Türkiye’de faaliyet gösteren kripto varlık hizmet sağlayıcılar, yalnızca kripto varlık alım satımına aracılık eden teknoloji şirketleri değildir. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun bakımından “yükümlü” statüsündedir. Bu nedenle müşteri kimliğini ve gerçek faydalanıcıyı tespit etmek, transferleri izlemek, şüpheli işlemleri MASAK’a bildirmek, uyum programı kurmak, kayıtları sekiz yıl saklamak ve erteleme veya malvarlığının dondurulması kararlarını eksiksiz uygulamak zorundadır.

MASAK yükümlülükleri, müşteriden kimlik belgesi alınarak tamamlanan şekli bir kontrol değildir. Kripto varlık hizmet sağlayıcının müşteriyi, fonun kaynağını, işlemin ekonomik amacını, kullanılan cüzdanları ve transferin karşı tarafını iş ilişkisi boyunca anlamasını gerektiren devamlı bir denetim sistemidir. Eksiklikler; işlem bazlı idari para cezalarına, yönetim kurulu üyelerinin sorumluluğuna, faaliyetlerin kısıtlanmasına ve bazı ihlallerde ceza soruşturmasına kadar uzanabilir.

Kripto varlık hizmet sağlayıcılar ne zamandan beri MASAK yükümlüsüdür?

Kripto varlık hizmet sağlayıcılar, 1 Mayıs 2021 tarihli ve 31471 sayılı Resmî Gazete’de yayımlanan 3941 sayılı Cumhurbaşkanı Kararı ile Tedbirler Yönetmeliği’nin 4’üncü maddesine eklenerek 5549 sayılı Kanun kapsamında yükümlü hâline getirildi. 2024 ve 2025 düzenlemeleri ise yükümlülüğün kapsamını ve kurumsal uyum şartlarını genişletti.

7518 sayılı Kanun ile 6362 sayılı Sermaye Piyasası Kanunu’nda yapılan değişiklik, kripto varlık hizmet sağlayıcı kavramını daha belirli hâle getirdi. 6362 sayılı Kanun m.3 uyarınca bu kapsamda;

• Kripto varlık alım satım platformları,

• Kripto varlık saklama hizmeti sağlayan kuruluşlar,

• İlk satış veya dağıtım dâhil kripto varlıklarla ilgili hizmet vermek üzere düzenlemelerle belirlenen diğer kuruluşlar

yer alır.

Bir kuruluşun kendisini “teknoloji platformu”, “cüzdan uygulaması” veya “pazar yeri” olarak adlandırması tek başına belirleyici değildir. Faaliyetin fiilî niteliği; müşterinin kripto varlığına erişim, transfer, takas, saklama veya emir iletim süreçlerinde nasıl bir rol üstlenildiği üzerinden değerlendirilir. Tamamen merkeziyetsiz ve belirlenebilir bir hizmet sağlayıcısı bulunmayan yapılarda ise yükümlü sıfatının hangi kişiye yöneltileceği konusunda her senaryoyu çözen açık bir düzenleme henüz bulunmamaktadır.

Yüklenen mevzuat ve içtihat çalışmasında da KVHS’lerin 2021’den itibaren yükümlü olduğu; müşteri tanıma, şüpheli işlem bildirimi, bilgi verme, kayıt saklama ve uyum programı kurma yükümlülüklerinin birlikte değerlendirilmesi gerektiği ortaya konulmaktadır.

KVHS’lerin başlıca MASAK yükümlülükleri nelerdir?

Kripto varlık hizmet sağlayıcının temel MASAK yükümlülükleri; müşterinin tanınması, gerçek faydalanıcının belirlenmesi, devamlı izleme, seyahat kuralı, şüpheli işlem bildirimi, bilgi ve belge verme, sekiz yıllık muhafaza, uyum programı, elektronik tebligat ve malvarlığının dondurulması kararlarının uygulanmasıdır.

Bu tablo yalnızca bir takvim özeti değildir. Her yükümlülüğün teknik altyapı, iç kontrol, personel yetkilendirmesi, veri güvenliği ve yönetim kurulu gözetimi boyutu vardır. Bir platformun yazılı prosedür hazırlaması yeterli olmaz; prosedürün gerçek işlemlerde çalıştığını kayıtlarıyla gösterebilmesi gerekir.

Müşterinin kimliği hangi aşamada tespit edilmelidir?

Kripto varlık platformunda hesap açılması sürekli iş ilişkisi sayılır. Bu nedenle müşteri henüz para yatırmamış veya kripto varlık satın almamış olsa dahi üyelik ve sözleşme aşamasında kimlik tespiti tamamlanmalıdır. Sürekli iş ilişkisi dışında ise 15.000 TL ve üzerindeki işlemler ile kripto transferleri kimlik tespitini gerektirir.

5549 sayılı Kanun m.3 ve Tedbirler Yönetmeliği m.5 uyarınca kimlik tespiti, iş ilişkisi kurulmadan veya işlem gerçekleştirilmeden önce tamamlanır. Sonradan belge istemek, işlem yapıldıktan sonra eksik müşteri dosyasını tamamlamak veya yalnızca para çekiminde kimlik kontrolüne başlamak mevzuatın aradığı yapıyla bağdaşmaz.

Tutar gözetilmeksizin kimlik tespiti gereken başlıca durumlar şunlardır:

• Sürekli iş ilişkisi kurulması,

• Şüpheli işlem bildirimini gerektiren bir durumun bulunması,

• Daha önce alınan kimlik bilgilerinin yeterliliği veya doğruluğu konusunda şüphe doğması.

Sürekli iş ilişkisi dışında kalan işlemlerde ise işlem tutarı veya bağlantılı işlemlerin toplamı 15.000 TL’ye ulaştığında müşterinin, müşteri adına hareket eden kişinin ve gerçek faydalanıcının belirlenmesi gerekir. Bağlantılı işlemleri birbirinden bağımsız küçük işlemler gibi değerlendirmek, eşik altına bölme yöntemlerinin gözden kaçmasına neden olur.

Kimlik tespiti tamamlanamıyorsa platform iş ilişkisi kuramaz ve talep edilen işlemi gerçekleştiremez. Mevcut müşterinin kimlik bilgilerinin yeniden doğrulanamaması hâlinde iş ilişkisi sona erdirilir. Kuruluş ayrıca bu durumun şüpheli işlem bildirimi gerektirip gerektirmediğini değerlendirir. İsimsiz, hayalî adla veya kimliği doğrulanamayan kişilere hesap açılması mümkün değildir.

Uzaktan kimlik tespiti yapılabilir mi?

Kripto varlık hizmet sağlayıcılar gerçek kişi müşterilerini uzaktan kimlik tespiti yoluyla edinebilir. Ancak yalnızca kimlik fotoğrafı yüklenmesi veya görüntülü görüşme yapılması yeterli değildir. Süreç, 6362 sayılı Kanun, SPK düzenlemeleri ve MASAK Genel Tebliği Sıra No.19’da belirlenen teknik ve hukuki şartları birlikte karşılamalıdır.

12 Haziran 2025 tarihli ve 32924 sayılı Resmî Gazete’de yayımlanan MASAK Genel Tebliği Sıra No.28, kripto varlık hizmet sağlayıcıların uzaktan kimlik tespiti bakımından tabi olduğu kuralları belirginleştirdi. Kimlik belgesinin geçerliliği, kimlik bilgilerinin doğruluğu, başvuran kişinin belge sahibi olup olmadığı ve işlemin gerçek kişi tarafından iradî biçimde yürütülüp yürütülmediği güvenilir yöntemlerle kontrol edilmelidir.

Uzaktan müşteri edinimi, yüz yüze işlemlere kıyasla kimlik hırsızlığı, sentetik kimlik, başkasına ait görüntü kullanımı ve hesap kiralama riskini artırır. Bu nedenle platformun yalnız müşteri edinme anını değil, sonraki oturumları da izlemesi gerekir. Yeni cihaz, olağandışı IP adresi, kısa süre içinde çok sayıda çekim adresi eklenmesi ve kimlik profiliyle bağdaşmayan işlem hacmi birlikte ele alınmalıdır.

Dışarıdan hizmet alınması sorumluluğu ortadan kaldırmaz. Kimlik doğrulama yazılımı, görüntülü görüşme altyapısı veya kurye hizmeti üçüncü bir şirket tarafından sağlansa bile hukuki sorumluluk kripto varlık hizmet sağlayıcıda kalır.

Gerçek faydalanıcı nasıl belirlenir?

Gerçek faydalanıcı, hesap veya şirket belgelerinde adı görünen kişiden bağımsız olarak işlemi ya da tüzel kişiyi nihai olarak kontrol eden gerçek kişidir. KVHS, özellikle tüzel kişi müşterilerde ortaklık kayıtlarıyla yetinmemeli; yüzde 25’i aşan pay sahiplerini ve fiilî kontrolü elinde tutan kişileri araştırmalıdır.

Tedbirler Yönetmeliği m.17/A uyarınca ticaret siciline kayıtlı tüzel kişilerde öncelikle yüzde 25’i aşan hisseye sahip gerçek kişi ortaklar tespit edilir. Bu kişilerin gerçek faydalanıcı olmadığına ilişkin şüphe bulunursa veya bu oranda pay sahibi gerçek kişi yoksa tüzel kişiliği nihai olarak kontrol eden kişiler araştırılır.

Nihai kontrol sahibi de belirlenemiyorsa ticaret sicilinde kayıtlı en üst düzey icra yetkisine sahip gerçek kişi veya kişiler, üst düzey yönetici sıfatıyla gerçek faydalanıcı kabul edilir. Bu yöntem, araştırma yapılmadan şirket genel müdürünün otomatik biçimde gerçek faydalanıcı yazılması anlamına gelmez; üst düzey yönetici son aşamadaki yardımcı ölçüttür.

MASAK mevzuatındaki “gerçek faydalanıcının tanınması” ile Vergi Usul Kanunu Genel Tebliği Sıra No.529 kapsamındaki “gerçek faydalanıcı bildirimi” birbirinden ayrılmalıdır. İlki müşteri kabulü ve işlem izleme sürecinin parçasıdır. İkincisi ise vergi idaresine yönelik ayrı bir bildirim rejimidir. Bir yükümlülüğün yerine getirilmesi diğerini kendiliğinden ortadan kaldırmaz.

Müşterinin kendi adına fakat başkası hesabına hareket edip etmediği de araştırılmalıdır. Başkası hesabına işlem yapıldığının beyan edilmesi hâlinde hem işlemi talep eden kişinin kimliği ve yetkisi hem hesabına hareket edilen kişinin kimliği belirlenir.

Kimlik tespiti ile KVKK yükümlülükleri nasıl birlikte uygulanır?

MASAK mevzuatının zorunlu kıldığı kimlik verileri, açık rıza aranmaksızın kanuni yükümlülük kapsamında işlenebilir. Bununla birlikte KVHS yalnızca gerekli ve ölçülü veriyi toplamalı, verileri belirli amaçlarla kullanmalı, erişim yetkilerini sınırlandırmalı ve uygun güvenlik tedbirlerini uygulamalıdır.

Kişisel Verileri Koruma Kurulunun 11 Nisan 2023 tarihli ve 2023/570 sayılı kararında, kripto varlık hizmet sağlayıcının müşteri kimliğini belirlemesi bakımından kamusal menfaat ve kanuni yükümlülük bulunduğu kabul edilmiştir. Aynı karar, hukuki dayanak bulunmasının sınırsız veri toplama yetkisi vermediğini de göstermektedir. Talep edilen her veri, yürütülen işlem ve riskle ölçülü olmalıdır.

Bu nedenle platformlar iki uç hatadan kaçınmalıdır. İlk hata, KVKK gerekçesiyle MASAK’ın zorunlu tuttuğu verileri toplamamaktır. İkinci hata ise MASAK yükümlülüklerini gerekçe göstererek müşterinin sosyal çevresi, cihaz içeriği veya işlemle ilgisi bulunmayan belgeleri sınırsız biçimde istemektir.

Sağlıklı bir veri mimarisi; hangi verinin hangi mevzuat hükmü uyarınca alındığını, kimlerin erişebildiğini, ne kadar süre saklandığını ve sürenin sonunda nasıl imha edildiğini açıkça göstermelidir.

Seyahat kuralı kripto transferlerinde neyi değiştirir?

Seyahat kuralı, kripto transferinin yalnız cüzdan adresleri arasında gerçekleşen teknik bir işlem olarak görülmesini engeller. Transfer mesajına gönderici ve alıcı bilgileri eklenir; bilgiler transfer zinciri boyunca korunur. Türkiye’de seyahat kuralı, Tedbirler Yönetmeliği m.24/A kapsamında 15.000 TL eşiğine göre uygulanır.

15.000 TL veya üzerindeki kripto varlık transferlerinde gönderen bakımından şu bilgiler transfer mesajında yer almalıdır:

• Adı, soyadı veya tüzel kişi unvanı,

• Cüzdan adresi; cüzdan adresi yoksa işlem referans numarası,

• Adres, doğum yeri ve tarihi, müşteri numarası, vatandaşlık numarası, pasaport numarası veya vergi kimlik numarası gibi ayırt edici bilgilerden en az biri.

Gönderici bilgileri ayrıca teyit edilir. Alıcının adı veya unvanı ile cüzdan adresi ya da referans numarası da mesaja eklenir. Gönderen platform bakımından alıcı bilgilerinin ayrıca teyidi zorunlu değildir; alıcının müşterisi olduğu KVHS, kendi müşterisine ait bilgileri doğrular.

15.000 TL’nin altındaki transferlerde de gönderen ve alıcının adı veya unvanı ile cüzdan adresi ya da referans numarası mesajda bulunmalıdır. Fark, bu veriler için ayrıca teyit şartı aranmamasıdır.

Eksik bilgi içeren transfer mesajını alan KVHS, gönderen kuruluştan eksikliği tamamlamasını ister. Bilgiler tamamlanmazsa transfer iade edilir. Eksikliklerin sürekli hâle gelmesi, ilgili kuruluşla yapılan işlemlerin sınırlandırılması, transferlerin reddedilmesi veya iş ilişkisinin sona erdirilmesi sonucunu doğurabilir.

Kişisel cüzdan olarak adlandırılan, herhangi bir KVHS nezdinde kayıtlı olmayan adreslere yapılan transferler de denetim dışında değildir. Platform, müşteriden kayıtlı olmayan cüzdanın sahibine ilişkin ad veya unvan ile kişiyi belirlemeye yarayan ilave bilgi alır. Risk durumuna göre cüzdan sahipliği, transfer amacı ve karşı taraf hakkında destekleyici belge isteyebilir.

Kripto transferlerinde 48 saat, 72 saat ve limit kuralları nasıl uygulanır?

Kayıtlı olmayan cüzdanlara veya seyahat kuralı bilgilerini paylaşmayan yabancı kuruluşlara yönelik belirli kripto çekimleri, varlığın alınması, takas edilmesi ya da yatırılmasından en az 48 saat sonra yapılabilir. Müşterinin ilk kripto varlık çekiminde bekleme süresi en az 72 saattir.

MASAK Genel Tebliği Sıra No.29, transfer riskini yalnız müşteri kimliği üzerinden değil, işlemin hızı ve tutarı üzerinden de yönetmektedir. Bekleme süresi, blokzincirin teknik işlem süresi değildir. Amaç; dolandırıcılık, hesap ele geçirme veya suç geliri şüphesi taşıyan varlıkların kısa sürede farklı cüzdanlara dağıtılmasını zorlaştırmaktır.

Bir veya birden fazla resmî para birimine ya da başka bir değere referans vererek istikrarlı değer korumayı amaçlayan kripto varlıkların çekiminde günlük 3.000 ABD doları ve aylık 50.000 ABD doları karşılığı limit uygulanır. Seyahat kuralının uygulandığı transferlerde bu limitler iki kat uygulanabilir.

Likidite sağlayıcılığı, piyasa yapıcılığı veya piyasalar arası arbitraj amacıyla yapılan işlemler bakımından istisna mümkündür. Ancak istisna otomatik değildir. Platform;

• Müşterinin tanınmasına ilişkin tüm tedbirleri uygulamalı,

• Varlıkların kaynağını ve banka ya da platform hesaplarını düzenli belgelemeli,

• Limitten kaçınma girişimlerini önlemeli,

• Her müşteri için ayrı yönetim kurulu kararı almalı,

• İstisna uygulanan müşteriyi sürekli izlemelidir.

İşlemin gerçekte piyasa yapıcılığı veya arbitraj olmadığı anlaşılırsa süre ve tutar sınırlamaları derhal uygulanır. Bütün kripto varlık transferlerinde müşteriden işlemin mahiyetini açıklayan en az 20 karakterlik işlem açıklaması da alınmalıdır. Anlamsız karakterlerle doldurulmuş bir açıklama, teknik karakter sınırını karşılasa bile işlemin amacını açıklama işlevini yerine getirmez.

Risk temelli yaklaşım platforma hangi sorumlulukları yükler?

Risk temelli yaklaşım, bütün müşterilere aynı kontrolün uygulanması demek değildir. KVHS; müşteri profili, işlem hacmi, fonun kaynağı, kullanılan cüzdan, coğrafi bağlantı, ürün türü ve işlem davranışına göre risk seviyesi belirlemeli, yüksek riskli ilişkilerde daha sık ve derin kontroller uygulamalıdır.

Bir müşteri düşük gelir beyan ettiği hâlde kısa sürede yüksek hacimli stablecoin transferi yapıyorsa yalnızca kimliğinin doğrulanmış olması yeterli değildir. İşlemin müşterinin mesleği, mali durumu, geçmiş hareketleri ve fon kaynağıyla uyumu araştırılmalıdır.

Sıkılaştırılmış tedbirler arasında;

• Müşteri ve gerçek faydalanıcı hakkında ilave bilgi alınması,

• Kimlik bilgilerinin daha sık güncellenmesi,

• Fonun ve malvarlığının kaynağının araştırılması,

• İş ilişkisinin amacına ilişkin açıklama ve belge alınması,

• Kontrollerin sayı ve sıklığının artırılması,

• İşlemin veya iş ilişkisinin üst düzey görevli onayına bağlanması,

• İlk finansal hareketin başka bir düzenlenmiş finansal kuruluştan gelmesinin istenmesi

yer alır.

Blockchain analiz yazılımı bu sistemin yalnızca bir parçasıdır. Bir cüzdan adresinin yüksek riskli olarak etiketlenmesi karar için başlangıç noktası olabilir; tek başına kesin suç tespiti sayılmaz. Yanlış pozitifler, adres kümelendirme hataları, köprü işlemleri ve merkezi borsa sıcak cüzdanları ayrıca incelenmelidir.

Şüpheli işlem bildirimi hangi hâllerde yapılmalıdır?

KVHS nezdindeki malvarlığının yasa dışı yollardan elde edildiğine, yasa dışı amaçla kullanıldığına veya terörizmin finansmanıyla bağlantılı olduğuna dair bilgi, şüphe ya da şüpheyi gerektiren bir husus varsa MASAK’a şüpheli işlem bildirimi yapılır. Bildirim için asgari bir işlem tutarı aranmaz.

Şüpheli işlem bildirimi, yalnız gerçekleşmiş işlemler için yapılmaz. Yapılmaya teşebbüs edilen ancak platform tarafından reddedilen veya müşteri tarafından vazgeçilen işlemler de bildirim konusu olabilir.

Kripto varlık sektöründe tek başına veya birlikte değerlendirilebilecek bazı göstergeler şunlardır:

• Müşteri profiliyle açıklanamayan işlem hacmi,

• Kısa aralıklarla çok sayıda yeni cüzdana transfer,

• Fonların platforma girdikten hemen sonra farklı ağlara dağıtılması,

• Suç tipolojileriyle ilişkilendirilen cüzdanlarla temas,

• Kimlik veya fon kaynağı belgelerinde çelişki,

• Çok sayıda kişi tarafından aynı cihazın, IP adresinin veya banka hesabının kullanılması,

• Hesabın görünürdeki sahibi yerine üçüncü kişilerce yönetildiğine ilişkin işaretler,

• Limitlerin altında kalmak amacıyla işlemlerin bölünmesi,

• Müşterinin transferin karşı tarafını veya ekonomik amacını açıklayamaması.

Şüpheli işlem tipleri sınırlı bir katalog değildir. İşlem yayımlanmış tipolojilerden hiçbirine uymasa bile somut olayda şüphe doğuruyorsa bildirim yapılmalıdır. Tersi de geçerlidir: Tek bir gösterge, işlem hakkında hiçbir araştırma yapılmadan otomatik olarak suç isnadına dönüşmemelidir.

Şüpheli işlem bildirimi kaç gün içinde yapılır?

Şüpheli işlem bildirimi, şüphenin oluştuğu tarihten itibaren en geç 10 iş günü içinde MASAK’a gönderilmelidir. Gecikmesinde sakınca bulunan durumlarda bildirim derhal yapılır. Süre, işlemin gerçekleştiği tarihten değil, kurum bünyesinde şüphenin oluştuğu tarihten itibaren hesaplanır.

On iş günlük süre, konunun iç birimlerde bekletilebileceği bir serbest süre değildir. Uyum görevlisinin araştırması, belge incelemesi ve bildirim kararı bu süre içinde tamamlanmalıdır. Cüzdan hareketlerinin hızla devam ettiği, varlıkların başka ağlara aktarılabileceği veya suç gelirine el konulmasının zorlaşacağı durumlarda sürenin sonu beklenmez.

Şüpheli işlem bildiriminin MASAK Online sistemi üzerinden, ilgili sektörel rehbere uygun şekilde gönderilmesi gerekir. Kurum içindeki çalışanların şüpheyi uyum birimine aktarması “dâhili bildirimdir”; MASAK’a yapılması gereken resmî bildirimin yerine geçmez.

Bildirim yapmama kararı verilirse kararın gerekçesi yazılı hâle getirilmelidir. Bu kayıt da muhafaza ve ibraz yükümlülüğü kapsamındadır. Böylece denetimde yalnız hangi işlemlerin bildirildiği değil, bildirilmemesine karar verilen işlemlerde nasıl bir değerlendirme yapıldığı da incelenebilir.

Şüpheli işlem bildirimi müşteriye açıklanabilir mi?

Hayır. 5549 sayılı Kanun m.4/2 uyarınca şüpheli işlem bildirimi yapıldığı, yükümlülük denetimiyle görevlendirilen kişiler ve yargılama sırasında mahkemeler dışında hiç kimseye açıklanamaz. Yasak, bildirimin tarafı olan müşteriyi, çalışanları ve üçüncü kişileri de kapsar.

Müşteriye “MASAK’a bildirim yaptık”, “hakkınızda şüpheli işlem dosyası açıldı” veya “işleminiz ŞİB nedeniyle bekletiliyor” denilmesi gizlilik yükümlülüğünü ihlal edebilir. Müşteriye verilecek cevap, işlemin gerçekleştirilememesinin hukuken açıklanabilir kısmıyla sınırlandırılmalıdır.

Gizlilik yalnız müşteri iletişimini kapsamaz. Şüpheli işlem bildirimlerine erişim, kurum içinde görevi gereği bilgi sahibi olması gereken kişilerle sınırlandırılmalıdır. Bildirim kayıtlarının genel müşteri hizmetleri ekranlarında görünmesi veya geniş personel gruplarına açılması ciddi bir uyum zafiyetidir.

5549 sayılı Kanun m.10 ise yükümlülüklerini kanuna uygun şekilde yerine getiren gerçek ve tüzel kişilerin bu nedenle hukukî ve cezaî bakımdan sorumlu tutulamayacağını düzenler. Koruma, keyfî işlemleri değil, kanuni yükümlülüğün usulüne uygun biçimde yerine getirilmesini kapsar.

MASAK işlemi ne kadar süreyle erteleyebilir?

5549 sayılı Kanun m.19/A uyarınca, aklama veya terörizmin finansmanı bağlantısı şüphesi taşıyan işlem en fazla yedi iş günü askıya alınabilir veya gerçekleşmesine izin verilmeyebilir. Yetki Hazine ve Maliye Bakanına aittir; Bakan bu yetkiyi bakan yardımcısına devredebilir.

Bir hukukçu gözüyle kritik ayrım şudur: 5549 sayılı Kanun m.19/A’daki yedi iş günlük süre, platformun her şüpheli hesabı kendi kararıyla yedi gün veya daha uzun süre bloke edebilmesini sağlayan genel bir yetki değildir. Süre, Hazine ve Maliye Bakanının kanuni erteleme yetkisine ilişkindir.

İşleme konu malvarlığının aklama veya terörizmin finansmanıyla bağlantılı olduğunu destekleyen ciddi emare ya da belge varsa KVHS, şüpheli işlem bildirimini gerekçeleriyle birlikte erteleme talebiyle gönderir. Bakanın kararı MASAK tarafından elektronik ortamda tebliğ edilinceye kadar işlem gerçekleştirilmez. Erteleme, bildirimin yapıldığı tarihten itibaren yedi iş gününü geçemez.

Bu ayrım yargı uygulamasında da görünür hâle gelmektedir. İstanbul Bölge Adliye Mahkemesi 13. Hukuk Dairesinin 20 Mart 2025 tarihli, 2022/1614 E. ve 2025/476 K. sayılı kararında ciddi emare bulunan işlemlerde erteleme talepli bildirim ve karar tebliğine kadar işlemden imtina yükümlülüğü değerlendirilmiştir. İstanbul 8. Asliye Ticaret Mahkemesinin 1 Temmuz 2026 tarihli, 2026/246 E. ve 2026/538 K. sayılı kararında ise yedi iş günlük sürenin KVHS’nin serbestçe kullandığı bir bloke süresi olmadığı yönünde değerlendirme yapılmıştır. Bu kararlar uygulamadaki yönü göstermekle birlikte tek başına bağlayıcı bir içtihat birliği oluşturmaz.

Platformun sözleşme, işlem güvenliği, SPK düzenlemeleri veya başka bir adli karar nedeniyle işlem kısıtlaması uygulaması mümkündür. Ancak her kısıtlamanın hukuki sebebi, kapsamı ve süresi ayrı ayrı belirlenmelidir. “MASAK incelemesi” ifadesi, belirsiz ve süresiz hesap kapatmanın genel gerekçesi hâline getirilemez.

İşlemin ertelenmesi ile malvarlığının dondurulması aynı şey midir?

Hayır. İşlemin ertelenmesi, belirli bir işlemin analiz edilebilmesi için 5549 sayılı Kanun m.19/A kapsamında uygulanan geçici bir tedbirdir. Malvarlığının dondurulması ise 6415 veya 7262 sayılı kanunlara dayanan, kişinin malvarlığı üzerindeki tasarruf yetkisini daha geniş biçimde sınırlayan ayrı bir rejimdir.

Malvarlığının dondurulması kararı KVHS’ye ulaştığında karar derhal uygulanır. Dondurulan malvarlığı üzerinde ancak MASAK’ın izin verdiği işlemler gerçekleştirilebilir. İzin belgesinde belirtilmeyen bir işlem talep edilirse platform işlemi yapmaz ve durumu MASAK’a bildirir.

Dondurulan kripto varlıktan staking, ödül, airdrop veya başka bir yolla değer artışı elde edilirse bu artış da dondurma hükümlerine tabi olabilir. Platform, dondurulan varlığı başka cüzdana aktaramaz, erişimi kolaylaştıramaz veya izin dışı tasarrufa imkân veremez.

Dondurma listelerinin müşteri veri tabanıyla yalnız ad-soyad üzerinden eşleştirilmesi yeterli değildir. Doğum tarihi, kimlik numarası, vatandaşlık, unvan, ortaklık ve cüzdan bağlantıları gibi verilerle yanlış pozitiflerin önlenmesi gerekir. Hatalı eşleşme iddiası doğrudan platform tarafından kendiliğinden çözülemez; ilgili prosedür ve yetkili merci üzerinden değerlendirilmelidir.

KVHS uyum programı hangi unsurlardan oluşmalıdır?

KVHS uyum programı; kurum politikası ve prosedürleri, risk yönetimi, izleme ve kontrol, eğitim, iç denetim, uyum birimi, uyum görevlisi ve en az bir uyum görevlisi yardımcısından oluşur. Programın kurulması kadar yönetim kurulu tarafından gözetilmesi ve yeterli personel ile bütçeyle desteklenmesi gerekir.

25 Aralık 2024 tarihli ve 32763 sayılı Resmî Gazete’de yapılan değişiklikle kripto varlık hizmet sağlayıcıların uyum programı oluşturma zorunluluğu açık biçimde düzenlendi. Programın yalnız hukuk veya uyum departmanına bırakılması doğru değildir. Yönetim kurulu, kurumun üstlenebileceği risk düzeyini belirlemek ve sistemin çalışmasını sağlamakla sorumludur.

Uyum mimarisini değerlendiren bir avukat bakımından somut takvim açıktır: Uyum Yönetmeliği m.16 uyarınca faaliyet izninden itibaren 30 gün içinde uyum görevlisi ve en az bir yardımcı atanmalı; atamaya ilişkin taahhüt formu atanma tarihinden itibaren en geç 10 gün içinde MASAK’a gönderilmelidir.

Uyum görevlisi satış ve pazarlama biriminden bağımsız çalışmalı, yönetim kuruluna veya yetkilendirilen yönetim kurulu üyelerine doğrudan erişebilmelidir. Şüpheli işlem bildirimi yapılıp yapılmayacağına ilişkin nihai değerlendirme, yetkili uyum görevlisinin sorumluluğundadır. Uyum birimi çalışanları araştırma yapabilir; ancak yetki zinciri dışında doğrudan MASAK’a bildirim gönderemez.

İç denetim yılda en az bir kez ve risk temelli biçimde yürütülmelidir. Denetim yalnız rastgele müşteri dosyalarının kontrolünden ibaret olmamalıdır. Yüksek riskli müşteriler, alarm üretmeyen fakat sıra dışı hareketler, manuel olarak kapatılan uyarılar, transfer açıklamaları, kişisel cüzdan beyanları ve ŞİB verilmeme kararları örnekleme dâhil edilmelidir.

Eğitim ve iç denetim istatistikleri takip eden yılın mart ayı sonuna kadar MASAK’a bildirilir. Eğitimin yalnız katılım listesiyle ispatlanması yeterli değildir; içerik, hedef personel grubu, ölçme yöntemi ve eğitim sonrasında tespit edilen eksiklikler de izlenmelidir.

Bilgi ve belgeler ne kadar süreyle saklanmalıdır?

KVHS, yükümlülüklerine ve işlemlerine ilişkin belgeleri düzenleme tarihinden, defter ve kayıtları son kayıt tarihinden, kimlik tespitine ilişkin kayıtları ise son işlem tarihinden itibaren sekiz yıl saklamalıdır. Hesap dosyasındaki kimlik kayıtları bakımından süre, hesabın kapatıldığı tarihten başlar.

Sekiz yıllık saklama kapsamına yalnız müşteri kimliği ve işlem geçmişi girmez. Aşağıdaki kayıtlar da muhafaza edilmelidir:

• Şüpheli işlem bildirimleri ve ekleri,

• Kurum içi şüpheli işlem bildirimleri,

• Bildirim yapılmamasına ilişkin yazılı gerekçeler,

• Cüzdan adresleri ve işlem hash’leri,

• Gönderici ve alıcı bilgileri,

• Fon kaynağı belgeleri,

• Risk skorları ve skor değişiklikleri,

• Uyarı kayıtları ile manuel inceleme sonuçları,

• Yetki, onay ve yönetim kurulu kararları,

• Eğitim, iç denetim ve kontrol kayıtları.

Kayıtların yalnız mevcut olması yeterli değildir. MASAK veya denetim elemanı tarafından istendiğinde verinin tam, doğru, okunabilir ve gecikmeksizin sunulabilmesi gerekir. Şifreli ya da özel formatta tutulan kayıtların erişimi için gerekli anahtar, şifre ve teknik araçlar da sağlanmalıdır. Özel kanunlardaki gizlilik hükümleri, savunma hakkı saklı kalmak üzere bilgi verme yükümlülüğünden kaçınmak için kullanılamaz.

Elektronik tebligat hesabı ne zaman açılmalıdır?

Kripto varlık hizmet sağlayıcı, faaliyet iznini aldıktan sonra 90 gün içinde MASAK elektronik tebligat hesabı açmak için başvurmalıdır. MASAK’ın sisteme gönderdiği tebligat, elektronik hesaba ulaştığı anda yapılmış sayılır; klasik elektronik tebligattaki beşinci gün kuralı burada uygulanmaz.

Başvurudaki eksikliklerin giderilmesi için 15 günden az olmamak üzere süre verilir. Başvuru bilgilerinde değişiklik meydana gelirse KVHS değişikliği derhal MASAK’a bildirmelidir. Faaliyet devam ettiği sürece hesabın kapatılması istenemez.

Elektronik tebligat hesabının düzenli kontrol edilmemesi, personel değişikliğinde erişim bilgilerinin güncellenmemesi veya tebligatın kurum içinde ilgili birime zamanında aktarılmaması ciddi sonuç doğurur. Tebligatın bir çalışanın e-posta kutusunda görülmemesi, hukuki süreyi durdurmaz.

Bu nedenle MASAK elektronik tebligat hesabı için en az iki seviyeli erişim kontrolü, yedek sorumlu, günlük kontrol kaydı ve kritik tebligatlarda yönetim kuruluna kadar uzanan bildirim zinciri kurulmalıdır.

MASAK yükümlülüklerinin ihlali hangi yaptırımları doğurur?

Yükümlülük ihlalleri; idari para cezası, eksikliklerin giderilmesi için ihtar, faaliyetlerin sınırlandırılması, faaliyet izninin iptalinin ilgili kuruma bildirilmesi ve bazı fiiller bakımından ceza sorumluluğu doğurabilir. Ceza yalnız kuruluşa değil, sorumlu yönetim kurulu üyesine veya üst düzey yöneticiye de yöneltilebilir.

5549 sayılı Kanun m.13’te müşterinin tanınması, devamlı bilgi verme ve şüpheli işlem bildirimi ihlalleri için temel idari para cezaları düzenlenmiştir. KVHS’ler bakımından ceza, işlem tutarının yüzde 5’inden az olmamak üzere artırımlı uygulanabilir. Kanundaki temel tutarlar her yıl yeniden değerleme oranına göre yükseltildiğinden somut ihlal tarihinde geçerli tutarın ayrıca kontrol edilmesi gerekir. MASAK, 2026 yılında uygulanacak güncel idari para cezası tutarlarını ayrıca yayımlamıştır.

Uyum programı kurulmaması hâlinde önce yazılı ihtar verilerek 30 günden az olmayan bir süre tanınır. Eksiklik giderilmezse idari para cezası uygulanır ve 60 günden az olmayan yeni bir süre verilir. İkinci sürede de uyum sağlanmazsa daha yüksek ceza gündeme gelir. Eksikliklerin devam etmesi durumunda faaliyetlerin durdurulması, kısıtlanması veya faaliyet izninin iptali için yetkili kuruma bildirim yapılabilir.

Erteleme kararına aykırı biçimde işlem gerçekleştirilmesi hâlinde 5549 sayılı Kanun m.19/A gereğince işlem tutarı kadar idari para cezası uygulanabilir. Bu nedenle operasyon biriminin erteleme kararını yalnız müşteri hesabına değil, aynı kişiye bağlı alt hesaplara, emir süreçlerine, çekim taleplerine ve saklama altyapısına eksiksiz yansıtması gerekir.

Şüpheli işlem bildiriminin açıklanması, bilgi ve belge verme yükümlülüğüne aykırılık veya kayıtların muhafaza edilmemesi gibi fiiller ise 5549 sayılı Kanun m.14 kapsamında adli yaptırım doğurabilir. Tüzel kişiler bakımından güvenlik tedbirleri de gündeme gelebilir.

Mahkemeler KVHS’lerin sorumluluğuna nasıl yaklaşıyor?

Yargı kararlarında KVHS’lerin yalnız pasif teknoloji sağlayıcısı olmadığı; müşteri tanıma, riskli işlemleri inceleme, hesap güvenliği ve şüpheli işlem bildirimi bakımından aktif yükümlülük taşıdığı yönünde bir yaklaşım gelişmektedir. Bununla birlikte her hesap kısıtlamasının otomatik olarak hukuka uygun sayıldığı söylenemez.

İstanbul 6. Asliye Ticaret Mahkemesinin 30 Mayıs 2025 tarihli, 2025/379 E. ve 2025/384 K. sayılı kararında, şüpheli işlem tespit eden platformun işlemleri inceleme, gerektiğinde gerçekleştirmeme, iş ilişkisini sonlandırma ve şüpheli işlem bildirimi yapma yükümlülüğü üzerinde durulmuştur.

İstanbul 8. Asliye Ticaret Mahkemesinin 1 Temmuz 2026 tarihli, 2026/246 E. ve 2026/538 K. sayılı kararında KVHS’lerin yüksek riskli işlemleri filtreleme ve incelemeye alma yükümlülüğü değerlendirilmiş; aynı zamanda 5549 sayılı Kanun m.19/A’daki yedi iş günlük sürenin platformun kendi başına kullanabileceği sınırsız bir hesap kısıtlama süresi olmadığı belirtilmiştir.

Bu kararlar, KVHS lehine sınırsız bir sözleşmesel takdir yetkisi yaratmaz. Platform, işlem kısıtlamasının hangi mevzuata, idari karara, güvenlik riskine veya sözleşme hükmüne dayandığını gösterebilmelidir. Tedbirle risk arasında ölçülülük bulunmalı; kanunen gizli bilgiler açıklanmadan müşterinin başvuru ve itiraz kanalları işletilmelidir.

KVHS’lerin en sık yaptığı uyum hataları nelerdir?

En sık karşılaşılan hata, MASAK uyumunun müşteri kabulünde kimlik doğrulamasıyla tamamlandığının düşünülmesidir. Oysa mevzuat müşterinin iş ilişkisi boyunca izlenmesini, risk profilinin güncellenmesini ve işlemlerin müşterinin mesleği, mali durumu, fon kaynağı ve işlem amacıyla karşılaştırılmasını gerektirir.

Başlıca risk alanları şunlardır:

1. Kimlik tespitinin işlem sonrasına bırakılması: Müşteri önce işlem yapmakta, belgeler yalnız para çekiminde istenmektedir.

2. Gerçek faydalanıcının ortaklık listesiyle karıştırılması: Şirketin görünen ortağı tespit edilmekte, nihai kontrol sahibi araştırılmamaktadır.

3. Cüzdan analizine aşırı güvenilmesi: Yazılım etiketi doğrudan suç tespiti sayılmakta veya düşük risk etiketi nedeniyle diğer göstergeler göz ardı edilmektedir.

4. Alarm kapatma gerekçelerinin kaydedilmemesi: Uyum personeli alarmı sonuçlandırmakta fakat hangi belgelere dayanıldığını göstermemektedir.

5. Şüpheli işlem ile kesin suç tespitinin karıştırılması: Bildirim için mahkûmiyet düzeyinde delil aranmakta ve bildirim geciktirilmektedir.

6. Hesap kısıtlamalarının hukuki nedeninin ayrıştırılmaması: MASAK ertelemesi, adli elkoyma, malvarlığının dondurulması ve sözleşmesel güvenlik tedbirleri tek bir “bloke” başlığı altında uygulanmaktadır.

7. Yurt dışı platform ve kişisel cüzdan transferlerinin eksik belgelenmesi: Karşı taraf bilgisi, cüzdan sahipliği ve transfer amacı yeterince araştırılmamaktadır.

8. Uyum biriminin kaynak yetersizliği: Yüksek işlem hacmi, az sayıda personel ve manuel inceleme nedeniyle uyarılar süresinde değerlendirilememektedir.

9. ŞİB gizliliğinin müşteri hizmetlerinde ihlal edilmesi: Müşteriye bildirim yapıldığına dair doğrudan veya dolaylı bilgi verilmektedir.

10. İç denetimin kâğıt üzerinde yapılması: Politikanın varlığı kontrol edilmekte; yazılımın, alarm senaryolarının ve personel kararlarının gerçek performansı incelenmemektedir.

Etkili bir MASAK uyum sistemi nasıl kurulmalıdır?

Etkili sistem; hukuk, uyum, siber güvenlik, veri analitiği, müşteri operasyonları ve yönetim kurulunun birlikte çalıştığı ölçülebilir bir yapı olmalıdır. Amaç yalnız ceza almamak değil, suç gelirinin platforma girişini, platform içinde dönüştürülmesini ve başka cüzdanlara dağıtılmasını zamanında tespit etmektir.

Uygulanabilir bir yol haritası şu şekilde kurulabilir:

1. Faaliyet ve ürün envanteri çıkarılmalıdır.
   Spot işlemler, saklama, staking, transfer, API kullanımı, kurumsal müşteri hizmetleri ve yurt dışı bağlantıları ayrı ayrı değerlendirilmelidir.

2. Müşteri risk modeli oluşturulmalıdır.
   Müşterinin türü, ülkesi, mesleği, gelir kaynağı, işlem hacmi, cihaz davranışı ve cüzdan bağlantıları ağırlıklandırılmalıdır.

3. İşlem izleme senaryoları test edilmelidir.
   Yalnız yüksek tutar değil; hızlı dağıtım, zincir değiştirme, parçalı işlem, çoklu hesap ve hesap ele geçirme göstergeleri de izlenmelidir.

4. Karar ve yetki zinciri yazılı hâle getirilmelidir.
   Kimin alarmı inceleyeceği, kimin ek belge isteyeceği, kimin işlemi durdurabileceği ve kimin ŞİB kararı vereceği belirlenmelidir.

5. Kayıtlar denetime hazır tutulmalıdır.
   Her kararın tarihçesi, kullanılan veri, görevli personel ve gerekçe değiştirilemez kayıtlarla saklanmalıdır.

6. Yönetim kuruluna ölçülebilir raporlama yapılmalıdır.
   Yalnız ŞİB sayısı değil; alarm sonuçlandırma süresi, bekleyen dosyalar, yanlış pozitif oranı, yüksek riskli müşteri sayısı ve eğitim eksikleri raporlanmalıdır.

Bir uyum sisteminin gerçek kalitesi, hiç alarm üretmemesiyle değil; doğru alarmı zamanında üretmesi, gereksiz kısıtlamayı azaltması ve verdiği kararın gerekçesini yıllar sonra dahi gösterebilmesiyle anlaşılır.

Kripto varlık hizmet sağlayıcıların MASAK yükümlülükleri hakkında sık sorulan sorular

Her kripto transferi MASAK’a bildirilir mi?

Hayır. Her transfer şüpheli işlem bildirimi değildir. Seyahat kuralı ve kayıt yükümlülükleri rutin transferlerde uygulanır. Şüpheli işlem bildirimi ise işlemin yasa dışı gelir veya amaçla bağlantılı olduğuna dair bilgi, şüphe ya da şüpheyi gerektiren bir husus bulunması hâlinde yapılır.

15.000 TL’nin altındaki işlemler denetimsiz midir?

Hayır. Seyahat kuralı kapsamında 15.000 TL’nin altındaki transferlerde de gönderen ve alıcının adı veya unvanı ile cüzdan adresi ya da referans numarası bulunmalıdır. Şüpheli işlem bildirimi ve sürekli iş ilişkisi bakımından ise tutar sınırı yoktur.

Platform müşteriden paranın kaynağını sorabilir mi?

Evet. Risk temelli yaklaşım ve sıkılaştırılmış tedbirler kapsamında platform müşterinin fon ve malvarlığı kaynağı hakkında bilgi ve belge isteyebilir. Talebin işlemin niteliği ve risk seviyesiyle ölçülü olması gerekir.

Kişisel veya soğuk cüzdana transfer yasak mıdır?

Hayır. Kişisel cüzdana transfer genel olarak yasak değildir. Ancak cüzdan sahibine, transfer amacına ve karşı tarafa ilişkin beyan veya destekleyici belge istenebilir. Belirli çekimlerde 48 veya 72 saatlik bekleme süresi de uygulanabilir.

MASAK blokesi mutlaka yedi günde kalkar mı?

Hayır. 5549 sayılı Kanun m.19/A’daki yedi iş günü, bu madde kapsamındaki işlem ertelemesine ilişkindir. Adli elkoyma, malvarlığının dondurulması, SPK mevzuatı, hesap güvenliği veya sözleşmesel tedbirler farklı süre ve şartlara tabi olabilir.

KVHS şüpheli işlem bildirimini müşteriye söyleyebilir mi?

Hayır. Bildirimin yapıldığı, kanunda belirtilen denetim ve yargılama istisnaları dışında müşteriye veya üçüncü kişilere açıklanamaz.

Kimlik tespiti yapılmadan küçük tutarlı hesap açılabilir mi?

Hayır. Platform üyeliği sürekli iş ilişkisi oluşturduğu için hesap açılışında tutar gözetilmeksizin kimlik tespiti gerekir. Müşterinin henüz para yatırmamış olması bu sonucu değiştirmez.

Kayıtlar kaç yıl saklanır?

Kimlik, işlem, şüpheli işlem bildirimi ve ilgili uyum kayıtları kural olarak sekiz yıl saklanır. Hesaba ilişkin kimlik kayıtlarında süre hesabın kapatıldığı tarihten itibaren başlar.

Sonuç: MASAK uyumu bir belge değil, çalışan bir sistemdir

Kripto varlık hizmet sağlayıcının MASAK yükümlülüğü, müşteri sözleşmesine birkaç madde eklenerek veya kimlik doğrulama hizmeti satın alınarak tamamlanmaz. Müşteri kabulünden cüzdan analizine, seyahat kuralından şüpheli işlem bildirimine, veri güvenliğinden yönetim kurulu gözetimine kadar bütün işleyiş aynı risk mimarisi içinde çalışmalıdır.

Zayıf uyum sistemi iki ayrı zarar üretir. İlkinde suç geliri platformdan geçer ve kuruluş idari ya da adli yaptırımla karşılaşır. İkincisinde ise hukuka uygun müşteri işlemleri gerekçesiz biçimde engellenir; platform tazminat, itibar ve müşteri kaybı riski taşır. Doğru yaklaşım, herkesi şüpheli kabul etmek değil, şüpheyi somut verilerle ayırabilecek bir sistem kurmaktır.

Kripto varlık hizmet sağlayıcılar bakımından ilk somut adım; kimlik tespiti, gerçek faydalanıcı, seyahat kuralı, ŞİB, erteleme, kayıt saklama ve elektronik tebligat süreçlerinin tek tek test edildiği yazılı bir uyum boşluk analizi hazırlamaktır. Bugün tespit edilmeyen bir eksiklik, yarın sekiz yıllık işlem geçmişinin açıklanması gereken bir denetim dosyasına dönüşebilir.

Yazar: Av. Ahmet Karaca

• Av. Ahmet Karaca, İstanbul Barosuna kayıtlı avukat olup çalışmalarını bilişim hukuku, yapay zekâ hukuku, kripto varlık hukuku, siber suçlar ve dijital dolandırıcılık dosyaları üzerinde yoğunlaştırmaktadır.