Kripto hesabındaki işlem geciktiğinde veya banka ek belge istediğinde kullanıcıların ilk cümlesi çoğu zaman “Hakkımda MASAK bildirimi mi yapıldı?” oluyor. Bu soruya dışarıdan kesin cevap vermek genellikle mümkün değildir. Şüpheli işlem bildirimi gizli bir uyum sürecidir; bildirim yapılmış olması suçun işlendiği, hesaba bloke konulduğu veya ceza soruşturması açıldığı anlamına gelmez. Aynı şekilde işlem kısıtlamasının bulunmaması da hiçbir bildirim yapılmadığını göstermez.
Türkiye’deki kripto dosyalarında sağlıklı değerlendirme için en az dört mekanizma birbirinden ayrılmalıdır: yükümlünün müşteri ve işlem incelemesi, MASAK’a şüpheli işlem bildirimi, işlemin geçici olarak askıya alınması ve adli makamın elkoyma ya da başka bir koruma tedbiri. Bu mekanizmalar bazen art arda işler; bazen yalnızca biri devreye girer.
Şüpheli işlem bildirimi nedir?
5549 sayılı Kanun kapsamında yükümlüler, nezdlerinde veya aracılıklarıyla yapılan ya da yapılmaya teşebbüs edilen işlemlere konu malvarlığının yasa dışı yollardan elde edildiğine veya yasa dışı amaçlarla kullanıldığına dair bilgi, şüphe veya şüpheyi gerektiren bir husus bulunması hâlinde MASAK’a bildirimde bulunur. Kripto varlık hizmet sağlayıcıları da yükümlüler arasındadır.
Buradaki eşik, ceza mahkemesinin mahkûmiyet için aradığı ispat seviyesi değildir. Uyum birimi, işlem davranışı ile müşteri profili arasındaki uyumsuzlukları, fon kaynağını, karşı tarafı, kullanılan ağ ve hizmetleri, coğrafi riski ve açıklamaları birlikte değerlendirir. Bildirimin amacı, dağınık finansal işaretlerin mali istihbarat düzeyinde incelenebilmesini sağlamaktır.
MASAK, kripto varlık hizmet sağlayıcılarına özgü Şüpheli İşlem Bildirimi Rehberi ve formunu 2024 yılında güncelledi. Güncellemede terörizmin ve kitle imha silahlarının yayılmasının finansmanı kategorileri, işlem ve hesap türleri, işleme aracılık eden finansal kuruluş bilgileri gibi sektöre özgü alanlar belirginleştirildi. Rehberdeki tipolojiler kontrol listesi değildir; bir işaretin bulunması otomatik suç, listede bulunmaması da otomatik güven anlamına gelmez.
ŞİB, bloke, askıya alma ve elkoyma arasındaki fark
| Mekanizma | Kim uygular? | Hukuki niteliği | Kullanıcının gördüğü sonuç |
|---|---|---|---|
| Müşteri/işlem incelemesi | Banka veya kripto varlık hizmet sağlayıcısı | Uyum ve risk yönetimi süreci | Belge talebi, limit, gecikme veya işlem reddi görülebilir |
| Şüpheli işlem bildirimi | Yükümlü tarafından MASAK’a | Gizli bildirim | Bildirim yapıldığı müşteriye açıklanmaz; tek başına zorunlu bloke değildir |
| İşlemin askıya alınması | Kanundaki yetki ve şartlar çerçevesinde | Geçici idari tedbir | Belirli işlemin icrası geçici olarak durabilir |
| Adli elkoyma | Hâkim; gecikmesinde sakınca bulunan hâllerde kanundaki usulle savcı | Ceza muhakemesi koruma tedbiri | Hesap veya malvarlığı üzerinde adli kısıtlama oluşur |
| Sözleşmesel/risk temelli kısıt | Hizmet sağlayıcı | Sözleşme, mevzuat ve risk politikası | Çekim, yatırma veya hesap kullanımı sınırlandırılabilir |
Bu ayrım itiraz merciini de değiştirir. Platformun eksik belge nedeniyle uyguladığı kısıta verilecek cevap ile savcılık dosyasındaki elkoyma kararına yapılacak hukuki başvuru aynı değildir. Kullanıcının önce kısıtın kaynağını belgelemeye çalışması gerekir: kurumun yazılı cevabı, işlem durumu, karar veya dosya numarası, talep edilen belgeler ve tarih.
Her bekleme süresi MASAK şüphesi değildir
28 Haziran 2025 tarihli MASAK Genel Tebliği (Sıra No: 29), kripto varlık hizmet sağlayıcıları için belirli sıkılaştırılmış tedbirler getirdi. Buna göre platformların, kapsam dahilindeki kripto çekimlerinde transferi varlığın alım, takas veya yatırma işleminden en az 48 saat sonra; ilk çekimde ise en az 72 saat sonra gerçekleştirmesi öngörülüyor. Stablecoin çekimlerinde günlük ve aylık limitler ile işlem açıklaması alınması gibi kurallar da düzenlenmiş durumda. Likidite sağlayıcılığı, piyasa yapıcılığı veya piyasalar arası arbitraj için ise şartları ve yönetim kurulu onayı bulunan sınırlı bir uygulama alanı var. Bu kuralların hangi transferlere uygulanacağı ve istisna koşulları, MASAK transfer, bekleme ve limit rehberi içinde işlem türüne göre ayrılmıştır.
Dolayısıyla yeni alınan varlığın hemen çekilememesi tek başına kişi hakkında suç şüphesi bulunduğunu göstermez. Mevzuattan kaynaklanan bekleme, güvenlik beklemesi, platformun risk incelemesi ve adli/idari tedbir birbirinden ayrılmalıdır. Güncel koşullar 29 Sıra No.lu Tebliğ’in Resmî Gazete metninde görülebilir.
Bankalar ve kripto platformları hangi sinyallere bakar?
Risk değerlendirmesi tek bir “kara liste” mantığıyla çalışmaz. Aşağıdaki olgular, bağlama göre ek inceleme doğurabilir:
- müşterinin gelir, meslek veya iş modeliyle açıklanamayan hacim;
- çok sayıda ilgisiz kişiden para gelişi ve kısa sürede kriptoya dönüşüm;
- hesabın kendi ekonomik amacı yerine başkaları adına tahsilat/dağıtım için kullanılması;
- sık ve parçalı P2P işlemler, aynı açıklamanın farklı taraflarda tekrarı;
- dolandırıcılık ihbarı yapılmış banka hesabı veya cüzdanla doğrudan temas;
- yüksek riskli hizmetler, mixer, gizlilik artırıcı araçlar veya çok aşamalı chain hopping;
- IP, cihaz, telefon ve kimlik ülkeleri arasında açıklanamayan uyumsuzluk;
- işlemin mahiyeti veya varlık kaynağı sorularına çelişkili cevap;
- hesap açıldıktan hemen sonra yüksek hacimli geçiş hesabı davranışı;
- uyum kontrollerini aşmak amacıyla tutarların veya hesapların bölünmesi.
Bu işaretlerin her biri meşru açıklamaya sahip olabilir. Bir ihracat şirketinin sınır ötesi tahsilatı, profesyonel arbitraj işlemi, aile içi transfer veya yabancının kendi birikimini Türkiye’ye getirmesi yüzeyde sıra dışı görünebilir. Uyum incelemesinin amacı tam da ekonomik ve hukuki bağlamı doğrulamaktır.
Blockchain risk puanı suç delili midir?
Ticari analiz araçları adresleri bilinen hizmetlerle ilişkilendirir, işlem yolunu izler ve maruziyet oranları üretir. Bunlar inceleme için değerlidir; fakat tek başına mahkûmiyet sağlayan kesin kimlik delili değildir. Bir cüzdanın riskli kümeye dolaylı teması, ortak borsa cüzdanı kullanımı veya yanlış/eskimiş etiket nedeniyle yanıltıcı sonuç doğabilir.
Risk bulgusunun kullanılabilir olması için en az şu bilgiler bilinmelidir:
- etiketin kaynağı ve son doğrulama tarihi;
- doğrudan mı, dolaylı mı temas bulunduğu;
- kaç işlem ve ne kadar değer üzerinden hesaplandığı;
- izlenen varlığın swap veya köprüde nasıl eşleştirildiği;
- müşteri varlığı ile platformun toplu cüzdanının ayrılıp ayrılmadığı;
- alternatif meşru açıklamaların test edilip edilmediği.
Teknik raporda “yüksek risk” sonucu, hukuki sonuçla karıştırılmamalıdır. Risk puanı kurumun inceleme önceliğini etkileyebilir; kişinin kastı, gelirin suç kaynağı ve belirli varlığın aidiyeti ayrıca ispatlanır.
Varlık kaynağı nasıl açıklanır?
Uyum incelemesine verilen cevap, çok sayıda ekran görüntüsünün gelişigüzel yüklenmesi olmamalıdır. Belgeler işlem akışını yeniden kurabilmelidir. Örneğin kripto varlık daha önce yabancı bir borsadan alınmışsa yalnızca son cüzdan transferi değil, satın alma kaydı, banka finansmanı, hesap sahipliği ve ara transferler gösterilir. Belgelerin işlem sırasında eksiksiz oluşması için karşı taraf kontrolü ve emir bazında kayıt düzeni birlikte takip edilebilir.
| İşlemin kaynağı | Destekleyebilecek kayıtlar | Özel dikkat |
|---|---|---|
| Maaş veya birikim | Banka hareketi, bordro, satın alma geçmişi | Zaman ve tutar zinciri kurulmalı |
| Ticari gelir | Sözleşme, fatura, teslim, şirket kayıtları | Ödeme yapan ile sözleşme tarafı uyumu |
| Eski kripto yatırımı | Borsa ekstresi, ilk alım, cüzdan geçmişi | Self-custody adres sahipliğinin açıklanması |
| P2P ticareti | Emir numarası, platform sohbeti, fiyat, TxID, banka dekontu | Üçüncü kişi ödemesi ve süreklilik riski |
| Şirket içi transfer | Yönetim kararı, muhasebe, cüzdan yetki matrisi | Şirket ve yönetici varlığının ayrılması |
| Aile/borç ilişkisi | Sözleşme, önceki ilişki, ödeme planı | Sonradan üretilmiş açıklama görüntüsü verilmemeli |
Belgenin çokluğu değil, işlemi açıklama gücü önemlidir. Sonradan hazırlanmış çelişkili sözleşme, dosyayı iyileştirmek yerine güvenilirliği zedeler. Eksik kayıt varsa bu eksiklik saklanmamalı; hangi kaydın hangi kurumdan istenebileceği açıkça belirtilmelidir.
P2P işlemlerinde ŞİB riskini artıran düğüm: üçüncü kişi ödemesi
P2P dolandırıcılıklarında fail, mağduru bir kripto satıcısının banka hesabına ödeme yapmaya yönlendirip USDT’yi kendi cüzdanına alabilir. Banka açısından hesap sahibi mağdur ödemesini alan kişidir; platform açısından ise tamamlanmış bir P2P emri görünür. İki sistemin kayıtları eşleştirilmeden olay anlaşılmaz. Aynı uyuşmazlığın alıcı, satıcı ve gerçek para gönderen açısından görünümü üçgen ödeme senaryoları içinde karşılaştırılmıştır.
P2P tarafının güvenli dosya disiplini; hesap sahibi ile platform hesabının aynı kişi olması, üçüncü kişi ödemesinin reddedilmesi, emir içi iletişim, TxID, fiyat ve zaman kayıtlarının tutulması, açıklamasız seri işlemlerden kaçınılması ve faaliyetin ticari boyuta ulaşması hâlinde vergi, şirket, ödeme hizmeti ve sermaye piyasası boyutlarının değerlendirilmesini gerektirir. Türkiye’de kripto P2P hukukuna ilişkin ayrıntılı inceleme, bu ayrımı işlem modelleri üzerinden ele alır.
Yabancı müşterilerin dosyalarında hangi belgeler önem kazanır?
Rusya veya Ukrayna vatandaşı olmak, kendi başına şüpheli işlem göstergesi değildir. Bununla birlikte savaş, yaptırım, banka erişimi, göç ve farklı ülkelerdeki hesaplar nedeniyle fon yolu daha karmaşık olabilir. Uyum incelemesi milliyete göre değil risk temelli yapılmalı; kullanıcı da işlemin ekonomik gerekçesini ve kendi varlığının sürekliliğini belgelemelidir.
Yabancı dildeki banka ekstresi, çalışma veya şirket belgesi, vergi kaydı, kira/satış sözleşmesi ve borsa ekstresinin anlaşılır tercümesi gerekebilir. İsimlerin Latin ve Kiril alfabelerindeki farklı yazılışı, aynı kişinin hesapları arasında sahte “üçüncü kişi” görünümü yaratabilir. Doğum tarihi, pasaport numarası ve hesap sahipliği gibi tanımlayıcılar kişisel veri güvenliği gözetilerek eşleştirilmelidir.
ŞİB yapıldığını öğrenmek için kuruma sorabilir miyim?
Yükümlüler, şüpheli işlem bildiriminde bulunulduğunu işleme taraf olanlar dahil üçüncü kişilere açıklayamaz. Bu gizlilik, soruşturma ve mali istihbarat sürecinin etkisizleştirilmesini önlemeyi amaçlar. Bu nedenle kurumun “bildirim yaptık/yapmadık” cevabı vermemesi olağandır.
Kullanıcının talep edebileceği şey farklıdır: hesabındaki kısıtın kapsamı, hangi işlemin yapılamadığı, eksik görülen müşteri belgesi, sözleşmesel başvuru yolu ve varsa adli/idari kararın bildirilebilir bilgileri. Böylece gizli bildirim sorusuna değil, hukuken itiraz edilebilir somut işleme odaklanılır.
Bir uyum dosyası nasıl incelenir?
- Yetki kaynağı belirlenir: Kısıt kurum politikası mı, mevzuat beklemesi mi, idari tedbir mi, adli karar mı?
- Zaman çizelgesi kurulur: Fonun kaynağı, bankaya gelişi, kripto alımı, çekim ve sonraki hareket aynı saat diliminde gösterilir.
- Taraflar ayrılır: Hesap sahibi, gerçek gönderen, P2P karşı tarafı, cüzdan kontrolörü ve nihai alıcı karıştırılmaz.
- Teknik risk test edilir: Adres etiketleri, maruziyet derecesi ve hizmet tanımları bağımsız ağ verisiyle doğrulanır.
- Ekonomik gerekçe belgelenir: Gelir kaynağı ile işlem hacmi ve sıklığı arasındaki ilişki açıklanır.
- Doğru başvuru seçilir: Kurum içi itiraz, savcılık dosyası, sulh ceza hâkimliği veya başka yol somut tedbire göre belirlenir.
ŞİB’in aklama şüphesiyle elkoymaya nasıl dönüştüğünü ve 5549 sayılı Kanun m. 17’nin şartlarını aklama şüphesiyle kripto varlığa elkoyma yazısında; ŞİB’in neden tek başına “somut delil” sayılmadığını CMK 128 kapsamında elkoyma yazısında anlattık.
Sık sorulan sorular
Şüpheli işlem bildirimi sicile işler mi?
ŞİB, mahkûmiyet kaydı veya adli sicil kaydı değildir. Mali istihbarat sistemindeki gizli bildirimdir. Sonrasında inceleme veya soruşturma gelişebilir; fakat bildirim tek başına kişinin suçlu olduğunu göstermez.
ŞİB yapılınca banka hesabı zorunlu olarak kapanır mı?
Hayır. Bildirim ile müşteri ilişkisinin sürdürülmesi ayrı değerlendirmelerdir. Kurum, kendi risk politikası ve hukuki yükümlülükleri çerçevesinde kısıtlama veya ilişki sonlandırma kararı verebilir; adli veya idari tedbir de ayrıca bulunabilir.
48 veya 72 saatlik kripto çekim beklemesi bloke midir?
Genel olarak 29 Sıra No.lu Tebliğ kapsamındaki bekleme, mevzuattan doğan transfer tedbiridir. Somut hesapta ek bir risk veya adli kısıt bulunup bulunmadığı ayrıca incelenmelidir.
Fon kaynağı belgesi vermezsem ne olur?
Yükümlü müşteriyi tanıma ve işlemin mahiyetini anlama yükümlülüğünü yerine getiremezse işlemi reddedebilir, ilişkiyi sınırlandırabilir veya risk değerlendirmesi yapabilir. Belgenin gerçekten mevcut olmadığı durum ile sunulmaktan kaçınılması aynı değerlendirilmez.
MASAK blokesine nasıl itiraz edilir?
Önce “MASAK blokesi” denilen kısıtın gerçek hukuki dayanağı tespit edilmelidir. 5549 sayılı Kanun kapsamında işlem askısı, savcılık veya mahkeme kararı, banka içi risk tedbiri farklı süre ve başvuru yollarına tabidir. Ayrıntılı ayrım için MASAK 19/A ve kripto banka blokesi incelemesi kullanılabilir.
Doğru soru “Bildirim var mı?” değil, “İşlem neden açıklanamıyor?”dur
Şüpheli işlem bildirim sistemi, finansal kuruluşu ceza mahkemesine dönüştürmez; müşteriyi de bildirimin varlığını tahmin etmeye mahkûm etmemelidir. Somut dosyada yapılması gereken, para ve kripto hareketini baştan sona yeniden kurmak, gerçek ticari veya kişisel amacı belgelerle açıklamak ve kısıtın hukuki kaynağını belirlemektir.
Bu çalışma iyi yapıldığında iki sonuç aynı anda elde edilir: meşru işlemin açıklaması güçlü bir dosyaya dönüşür; gerçekten suç bağlantısı bulunan hareketler de masum hesap ve transferlerden ayrıştırılır. Uyum hukukunun özündeki risk temelli yaklaşım tam olarak bunu gerektirir.
Şüpheli işlem bildiriminden erteleme kararına uzanan zinciri ve yedi iş gününün takvimde nasıl sayıldığını MASAK blokesi rehberinde, borsa tarafındaki bekleme süreleriyle risk kontrollerini kripto borsası hesap blokesi yazısında işledik.
İlgili çalışma alanı: Banka ve Ödeme Kuruluşu Hesap Blokesi — Banka, ödeme kuruluşu veya elektronik para kuruluşu nezdindeki hesabına erişimi kısıtlanan bireyler ve şirketler.
