— hukuki sorumluluklarına gitmek, mağduriyetin giderilmesindeki en reel yoldur.

1. Bankalar; bilişim sistemlerinin güvenliğini tam olarak sağlamak, SIM kart değişikliklerini ve şüpheli transfer kalıplarını algılayarak işlemi durdurmakla yükümlüdür. Yetkisiz işlemlerden doğan zararlardan banka bir güven kurumu olarak sorumludur.

2. Kripto Para Borsaları; sıkı KYC (Müşterini Tanı) ilkelerini uygulamak, suça aracılık eden kiralık/sahte hesapları engellemek, şüpheli işlemleri tespit edip derhal dondurmak ve MASAK’a bildirmek zorundadır. Bu yükümlülüklerin ihlali borsayı tazminat yükümlülüğü altına sokar.

Dolandırıcılığa maruz kalan bir kullanıcının zaman kaybetmeksizin; savcılık kanalıyla hesaplara el koyma tedbiri alması, banka ve borsanın güvenlik zafiyetlerini uzman bilirkişiler aracılığıyla tespit ettirmesi ve Asliye Ticaret Mahkemelerinde tazminat davalarını başlatması finansal kayıpların telafi edilmesinde en etkili hukuki yoldur.