VARA Uyumlu Kripto Cüzdan Geliştirme: 2026 Teknik Kılavuzu

Birleşik Arap Emirlikleri, Temmuz 2023 ile Haziran 2024 arasında 34 milyar dolarlık kripto para girişi kaydetti ve kurumsal büyüklükteki transferler (1 milyon ila 10 milyon dolar) yıllık bazda %55.07 oranında arttı. Bu rakam tesadüfen ortaya çıkmadı. Dubai'nin Sanal Varlıklar Düzenleme Kurumu'nu (VARA) kurması ve gerçek sermayeyi çekmek için yeterince hassas bir lisanslama mimarisi oluşturması sayesinde elde edildi. Bugün kripto cüzdanı geliştiren herhangi bir ekip için, VARA uyumlu kripto cüzdan geliştirme isteğe bağlı değil. Cüzdan Sağlama, VARA'nın çerçevesi altında tanımlanmış, düzenlenmiş bir faaliyettir; yani kullanıcılar adına dijital varlıkları depolayan, yöneten veya ileten herhangi bir platformun, tek bir işlem gerçekleştirilmeden önce faaliyete özgü bir lisansa sahip olması gerekir.

Bu kılavuz, VARA'nın 2026 yılında cüzdan geliştiricilerine dayattığı tüm teknik ve operasyonel gereksinimleri kapsar: lisans yapısı, teknoloji yönetimi zorunluluğu, AML ve KYC katmanı, saklama mimarisi ve geliştirme ortaklarını sadece bu etiketi kullananlardan ayıran satın alma kriterleri.

VARA Cüzdan Sağlama Lisansı nedir? 

VARA Cüzdan Sağlama Lisansı 2026 Yılında Gerçekte Neler Gerektiriyor?

VARA, Mayıs 2025'te tüm Kurallar Kitabı çerçevesinin 2.0 sürümünü yayınladı ve tüm değişiklikler 19 Haziran 2025'te yürürlüğe girdi. Cüzdan geliştiricileri için lisanslama modeli, genel VASP onayları yerine faaliyete özgü lisanslara dayanmaktadır. Kullanıcılar için dijital depolama çözümleri sağlama olarak tanımlanan Cüzdan Sağlama, Saklama Hizmetleri, Borsa, Aracılık ve Transfer ve Ödeme ile birlikte ayrı bir kategori olarak yer almaktadır.

Lisansı almak için başvuru sahiplerinin, VARA başvuruyu incelemeden önce ayrıntılı AML/CFT politikaları, finansal projeksiyonlar ve eksiksiz bir teknik altyapı planı sunmaları gerekmektedir. Dubai'de fiziksel varlık zorunludur: kuruluşların bir ofis kiralaması veya satın alması, bir Baş Bilgi Güvenliği Sorumlusu (CISO) ataması ve BAE'deki emanet hesaplarında veya onaylı teminat bonoları aracılığıyla ödenmiş sermayeyi muhafaza etmesi gerekmektedir. Uzaktan lisanslama yolu bulunmamaktadır.

Başvuru kalitesine bağlı olarak, uçtan uca onay süreci 4 ila 9 ay sürer. Teknik şartnameleri tam olarak belgelenmemiş, yönetim yapıları eksik veya sermaye hesapları yetersiz olan firmalar genellikle bu süreci yeniden başlatır.

Güncellenen Kurallar Kitabı'na göre, üç ayda bir müşteri ve işletme risk değerlendirmesi yapılması zorunludur, tavsiye niteliğinde değildir. Operasyonel risklere, siber tehditlere ve müşteri varlıklarının olası kaybına karşı koruma sağlayan sigorta kapsamı, onay sonrası bir husus değil, lisanslama koşuludur. Kanıtlanmış bir kripto cüzdan geliştirme çerçevesi üzerine inşa eden ekipler, sıfırdan mimari oluşturanlara göre VARA başvurusunu daha hızlı tamamlar.

VARA mevzuatına uygunluk açısından TGRAF nedir?

TGRAF (Teknoloji Yönetişimi ve Risk Değerlendirme Çerçevesi) , Dubai'de faaliyet gösteren kripto cüzdan platformları için VARA'nın zorunlu teknik yönetişim standardıdır. Şunları kapsar:

• Siber güvenlik kontrolleri
• Anahtar yönetim sistemleri
• Geliştirici erişimi
• operasyonel dayanıklılık
• Tehdit odaklı sızma testi (TLPT)

Basitçe ifade etmek gerekirse: TGRAF, cüzdan mimarinizin teknik olarak lisanslama için uygun olup olmadığını belirler.

Neden önemli? TGRAF standartlarına uyulmaması cüzdan onayını geciktirir veya engeller.

VARA TGRAF: Her Cüzdan Platformunun Hazır Olması Gereken Teknik Mimari 

Teknoloji Yönetişimi ve Risk Değerlendirme Çerçevesi (TGRAF), VARA uyumluluğunun teknik açıdan en önemli bileşenlerinden birini temsil etmektedir. VARA'nın güncellenmiş 2025 Kural Kitabı çerçevesi kapsamında güçlendirilen TGRAF, cüzdan platformları da dahil olmak üzere lisanslı sanal varlık hizmet sağlayıcılarının (VASP'ler) karşılaması gereken siber güvenlik, teknoloji yönetişimi ve operasyonel dayanıklılık beklentilerini belirler.

Birçok mühendislik ekibi için uyumluluk, yasal dokümantasyondan altyapı hazırlığına doğru kaydığı noktadır. VARA beklentileri, lisanslama evraklarının ötesine geçerek cüzdan mimarisi, güvenlik operasyonları, kriptografik sistemler ve geliştirme ortamlarının pratikte nasıl yönetildiğine kadar uzanır.

1. Geliştirici Ortamı Yönetimi

Cüzdan altyapısı, gevşek bir şekilde yönetilen mühendislik ortamlarında çalışamaz. Geliştirme depoları, dağıtım iş akışları, ayrıcalıklı erişim ve üretim altyapısı, belgelenmiş kontroller aracılığıyla yönetilmelidir.

Bu genellikle şunları içerir:

• Mühendislik ortamlarında rol tabanlı erişim izinleri (RBAC)
• Dağıtım işlemleri ve ayrıcalıklı değişiklikler için denetlenebilirlik
• Geliştirme, test ve üretim sistemleri arasında görev ayrımı
• Belgelenmiş değişiklik yönetimi ve acil erişim prosedürleri

Düzenlemeye tabi cüzdan sağlayıcıları için güvenli yazılım teslimatı, yalnızca dahili bir mühendislik tercihi olmaktan çıkıp operasyonel yönetimin bir parçası haline gelir.

2. Kriptografik Ortamlar ve Anahtar Yönetimi

Özel anahtar altyapısı, TGRAF uyumlu cüzdan güvenliği beklentilerinin merkezinde yer alır. Anahtar oluşturma, imzalama, saklama, aktarma veya imha etme süreçlerinde yer alan her türlü kriptografik materyal, açıkça belgelenmiş yönetim prosedürlerine tabi olmalıdır.

Bu, aşağıdakilerle ilgili kontrolleri içerir:

• Özel anahtar yaşam döngüsü yönetimi
• Donanım Güvenlik Modülleri (HSM'ler) veya güvenli anahtar saklama mekanizmaları
• Anahtar teslimi faaliyetleri için erişim onayları
• Güvenli yedekleme, aktarım ve imha süreçleri

Kurumsal düzeyde saklama hizmeti, giderek artan bir şekilde, yalnızca anahtarların güvende olduğunu kanıtlamaya değil, aynı zamanda bu anahtarlar etrafındaki yönetişimin nasıl işlediğine de bağlıdır.

3. Tehdit Odaklı Sızma Testi (TLPT)

VARA güvenlik beklentileri, anlık testlerden ziyade sürekli güvenceyi giderek daha fazla tercih etmektedir. Tehdit Odaklı Sızma Testi (TLPT), cüzdan ortamıyla ilgili tehdit istihbaratına dayalı gerçek dünya saldırı senaryolarını simüle ederek daha gelişmiş bir güvenlik modeli sunmaktadır.

Geleneksel sızma testlerinden farklı olarak, TLPT, bir platformun gerçekçi çalışma koşulları altında karmaşık saldırı yollarını ne kadar etkili bir şekilde tespit edebildiğini, bunlara yanıt verebildiğini ve bunlara karşı koyabildiğini değerlendirir.

Blockchain cüzdan sağlayıcıları için güvenlik doğrulaması, tek seferlik bir lansman gereksinimi olmaktan ziyade, sürekli devam eden bir operasyonel disiplin haline geliyor.

4. Siber Güvenlik Liderliği ve Sorumluluk

TGRAF kapsamında teknoloji yönetimi, siber güvenlik riskine ilişkin net bir şekilde tanımlanmış sahiplik gerektirmektedir. Lisanslı kuruluşların, güvenlik karar alma, sorun çözme ve olay gözetimi için resmi hesap verebilirlik yapıları oluşturmaları beklenmektedir.

Pratikte bu, genellikle aşağıdaki alanlarda belgelenmiş yetkiye sahip, atanmış bir Baş Bilgi Güvenliği Sorumlusu (CISO) veya eşdeğer sorumlu güvenlik liderliği işlevini içerir:

• Güvenlik yönetimi
• Risk artışı
• Olay müdahale koordinasyonu
• Düzenleyici raporlama yükümlülükleri

Güvenlik sahipliği kanıtlanabilir olmalı, gayri resmi olmamalıdır.

5. Sıcak ve Soğuk Cüzdan Risk Kontrolleri

VARA'nın saklama beklentileri, dijital varlıkların çevrimiçi ve çevrimdışı ortamlar arasında nasıl dağıtıldığına büyük önem vermektedir. Evrensel bir sıcak-soğuk cüzdan oranı belirlemek yerine, firmaların varlık tahsis kararları için belgelenmiş bir gerekçe ve ortamlar arası transferler için yönetişim sağlamaları beklenmektedir.

Bu genel olarak şunları içerir:

• Risk tabanlı sıcak cüzdan maruz kalma limitleri
• Fon transferleri için onay iş akışları
• Çok katmanlı yetkilendirme kontrolleri
• İzleme ve uzlaştırma prosedürleri

Odak noktası sabit bir yüzdeden ziyade savunulabilir risk yönetimini göstermektir.

MPC Cüzdan Mimarisinin Önemi Neden Giderek Artıyor?

Çok Taraflı Hesaplama (MPC) anahtar yönetim mimarisiyle çalışan ekipler, kurumsal düzeydeki yönetişim beklentileriyle uyum sağladıklarında yapısal bir avantaj elde edebilirler.

MPC kripto cüzdanı, imzalama yetkisini yayarak ve tek bir anahtar sahibine veya merkezi imzalama sürecine olan bağımlılığı azaltarak, tek güvenlik açığı noktalarını ortadan kaldırmaya ve operasyonel dayanıklılığı artırmaya yardımcı olabilir. HSM'ler ve çoklu imza kontrolleri kullanan geleneksel saklama mimarileri de uyumluluk beklentilerini karşılayabilirken, MPC özellikle düzenlemeye tabi dijital varlık ortamları için kurumsal düzeyde cüzdan güvenliğinin yönüyle giderek daha fazla örtüşmektedir.

VARA Kripto Cüzdanları İçin Hangi Kara Para Aklama ve Müşteri Tanıma (AML ve KYC) Gereksinimleri Geçerlidir?

VARA, kripto cüzdanlarının aşağıdakileri uygulamalarını gerektirir:

• Müşteri Kimlik Doğrulama (KYC)
• Müşteri Durum Tespiti (CDD)
• Gelişmiş Durum Tespiti (EDD)
• FATF Seyahat Kurallarına uyum, 3,500 AED'nin üzerinde.
• Sürekli işlem izleme
• goAML şüpheli etkinlik raporlaması

Bu gereksinimler, lansmandan önce cüzdan altyapısına entegre edilmelidir.

Bu Kurallar Blockchain Cüzdan Geliştirme Sürecini Nasıl Değiştiriyor?

VARA'nın AML ve KYC yükümlülükleri, geliştirme sonrasında eklenmek yerine platform mimarisine entegre edilmiştir. Bu ayrım önemlidir çünkü geç aşama uyumluluk entegrasyonu genellikle temel işlem akışlarının yeniden oluşturulmasını gerektirir ve bu da geç aşama girişimlerin karşılayamayacağı zaman ve bütçe maliyetine yol açar.

• KYC: Cüzdana erişim izni verilmeden önce kimlik, resmi devlet belgeleriyle doğrulanır.
• CDD: Her kullanıcı için işlem davranışı, fon kaynağı ve iş amacına dayalı olarak bir risk profili oluşturulur. Kurumsal müşteriler için, müşteri durum tespiti (CDD) gerçek hak sahipliği doğrulamasını da içerir.
• Tahmini Tarih: Siyasi nüfuz sahibi kişiler (PEP'ler), yüksek hacimli kurumsal kullanıcılar ve FATF risk derecelendirmesi yüksek olan yargı bölgelerinden gelen müşteriler de dahil olmak üzere daha yüksek riskli müşterilere uygulanır.
• FATF Seyahat Kuralı Dubai'de 3,500 AED (yaklaşık 953 ABD Doları) üzerindeki tüm sanal varlık transferleri için geçerlidir. Bu eşiğin üzerindeki her transfer için, gönderen VASP'nin gönderenin tam adını, hesap numarasını ve fiziksel adresini toplaması ve iletmesi; alıcı VASP'nin ise alıcının eşdeğer verilerini toplaması ve doğrulaması gerekmektedir. Cüzdan platformlarının, faaliyete geçmeden önce BAE'deki karşı taraflarla uyumlu bir Seyahat Kuralı çözüm sağlayıcısıyla entegre olması şarttır.
• İşlem izleme işlemi sürekli olarak çalışmalıdır. VARA, şüpheli işlemlerin neredeyse gerçek zamanlı olarak BAE'nin goAML sistemi üzerinden raporlanmasını (STR) gerektirir ve düzenleyici kurumların sorularına 48 saat içinde yanıt verilmesi öngörülür. İşaretlenen hesaplar, temizlenene kadar sürekli olarak izlenmelidir. Kripto cüzdan platformu içinde yer alan ve fiat para biriminden kripto para birimine para transferini yöneten bir kripto ödeme ağ geçidi, VARA her faaliyet türünü ayrı bir uyumluluk alanı olarak ele aldığı için kendi AML (Kara Para Aklama Önleme) altyapısına sahip olmalıdır.

VARA Velayet Hizmetleri Yönetmeliği Kapsamındaki Velayet Yapısı

VARA Saklama Hizmetleri Kurallar Kitabı, VARA'nın blok zinciri cüzdan geliştirme mimarisine ilişkin faaliyet odaklı kurallar kitaplarının en ayrıntılı olanıdır. Gereksinimleri, bir kullanıcının dijital varlığının tüm yaşam döngüsünü kapsar: ilk para yatırmadan çekmeye kadar, hem sıcak hem de soğuk depolama ortamlarında.

1. Müşteri Sanal Asistan Cüzdanı Ayrıştırması: VARA'nın Kurallar Kitabı, müşteri sanal varlıklarını tutan cüzdanların platformun kayıtlarında ve defterlerinde "Müşteri Sanal Varlık Cüzdanı" olarak etiketlenmesini açıkça şart koşmaktadır. Sanal varlık hizmet sağlayıcıları (VASP'ler), varlıklar resmi bir emanet düzenlemesi altına alınmadıkça, müşteri sözleşmeleri kapsamında müşteri varlıklarının mülkiyetini devralamazlar. Müşteri ve operasyonel fonların karıştırılması, lisans ihlali teşkil eder.
2. MPC Anahtar Yönetimi: VARA belirli bir protokolü isim vererek zorunlu kılmasa da, Saklama Hizmetleri Kural Kitabı'ndaki özel anahtar güvenliği, çoklu imza kontrolleri ve kriptografik ortam yönetimi gereksinimleri, MPC anahtar yönetiminin geleneksel tek anahtarlı veya çoklu imzalı modellere göre daha verimli bir şekilde karşıladığı bir mimari spesifikasyonu oluşturmaktadır. MPC, anahtar oluşturma ve imzalama işlemini birden fazla bağımsız düğüme dağıtır, böylece hiçbir sunucu, çalışan veya coğrafya asla tam bir özel anahtara sahip olmaz.
3. Sıcak ve Soğuk Cüzdan Mimarisi: Kurallar Kitabı, varlıkların sıcak ve soğuk cüzdan ortamları arasında dağıtımına ilişkin belgelenmiş bir gerekçe gerektirmektedir. VARA lisanslı saklama kuruluşlarının çoğu varlıklarının büyük bir kısmını soğuk depolamada tutarken, sıcak cüzdanlar günlük para çekme taleplerini karşılamak için gereken likiditeyle sınırlıdır. Ortamlar arasında varlık transferi, belgelenmiş ve denetlenmiş prosedürlere uygun olarak yapılmalıdır.

Mayıs 2025 tarihli Kurallar Kitabı güncellemesi, teminat cüzdanı düzenlemeleri için daha net tanımlar ekledi; bu tanımlar, saklama hizmetinin yanı sıra marj ürünlerini veya borç vermeyi destekleyen platformlar için geçerlidir. VARA için baştan itibaren tasarlanmış beyaz etiketli bir kripto cüzdanı, bu saklama kontrollerini özel yapılar yerine yapılandırılabilir modüller olarak içerir.

VARA uyumlu bir kripto cüzdan geliştirme ortağı seçerken nelere dikkat edilmeli?

1. Belgelenmiş VARA Başvuru Deneyimi: Önceki VARA lisanslama anlaşmalarına dair kanıt isteyin. blockchain cüzdan geliştirme şirketi Daha önce VARA için geliştirme yapmış olan kişi, TGRAF dokümantasyonunun, CISO yönetişim kayıtlarının ve teknik mimari sunumlarının yetkili kurum tarafından nasıl değerlendirildiğini anlar.
2. Tam Kapsamlı Uyumluluk Mimarisi: İş ortağı, AML motorunu, KYC iş akışını, Seyahat Kuralı entegrasyonunu ve işlem izleme sistemini, lansmandan sonra bağlanan üçüncü taraf eklentileri değil, cüzdanın yerleşik özellikleri olarak tasarlamalıdır.
3. MPC'ye Özgü Anahtar Yönetim Yeteneği: Ekip, MPC tabanlı saklama mimarisi oluşturma veya entegre etme yeteneğini göstermelidir. HSM yapılandırması, anahtar töreni dokümantasyonu ve çok düğümlü imzalama altyapısı, VARA başvuruları için isteğe bağlı değildir.
4. Sıcak ve Soğuk Cüzdan Mimari Tasarımı: VARA inceleyicileri bu belgeleri denetlediğinden, teslimat kapsamının bir parçası olarak belgelenmiş sıcak/soğuk ayrım gerekçeleri, otomatik yeniden dengeleme protokolleri ve denetlenmiş varlık hareket prosedürleri üreten ortaklar arayın.
5. goAML Entegrasyonuna Hazırlık: İş ortağının, BAE'nin goAML STR raporlama sistemini entegre etmiş olması veya bu sistem için net bir planı olması gerekmektedir. Bu özelliğe sahip olmayan platformlar, maliyetli bir yeniden yapılandırma olmadan lisanslama sonrasında faaliyet gösteremezler.
6. Velayet Sigortası Danışmanlığı: MKS en iyi kripto cüzdan geliştirme şirketleri Sigorta şartlarının lisans başvurusunun sunulmasından önce onaylanması gerektiğinden, müşterileri VARA onaylı sigorta çerçeveleriyle erken aşamada buluşturun.
7. Lisans Sonrası Uyumluluk Bakımı: VARA uyumluluğu tek seferlik bir olay değildir. Üç aylık risk değerlendirmeleri, TLPT döngüleri ve sürekli işlem izleme, devam eden teknik bakım gerektirir. Sürekli hizmet sözleşmesine dayalı uyumluluk operasyonları modeline sahip bir ortak, lisans verildikten sonra da lisansı korur.

Yetkili teknik gereksinimler için, VARA Gözaltı Hizmetleri Kurallar Kitabı rulebooks.vara.ae adresinde yayınlanmıştır ve BAE pazarı için tasarım yapan herhangi bir teknik ekip için birincil referans olmalıdır.

VARA Lisansı Kazanmayı ve Onu Korumayı Sağlayan Altyapıyı Kurmak!

Cüzdan düzeyinde VARA uyumluluğu, bir onay kutusu değil, teknik bir disiplindir. Lisans alan ve bu lisansları elinde bulunduran firmalar, ilk kod satırından itibaren platformlarına AML odaklı işlem akışları, MPC tarafından yönetilen anahtar saklama, belgelenmiş TGRAF programları ve gerçek zamanlı goAML raporlaması entegre eden firmalardır.

Antier, BAE ve küresel pazarlardaki kurumsal müşteriler için VARA standartlarında kripto cüzdan altyapısı oluşturmuştur . MPC saklama mimarisi, AML motor entegrasyonu, Seyahat Kuralı uyumluluğu ve CISO düzeyinde yönetim dokümantasyonu gibi alanlardaki başarılı teslimat geçmişiyle ekiplerimiz, VARA inceleyicilerinin neleri incelediğini ve platformların onay sonrası neleri sürdürmesi gerektiğini anlamaktadır. Ekibiniz 2026 için VARA uyumlu bir kripto cüzdan geliştirme projesi planlıyorsa, tek bir mimari karar vermeden önce ürün gereksinimlerinizi VARA Kural Kitabının tamamına eşleştiren teknik bir danışmanlıkla başlayın. Antier'in kripto cüzdan geliştirme yeteneklerini burada keşfedin.