Kendi Saklamada Standart Genişliyor: Anahtardan Kurtarma Yapısına

Kripto para dünyasında kendi saklama (self-custody) standardı, yalnızca özel anahtara sahip olmaktan cüzdan yapısını ve kurtarma bilgisini yönetmeye doğru genişliyor. Çoklu imza (multisig), HD cüzdanlar ve Taproot sonrası cüzdan ortamlarında, sadece anahtara sahip olmak artık sahiplik ve kurtarma imkânını açıklamaya yetmiyor.

CryptoBriefing 20'sinde (yerel saatle) yayımladığı analizde 'Not your keys, not your coins' sloganının hâlâ geçerli olduğunu, ancak kendi saklamanın pratik kapsamının 'descriptor' (tanımlayıcı), çoklu taraf hesaplama (MPC) ve entropi gibi unsurları da içerecek şekilde genişlediğini aktardı. Tartışmanın odağı 'anahtara sahip misin' sorusundan 'kurtarılabilir bir işletim birimine sahip misin' sorusuna kayıyor.

Bu bakış açısı yeni değil. Nunchuk, 2020 yılında yayımladığı bir yazıda P2SH çoklu imza, HD cüzdan, SegWit ve Taproot ile adres oluşturma yönteminin karmaşıklaştığını anlatmıştı. Nunchuk, "master keys (or BIP39 seeds) + descriptors" ifadelerinin birlikte yedeklenmesi gerektiğini yazmıştı.

Özel anahtar ya da tohum (seed) elde kalsa bile türetme yolu (derivation path), script türü ve anahtar sırası gibi bilgiler eksikse cüzdan kurtarma işlemi zorlaşabiliyor. Çünkü cüzdanın hangi adres ve çıktıları kendine ait sayacağını belirlemek için anahtar dışında yapısal bilgiye ihtiyaç duyuluyor.

Bitcoin Core belgeleri de aynı yönde bir tablo çiziyor. Bitcoin Core 0.21 sürüm notlarına göre descriptor cüzdanlar, scriptPubKey bilgisini output descriptor olarak saklıyor. Ayrıca descriptor cüzdanlara tam descriptor içe aktarmak için importdescriptors adlı RPC komutunun eklendiği belirtiliyor.

Bitcoin Core'un descriptor belgelerinde output descriptor, bir çıktı script'i grubunu tanımlayan dil olarak tarif ediliyor. Cüzdan, hangi çıktının kendisine ait olduğunu bu bilgiye dayanarak belirliyor. Cüzdan kurtarmanın yalnızca tohum cümlesini yeniden girmekten ibaret olmamasının nedeni de bu.

Tohum yönetimi de basit bir not alma meselesi değil. Bitcoin(BTC) geliştirici belgelerine göre HD cüzdanların kök tohumu 128, 256 ya da 512 bit rastgele veriden üretiliyor. BIP39 standardı, mnemonic'in 128-256 bit entropi taşıması gerektiğini, entropi arttıkça güvenliğin iyileştiğini ama cümle uzunluğunun da arttığını belirtiyor.

Entropi, özel anahtar üretiminde kullanılan rastgelelik anlamına geliyor. Rastgelelik zayıfsa tohum cümlesi olsa bile güvenliğin başlangıç noktası sarsılıyor. Kullanıcının sakladığı kurtarma cümlesinin kalitesi ve saklama biçimi, kendi saklamanın ilk adımı hâline geliyor.

MPC de kendi saklama kavramının kapsamını genişleten bir unsur. Coinbase(COIN)'in cb-mpc belgesi, HD cüzdanların neden yaygın kullanıldığını açıklarken standart BIP32 türetmesinin MPC ile hesaplanmasının mümkün ama maliyetli olduğunu belirtiyor. Ayrıca BIP39'un HMAC-SHA512 tekrar yapısının MPC'de pratik olmadığını değerlendirip ayrı bir MPC uyumlu HD yöntemi tarif ediyor.

MPC, tek bir özel anahtarın ifşa riskini azaltabiliyor ama uygulama biçimi ve kurtarma süreci ayrı değerlendirilmeli. İmza yetkisinin nasıl bölüştürüldüğü ve geri kazanıldığı, kullanıcı ile hizmet sağlayıcı arasındaki güven varsayımının nereye kadar uzandığı, kendi saklamanın gerçek düzeyini belirliyor.

Donanım cüzdan sektörünün dili de değişiyor. Ledger, 2025'te yayımlayıp 2026'da güncellediği belgede 'hardware wallet' yerine 'signer' teriminin cihazın rolünü daha doğru anlattığını belirtti. Varlıkların cihaz içinde değil zincir üzerinde tutulduğunu, cihazın ise özel anahtarı koruyup işlem ve onayları imzaladığını açıkladı.

Bu değişim, kendi saklamayı bir 'saklama cihazı' değil 'imza ve onay sistemi' olarak gören yaklaşımla örtüşüyor. Kullanıcılar genellikle donanım cüzdanı varlıkları koyduğu bir kasa gibi düşünüyor, ancak gerçek yapıda cihaz işlem onay yetkisini kullanan bir imzacıya daha yakın.

Türk kullanıcılar için de anlamı küçük değil. Borsada tutulan varlık ile kişisel cüzdanda tutulan varlık arasındaki fark artık bilinen bir konu, fakat kişisel cüzdan içinde de tek tohum, çoklu imza, descriptor cüzdan ve MPC cüzdan kurtarma yöntemleri birbirinden farklı. Daha önce bir Coldcard güvenlik vakasının donanım cüzdan güvenliği tartışmalarını öne çıkarmasının ardından, kendi saklama konusu artık ürün seçiminden çok yedekleme yapısı ve imza doğrulama süreci meselesine dönüşüyor.

Sektör ve topluluğun tepkisi de aynı yönde. Bazı cüzdan şirketleri ve Bitcoin topluluğu, kendi saklamayı yalnızca anahtar sahipliğinden daha geniş bir kullanıcı kontrolü meselesi olarak tanımlıyor. Ancak pazarlama amaçlı ifadelerle gerçek güvenlik düzeyi birbirinden ayrılmalı; kurtarma süreci ve imza doğrulama yöntemi her ürün için ayrı ayrı kontrol edilmeli.

Sonuçta 'Not your keys, not your coins' terk edilmiş bir slogan değil, koşulları artmış bir slogana dönüşüyor. Özel anahtar ya da tohum doğrudan saklansa bile hangi cüzdan yapısının kullanıldığı, hangi descriptor ve türetme yolunun gerekli olduğu, imza cihazı ile kurtarma sürecinin nasıl bağlandığı da yönetilmesi gereken unsurlar arasına giriyor. Kendi saklamanın gerçek etkinliği, her kullanıcının güvenlik becerisine ve kullanım biçimine göre değişiyor.