Uluslararası Kripto Para Uyumluluğu Rehberi: KYC, AML, Seyahat Kuralları 2026
FATF Seyahat Kuralı kapsamında 1.000 EUR üzerindeki her kripto transferinde kimlik bilgisi paylaşımı zorunludur; Türkiye’de ise 5549 sayılı Kanun ve SPK’nın III-35/B.1 – III-35/B.2 sayılı tebliğleri uyarınca faaliyet gösteren tüm Kripto Varlık Hizmet Sağlayıcıları (KVHSP) için KYC, AML ve şüpheli işlem bildirimi yükümlülükleri 2025 itibarıyla tam anlamıyla yürürlüktedir. Bu rehberde KYC-AML çerçevesini, uluslararası seyahat kuralı gereksinimlerini, MiCA ve CARF uyumluluk yükümlülüklerini, bireysel yatırımcı haklarını ve Türkiye’deki hukuki süreçleri öğreneceksiniz.
📌BU MAKALE HAKKINDA ÖNEMLİ ÇIKARIMLAR
Bu makale, uluslararası kripto para uyumluluğunu; KYC (Müşterini Tanı), AML (Kara Para Aklamayla Mücadele), FATF Seyahat Kuralı (Tavsiye 16), MiCA (AB kripto varlık piyasaları regülasyonu) ve OECD’nin CARF çerçevesi açısından kapsamlı biçimde ele almaktadır. Türkiye’de MASAK‘ın (Mali Suçları Araştırma Kurulu) 5549 sayılı Kanun uyarınca uyguladığı hesap blokesi mekanizmaları, SPK‘nın (Sermaye Piyasası Kurulu) 13 Mart 2025 tarih ve 32840 sayılı Resmî Gazete’de yayımlanan III-35/B.1 ve III-35/B.2 sayılı KVHSP tebliğleri ve TCK m.282 kapsamındaki suç geliri aklamasına ilişkin hukuki riskler bizzat yürüttüğümüz davalardan edinilen pratik bulgularla desteklenerek aktarılmaktadır. Uyumluluk ihlallerinden kaynaklanan yaptırım süreçlerinde on-chain forensic analiz ile hukuki stratejiyi birleştiren bu yaklaşım, mevcut kaynaklardan ayırt edici özelliği oluşturmaktadır.
Bu makale; İstanbul Barosu’na kayıtlı, Kripto Para Hukuku, Blockchain Regülasyonları, Bilişim ve Ceza Hukuku alanlarında ihtisaslaşmış Av. Ahmet Karaca liderliğindeki uzman kripto para ve ceza avukatları kadrosu tarafından hazırlanmıştır. Okuyucuya en doğru bilgiyi sunmak amacıyla bu içerik, güncel mevzuat değişiklikleri ve emsal yargı kararları doğrultusunda düzenli olarak revize edilmektedir.
📞 Hukuki danışmanlık ve detaylı bilgi için: 0531 336 09 81 | WhatsApp
– Av. Ahmet Karaca
HIZLI CEVAP
Uluslararası kripto uyumluluğu; 5549 sayılı Kanun ve SPK tebliğleri (III-35/B.1, III-35/B.2) kapsamında zorunlu KYC doğrulama, MASAK şüpheli işlem bildirimi ve FATF Tavsiye 16 uyarınca 1.000 EUR üzeri transferlerde taraf bilgisi paylaşımını kapsar.
MiCA kapsamında 30 Aralık 2024’ten itibaren AB’de lisanssız kripto hizmeti sunan platformlar için yüzde 3 yıllık ciro oranında idari para cezası uygulanmaktadır; Türkiye’deki KVHSP’ler de AB’ye hizmet veriyorsa bu yaptırımla karşılaşabilir.
CARF kapsamındaki otomatik vergi bilgisi paylaşımı 2026’da aktive olmaktadır — beyan dışı kripto varlıkların tespitinde ciddi risk artışı söz konusudur, gelir tabanlı vergi uyumluluğu gecikmeden sağlanmalıdır.
KYC nedir ve kripto para borsaları için zorunlu mu?
KYC (Know Your Customer — Müşterini Tanı), kripto borsalarının ve diğer varlık hizmet sağlayıcılarının kullanıcı kimliğini doğrulama yükümlülüğüdür. Türkiye’de 5549 sayılı Kanun m.3 ve m.4 kapsamında SPK lisanslı tüm KVHSP’ler için zorunludur. KYC eksikliğinde MASAK 50.000 TL’den başlayan idari para cezası uygulayabilir; tekrarlanan ihlallerde lisans iptali gündeme gelebilir.
Kripto Para KYC Zorunluluğu Nedir ve Hangi İşlemler Kapsama Giriyor?
📌 KISA YANIT
KYC (Know Your Customer — Müşterini Tanı), kripto varlık hizmet sağlayıcılarının kullanıcı kimliğini doğrulama, işlem geçmişini izleme ve risk profilini belirleme zorunluluğudur. Türkiye’de 5549 sayılı Kanun m.3 ve m.4 kapsamında faaliyet gösteren tüm KVHSP’ler için zorunludur; eksikliği 50.000 TL’den başlayan MASAK yaptırımına yol açar.
KYC (Know Your Customer) Nedir?
KYC; kripto borsalarının, saklama hizmeti sunan platformların ve kripto varlık transfer sağlayıcılarının kullanıcı kimliğini belgelemesi, hesap açılışında kimlik tespiti yapması ve süregelen işlem izlemesini sürdürmesi yükümlülüğüdür. 5549 sayılı Kanun m.3/ç bu yükümlülüğü Türk hukukuna taşımıştır.
KYC uyumu, kripto ekosisteminin belki de en çok yanlış anlaşılan boyutudur. Hem platforma hem de kullanıcıya yönelik çift taraflı bir yükümlülük sistemi olduğunu vurgulamak gerekir: Platform açısından kimlik doğrulama sistemleri kurmak, belgeleri saklamak ve risk bazlı müşteri sınıflandırması (Risk-Based Approach / RBA) uygulamak zorunludur. Kullanıcı açısından ise hesap açılışında gerçek kimlik bilgilerini sunmak ve platforma yanıltıcı bilgi vermemek birincil yükümlülüktür.
MASAK (Mali Suçları Araştırma Kurulu — Hazine’ye bağlı, suç gelirlerinin önlenmesinden sorumlu idari birim), 5549 sayılı Kanun kapsamında KVHSP’leri denetleme ve uyumsuzluk halinde yaptırım uygulama yetkisine sahiptir. Buna ek olarak, SPK (Sermaye Piyasası Kurulu) 13 Mart 2025 tarihli III-35/B.1 sayılı tebliğ ile KYC prosedürlerini ve müşteri durum tespiti standartlarını ayrıntılı biçimde düzenlemiştir.
Uygulamada en sık karşılaştığımız sorun şudur: Kullanıcılar, platformların kimlik doğrulama taleplerini bir formalite olarak görerek eksik veya yanıltıcı belge sunmaktadır. Oysa bu durum, MASAK blokesi sonrası hesabın kurtarılmasını doğrudan zorlaştırmaktadır — zira bloke itirazında sunulan on-chain analiz raporunun gerçek kimlikle eşleşememesi, başvurunun reddine yol açmaktadır.
| KYC DÜZEYİ | UYGULAMA KOŞULU | GEREKEN BELGELER | RİSK EŞİĞİ |
| Basit KYC | Düşük riskli kullanıcı, düşük işlem hacmi | T.C. Kimlik / Pasaport, selfie | Yıllık <10.000 USD |
| Standart KYC | Orta hacimli işlem, normal risk profili | Kimlik + ikametgah belgesi + banka hesabı doğrulaması | Yıllık 10.000–100.000 USD |
| Gelişmiş KYC (EDD) | Yüksek hacim, PEP (siyasi açıdan ifşa kişisi), yabancı uyruklu | Kaynak fonu belgesi, vergi beyanı, referans mektubu | Yıllık >100.000 USD |
PEP (Politically Exposed Person — Siyasi Açıdan İfşa Kişisi) kapsamındaki kişiler, Türkiye’deki kripto platformlarında doğrudan yüksek riskli kategoriye alınmaktadır. Bu kişilerin hesap işlemlerinde Gelişmiş Durum Tespiti (Enhanced Due Diligence / EDD) uygulanmakta; fon kaynağının belgelenmesi zorunluluk haline gelmektedir. İstanbul Barosu sempozyumlarında da ele aldığımız bu konu, özellikle kurumsal kripto yatırımcıları açısından ayrı bir dikkat gerektirmektedir.
Kripto Para AML Uyumluluğu: Borsaların ve Yatırımcıların Yükümlülükleri Nelerdir?
📌 KISA YANIT
AML (Anti-Money Laundering — Kara Para Aklamayla Mücadele) kapsamında Türk KVHSP’leri; şüpheli işlem bildirimi (STR), süregelen müşteri izlemesi, işlem risk skorlaması ve Chainalysis/Elliptic gibi blockchain analiz araçlarıyla zincir üstü denetim yapmakla yükümlüdür. Yükümlülükler 5549 sayılı Kanun m.4–m.8 ile düzenlenmektedir.
AML uyumluluğu, kripto ekosisteminde klasik finans dünyasından çok daha katmanlı bir yapıya sahiptir. Geleneksel bankacılıkta şüpheli işlem tespiti büyük ölçüde beyan bazlı ilerlerken, blockchain’de her işlem herkese açık bir defterde (public ledger) iz bırakmaktadır. Bu durum, hem MASAK hem de uluslararası denetleyici kurumlar için on-chain forensic analizini olmazsa olmaz bir araç haline getirmiştir.
AML (Anti-Money Laundering) Nedir?
AML; suç gelirlerinin finansal sisteme karıştırılmasını önlemek amacıyla uygulanan kurallar bütünüdür. Kripto alanında bu; blockchain işlemlerinin izlenmesi, yüksek riskli cüzdanların tespit edilmesi ve şüpheli transferlerin MASAK’a bildirilmesini kapsar. 5549 sayılı Kanun m.4 ve m.7, Türkiye’deki KVHSP’ler için bu yükümlülüğü açıkça düzenlemektedir.
On-Chain AML Araçları: Chainalysis, Elliptic ve Wallet Clustering
Blockchain üzerindeki kara para aklaması girişimlerini tespit etmek için wallet clustering (cüzdan kümeleme), transaction graph mapping (işlem grafik haritalama) ve UTXO takibi (Bitcoin zincirindeki kullanılmamış çıktıların izlenmesi) başlıca teknik yöntemler olarak öne çıkmaktadır. Chainalysis ve Elliptic bu alanda küresel standart haline gelmiş iki risk analiz platformudur; Türkiye’deki büyük kripto borsaları bu araçları entegre etme yolundadır.
Uygulamada gözlemlediğimiz kritik bir nokta şudur: Bir mixer (kripto para karıştırıcı) ya da yüksek riskli bir dark web servisine temas etmiş cüzdandan gelen fonlar, alıcı platformun AML sisteminde otomatik alarm tetiklemektedir. Kullanıcının bu fonların kaynağından haberdar olmaması hukuki açıdan masumiyet argümanı olarak değerlendirilebilir; ancak bunun kanıtlanması teknik bilgi gerektiren karmaşık bir süreçtir.
| AML YÜKÜMLÜLÜĞÜ | YASAL DAYANAK | YETKİLİ KURUM | İHLAL YAPTIRIMI |
| Müşteri Durum Tespiti (CDD) | 5549 s.K. m.3–m.4 | MASAK | 50.000 ₺ – 5.000.000 ₺ |
| Şüpheli İşlem Bildirimi (STR) | 5549 s.K. m.7 | MASAK | Lisans İptali |
| İşlem Kayıt Tutma (5 Yıl) | 5549 s.K. m.8 | MASAK / SPK | 100.000 ₺ – 500.000 ₺ |
| Risk Bazlı Yaklaşım (RBA) | SPK III-35/B.1 m.12 | SPK | Faaliyet Durdurma |
| Blockchain Risk Skorlaması | FATF Tavsiye 15–16 | MASAK / SPK | 50.000 ₺ – 2.000.000 ₺ |
Özellikle TRC-20 ve ERC-20 ağları üzerinden gerçekleştirilen yüksek hacimli USDT transferleri, Türkiye’deki AML denetimlerinde en sık mercek altına alınan işlemler arasındadır. Zincir üstü analiz kapasitesine sahip bir kripto avukatıyla çalışmak, bu tür dosyalarda hem savunma stratejisinin hem de uyumluluk değerlendirmesinin doğru kurgulanması açısından belirleyici olmaktadır. Bizdeki tecrübeye göre, şüpheli işlem bildirimi yapılmadan önce on-chain analiz raporuyla işlemin riskliliğinin değerlendirilmesi, hem platforma hem de kullanıcıya hukuki koruma sağlamaktadır.
FATF Seyahat Kuralı Kripto Transferlerinde Nasıl Uygulanıyor?
📌 KISA YANIT
FATF Seyahat Kuralı (Travel Rule — Tavsiye 16), 1.000 EUR veya eşdeğeri üzerindeki kripto varlık transferlerinde gönderici adı, hesap numarası/cüzdan adresi ve alıcı bilgilerinin platformlar arasında aktarılmasını zorunlu kılar. Türkiye’de SPK III-35/B.1 tebliği bu kuralı KVHSP’lere uygulatmaktadır; uyumsuz transferler durdurulabilir.
FATF (Financial Action Task Force / Mali Eylem Görev Gücü — kara para aklama ve terörün finansmanıyla mücadelede uluslararası standartları belirleyen hükümetlerarası kuruluş) Tavsiye 16, geleneksel banka havalelerinde yıllardır uygulanan “wire transfer kuralını” dijital varlıklara uyarlayan düzenlemedir. Uluslararası kripto hukuku alanında çalışan İstanbul merkezli kripto avukatı Av. Ahmet Karaca, seyahat kuralının Türkiye’deki uygulamasını defalarca Haberler.com’da ele almıştır.
Seyahat Kuralı Neyi Kapsıyor, Neyi Kapsamıyor?
FATF Seyahat Kuralı, KVHSP’den KVHSP’ye gerçekleşen transferleri kapsamaktadır. Bir merkezi borsadan öz-saklama (self-custody) cüzdanına yapılan transferler ise “unhosted wallet” (sahipsiz cüzdan) işlemleri olarak ayrı bir regülasyon tartışması alanındadır. Avrupa’da MiCA (Markets in Crypto-Assets Regulation — AB kripto varlık piyasası regülasyonu) ve Transfer of Funds Regulation (ToFR), unhosted cüzdan transferlerini de takibe almaktadır.
Seyahat Kuralı (Travel Rule) Nedir?
FATF Tavsiye 16 kapsamındaki Seyahat Kuralı; kripto varlık hizmet sağlayıcısının 1.000 EUR eşiğini geçen her transferde gönderici adı, hesap bilgisi ve alıcı kimliğini alıcı platforma iletmesini zorunlu kılan uluslararası standarttır. SPK III-35/B.1 tebliğiyle Türkiye hukukuna adapte edilmiştir.
| TRANSFER TÜRÜ | EŞİK | SEYAHAT KURALI UYGULANIYOR MU? | GEREKLİ BİLGİ |
| KVHSP → KVHSP | ≥ 1.000 EUR | ✔ Evet — Zorunlu | Gönderici + Alıcı kimliği, cüzdan adresi |
| KVHSP → Unhosted Cüzdan | ≥ 1.000 EUR | ⚠ Risk bazlı denetim | Cüzdan sahipliği beyanı gerekebilir |
| Unhosted → KVHSP | ≥ 1.000 EUR | ⚠ Platform kararına bağlı | Kaynak belgesi talep edilebilir |
| < 1.000 EUR tüm transferler | - | Standart KYC | Temel hesap bilgisi yeterli |
Seyahat kuralının pratik uygulamasında en büyük güçlük VASP Discovery sorunudur: Gönderici platform, alıcının hangi KVHSP’de hesabının bulunduğunu teknik olarak doğrulamak zorundadır. Bu doğrulama için OpenVASP, TRISA ve TravelRule.io gibi uluslararası protokoller geliştirilmekte; Türkiye’deki platformlar bu entegrasyona doğru adım atmaktadır. MASAK bloke dosyalarında edindiğimiz deneyim, seyahat kuralı ihlalinin tespit edildiği vakaların büyük çoğunluğunda sorunun teknik altyapı eksikliğinden değil, prosedürel gözetimden kaynaklandığını ortaya koymaktadır.
“FATF Seyahat Kuralı’nı yalnızca teknik bir veri aktarım yükümlülüğü olarak görmek, uyumluluk riskini en aza indirmiyor. 5549 sayılı Kanun m.7 kapsamındaki şüpheli işlem bildirimiyle birleştiğinde bu kural, kripto platformlarını fiilen hukuki sorumluluk paylaşımına taraf kılıyor. Özellikle yüksek hacimli USDT transferlerinde seyahat kuralı verisi olmaksızın gerçekleştirilen işlem, MASAK’ın bloke kararına doğrudan zemin hazırlıyor.”
— Kripto hukuku uzmanı Av. Ahmet Karaca, Haberler.com uzman görüş serisi
MiCA Regülasyonu Türk Kripto Şirketlerini ve Yatırımcıları Nasıl Etkiliyor?
📌 KISA YANIT
MiCA (Markets in Crypto-Assets Regulation), 30 Aralık 2024’ten itibaren AB’de tam olarak yürürlüktedir. AB üyesi olmayan Türkiye’de yerleşik şirketler, AB’deki kullanıcılara hizmet verdikleri ölçüde MiCA’ya uyum sağlamak veya yetkili kuruluş (Authorized Entity) statüsü almak zorundadır. Türkiye’nin SPK III-35/B.1 tebliği MiCA ile örtüşen yapı sunar.
MiCA, AB hukuku tarihinin kripto varlıklara ilişkin en kapsamlı regülasyonudur. Stablecoin ihraçcılarından kripto varlık hizmet sağlayıcılarına, yatırım danışmanlığı sunan platformlara kadar geniş bir yelpazeyi kapsayan regülasyon, AB üyesi olmayan ülkelerdeki operatörler için de dolaylı ama güçlü yükümlülükler doğurmaktadır. Türk KVHSP’ler açısından kritik nokta şudur: Türk kullanıcılara değil, AB üyesi ülkelerde ikamet eden kullanıcılara kripto hizmeti sunuluyor ise MiCA kapsamı devreye girmektedir.
MiCA’nın Kripto Varlık Sınıflandırması
MiCA üç temel kripto varlık kategorisini düzenlemektedir. Asset-Referenced Tokens (ART) — birden fazla varlığa endeksli tokenler; E-money Tokens (EMT) — tek bir itibari para birimine bağlı stablecoinler; ve Other Crypto-Assets — Bitcoin, Ethereum ve diğer yardımcı tokenler. Her kategori için farklı lisanslama, sermaye yeterliliği ve açıklama gereksinimleri söz konusudur.
MiCA (Markets in Crypto-Assets Regulation) Nedir?
MiCA; AB Resmî Gazetesi’nde yayımlanan ve 30 Aralık 2024’te tam yürürlüğe giren, Avrupa Birliği’nin kripto varlık piyasalarını düzenleyen kapsamlı regülasyonudur. Lisanslama, yatırımcı koruması, stablecoin gereksinimleri ve piyasa manipülasyonu yasaklarını düzenler; uyumsuzluk halinde yüzde 3 yıllık ciro oranında idari para cezası uygulanır.
| KONU | MİCA (AB) | SPK III-35/B.1 (TÜRKİYE) | ÖRTÜŞME |
| Lisans Zorunluluğu | CASP (Crypto-Asset Service Provider) | KVHSP | Paralel |
| Sermaye Yeterliliği | 50.000 – 150.000 EUR | SPK tarafından belirlenen TL karşılığı | Benzer |
| AML/KYC | AMLD6 + FATF uyumu | 5549 s.K. + FATF uyumu | Paralel |
| Stablecoin Rezervi | 1:1 yedek varlık zorunluluğu | Düzenleme geliştiriliyor | Kısmi |
| Piyasa Manipülasyonu Yasağı | Açık düzenleme (MiCA m.91–m.94) | SPK Kanunu m.47 kapsamında | Paralel |
Türkiye’nin MiCA ile tam bir uyum sağlayıp sağlamayacağı henüz kesinleşmiş değildir; ancak SPK’nın düzenleme felsefesi ve tebliğlerin yapısı, MiCA’ya yakın bir çerçeve oluşturmaktadır. Bu durum, Türk kripto yatırımcıları ve şirketleri açısından olumlu bir tablo sunmaktadır: İki düzeni aynı anda karşılayabilecek uyumluluk altyapısı görece daha az maliyetle inşa edilebilmektedir.
KYC/AML Uyum Sorununuz mu Var?
Hukuki destek ve danışmanlık için, savcılık soruşturma ve dava dosyalarına Kripto Varlık Uzman Raporları da hazırlayan kripto para avukatı Av. Ahmet Karaca ile görüşmek üzere randevu talep edebilirsiniz.
📞 0531 336 09 81
CARF 2026: Kripto Varlıkların Vergi Otoriteleri Arasında Otomatik Paylaşımı Ne Anlama Geliyor?
📌 KISA YANIT
CARF (Crypto-Asset Reporting Framework — Kripto Varlık Raporlama Çerçevesi), OECD’nin kripto işlem verilerini vergi otoriteleri arasında otomatik olarak paylaştırdığı uluslararası standarttır. Türkiye bu çerçeveyi benimseme sürecindedir; 2026 itibarıyla yıllık eşiği geçen kripto işlemleri uluslararası vergi otoritelerine bildirilebilir hale gelmektedir.
CARF (Crypto-Asset Reporting Framework — OECD Kripto Varlık Raporlama Çerçevesi), mevcut CRS (Common Reporting Standard / Ortak Raporlama Standardı)‘ın kripto varlıklara uyarlanmış halidir. Merkezi bir otoriteye bağlı olmayan kripto varlıkların vergi kaçakçılığına zemin hazırlamasını önlemeyi hedefleyen bu çerçeve, 2026’dan itibaren küresel ölçekte aktif olmaya başlamıştır.
CARF’ın pratikte anlamı şudur: Yurt dışındaki bir kripto borsasında tuttuğunuz varlıklar ve gerçekleştirdiğiniz işlemler artık yalnızca o ülkenin vergi otoritesine değil, Türkiye Gelir İdaresi Başkanlığı’na da ulaşabilmektedir. Bu durum, vergiden muaf saydığı veya beyan dışı bıraktığı kripto gelirleri bulunan yatırımcılar için ciddi bir risk artışı anlamına gelmektedir. Yüzlerce dosyada gözlemlediğimiz ortak hata, geçmiş yıllara ait kripto kazancının CARF aktivasyonu öncesinde gönüllü beyan yoluyla düzeltilmemesidir — oysa bu adım, hem ceza riskini azaltmakta hem de uyumluluk sicilini güçlendirmektedir.
| CARF KAPSAMI | AÇIKLAMA | TÜRKİYE’DEKİ DURUM |
| Raporlanan İşlemler | Alım-satım, takas, ödeme, transferler | GVK Geçici 67 + CARF entegrasyonu sürecinde |
| Raporlayan Birimler | Merkezi borsalar (CEX), NFT platformları, DeFi (sınırlı) | SPK lisanslı KVHSP’ler birincil raporlayıcı |
| Eşik Değer | Yıllık ~10.000 USD (ülkeye göre değişebilir) | Kesin eşik GİB genelgesiyle belirlenecek |
| DeFi ve NFT | CARF kapsam tartışması devam ediyor | Türkiye henüz spesifik düzenleme yok |
CARF’ın Türkiye açısından en kritik boyutu, GVK (Gelir Vergisi Kanunu) ve VUK (Vergi Usul Kanunu) çerçevesindeki mevcut kripto vergilendirme rejiminin uluslararası raporlama standartlarıyla uyumlu hale getirilmesi zorunluluğudur. Bu süreçte, kripto gelirlerini doğru kategorize edemeyen veya yanlış beyan eden yatırımcılar hem vergi idaresiyle hem de potansiyel MASAK soruşturmasıyla eş zamanlı hukuki riskle karşı karşıya kalabilmektedir.
Türkiye’de KVHSP Lisansı ve Uyumluluk Süreci Nasıl İşliyor?
📌 KISA YANIT
Türkiye’de kripto varlık alım-satım, saklama veya transfer hizmeti sunan tüm platformların SPK’dan Kripto Varlık Hizmet Sağlayıcısı (KVHSP) lisansı alması zorunludur. Bu yükümlülük, 13 Mart 2025 tarih 32840 sayılı Resmî Gazete’de yayımlanan III-35/B.1 ve III-35/B.2 sayılı tebliğlerle düzenlenmiştir; lisanssız faaliyet TCK m.282 kapsamına girebilir.
Türkiye’nin kripto varlık regülasyon mimarisi, 2023–2026 döneminde hızlı biçimde olgunlaşmıştır. 6362 sayılı Sermaye Piyasası Kanunu’na eklenen 35/B maddesi, SPK’ya kripto platformlarını lisanslama ve denetleme yetkisi tanımıştır. 13 Mart 2025 tarihli tebliğlerle bu yetki somut prosedürel çerçeveye kavuşmuştur.
III-35/B.1 (KRİPTO VARLIK HİZMET SAĞLAYICILARIN KURULUŞ VE FAALİYET ESASLARI HAKKINDA TEBLİĞ) ile III-35/B.2 (KRİPTO VARLIK HİZMET SAĞLAYICILARIN ÇALIŞMA USUL VE ESASLARI İLE SERMAYE YETERLİLİĞİ HAKKINDA TEBLİĞ) iki temel düzenleme belgesidir. İlki kuruluş ve faaliyet esaslarını, ikincisi operasyonel standartları ve sermaye yeterliliği hesaplamalarını düzenlemektedir.
KVHSP Lisansı İçin Adım Adım Süreç
Ön Hazırlık: Şirket Yapısı ve Sermaye
Türkiye’de anonim şirket (AŞ) olarak tescil, SPK’nın belirlediği asgari ödenmiş sermaye tutarını karşılama ve yönetim kurulunda uyum görevlisi (compliance officer) atanması gerekir.
AML/KYC Politika Belgeleri
5549 sayılı Kanun ve III-35/B.1 tebliği uyarınca yazılı AML politikası, KYC prosedürleri, STR bildirimi süreci ve müşteri risk sınıflandırma matrisi hazırlanmalıdır.
Teknik Altyapı ve Siber Güvenlik
Blockchain analiz aracı entegrasyonu (Chainalysis veya muadili), FATF Seyahat Kuralı için VASP discovery altyapısı ve sızdırmazlık testlerini içeren siber güvenlik belgesi hazırlanması zorunludur.
SPK’ya Başvuru ve Değerlendirme
Hazırlanan belgelerle SPK’ya resmi başvuru yapılır. SPK’nın azami 30 günlük değerlendirme süresi mevcuttur; eksiklik olması halinde ek süre tanınabilir.
MASAK Tescili
SPK lisansı sonrası platform, 5549 sayılı Kanun kapsamında MASAK’a yükümlü kuruluş olarak tescil ettirilerek şüpheli işlem bildirimi kanallarını aktive etmek zorundadır.
Süregelen Uyumluluk ve Denetim
Lisans sonrası SPK ve MASAK periyodik denetimleri, yıllık bağımsız denetim raporu ve aylık işlem hacmi bildirimi yükümlülükleri devam eder. Bu aşamada uyum avukatıyla sürekli çalışma, ihlal riskini minimize eder.
Kripto Hesabım Uyumluluk Gerekçesiyle Bloke Edildi, Ne Yapabilirim?
📌 KISA YANIT
Kripto hesabının uyumluluk gerekçesiyle bloke edilmesi durumunda; 5549 sayılı Kanun m.17 kapsamında borsaya yazılı itiraz, MASAK nezdinde açıklama dilekçesi ve Sulh Ceza Hakimliği’ne itiraz yolları kullanılabilir. On-chain analiz raporu eşliğinde yürütülen itiraz süreçlerinde çözüm oranı belirgin şekilde artmaktadır.
Kripto hesabının dondurulması, günümüzde en çok karşılaştığımız hukuki sorunların başında gelmektedir. Blokenin kaynağı önemlidir: Platformun kendi AML sistemi kaynaklı mı, MASAK talebi mi, yoksa savcılığın CMK m.128/A (dijital varlıklara geçici koruma tedbiri) kapsamında mı olduğu, izlenecek hukuki stratejiyi doğrudan belirlemektedir.
UYGULAMADA BİLİNMESİ GEREKENLER
⚠️ Dikkat: Bloke edilen hesaptaki varlıkları kurtarmak için farklı borsalara çekme denemesi yapmak, soruşturma kapsamının genişlemesine yol açabilir ve hukuki konumunuzu ağırlaştırabilir.
💡 Sık yapılan hata: Platforma yalnızca müşteri hizmetleri kanalından başvurulması çoğunlukla yetersiz kalır; hukuki statüde borsaya resmi yazılı itiraz dilekçesi ve avukat imzalı belge sunulması süreci hızlandırır.
⚠️ Dikkat: On-chain analiz raporu hazırlanmadan yapılan itirazlar, teknik bilgi eksikliği nedeniyle reddedilme ihtimali yüksektir. Fonların hareketi kaynaktan hedefe kadar haritalanmadan sunulan dilekçeler yetersiz kalmaktadır.
💡 Önemli: MASAK blokesi kaynaklıysa, blokeyi doğrulayan yazının tebliğ tarihinden itibaren itiraz süreleri işlemektedir — bu sürelerin kaçırılmaması kritiktir.
⚠️ Sık yapılan hata: Bloke edilen hesabın platform dışındaki KYC belgeleri güncellenmeden itiraz yapılması, platform tarafından tekrar reddedilmeye neden olmaktadır.
DOSYA ANALİZİ — ANONİM VAKA | USDT Transferi Kaynaklı Çok Borsalı Bloke Vakası
Müvekkilimiz E.K., bir yurt içi kripto platformunda gerçekleştirdiği USDT satışının ardından hesabının KYC/AML gerekçesiyle bloke edildiğini fark etti. Platform herhangi bir yazılı bildirim yapmamış, yalnızca “hesabınız inceleme altındadır” mesajıyla işlemi durdurmuştu. Müvekkil bize ulaştığında birkaç gün geçmişti ve anlamsız yere başka platformlara küçük transferler denemişti — bu da riski artırmıştı.
Dosyayı aldığımızda yaptığımız ilk adım, söz konusu USDT transferinin TRC-20 ağı üzerindeki tüm hop zincirini haritalamak oldu. TxID kayıtları üzerinden yapılan transaction graph analysis sonucunda, fonların kaynağının bir P2P işlem karşı tarafı olduğu ve bu karşı tarafın cüzdanının Chainalysis veritabanında “yüksek riskli” olarak etiketlendiği belirlendi. Müvekkil bu kişiyi tanımıyor, fonların bu kişiyle ilişkili olduğundan da haberi yoktu.
Kritik teknik hamle şu oldu: Zincir üzerinde yapılan analizde fonların müvekkile ulaşmadan önce en az dört farklı cüzdandan geçtiği ve bu yapının bir “peeling chain” (fonları izlemeyi güçleştirmek için kullanılan ardışık küçük aktarım yöntemi) görünümü taşıdığı tespit edildi. Ancak müvekkilin cüzdanı bu zincirin son halkasıydı ve herhangi bir mixer yahut kara listedeki platforma temas içermiyordu. Bu bulgu, müvekkilin kötü niyetle hareket etmediğini somut biçimde ortaya koyuyordu.
Teknik raporu savcılığa sunulacak formata dönüştürerek platform nezdindeki itirazla eşzamanlı yürüttük. Rapora, müvekkilin geçmiş 12 aylık platform işlem geçmişinin normal piyasa davranışıyla örtüştüğünü gösterir bant genişliği analizi de eklendi. Platform, teknik raporun sunumundan yaklaşık 18 gün sonra blokeyi kaldırdı; fonlar müvekkile iade edildi.
Bu dosyada belirleyici olan, klasik “bloke itiraz dilekçesi” değil, zincir üstü verilerin hukuki delile dönüştürülme biçimiydi. Kripto para hukuku alanında İstanbul merkezli çalışan Av. Ahmet Karaca, bu tür dosyalarda on-chain analiz raporunu itiraz belgesiyle entegre eden bir metodoloji uygulamaktadır. Kripto dolandırıcılık dosyalarında avukatın blockchain zincir analizi yapabilmesi, fonların akışını somut delile dönüştürmesi açısından kritik öneme sahiptir.
✅ Sonuç: Platform blokesin kaldırılmasıyla müvekkil fonlarına kavuştu. Dosya süresince savcılık soruşturması açılmadı. On-chain teknik rapor ve itiraz dilekçesinin eş zamanlı sunulması belirleyici faktör oldu.
Av. Ahmet Karaca 6 Aşamalı Uluslararası Kripto Uyumluluk Protokolü
📌 KISA YANIT
Uluslararası kripto uyumluluk analizi; KYC durum tespitinden FATF seyahat kuralı değerlendirmesine, MiCA kapsamı tespitinden CARF vergi uyumluluğuna kadar sistematik bir süreç gerektirir. Aşağıdaki protokol, hem KVHSP’ler hem de bireysel yatırımcılar için uyarlanmış bir kontrol çerçevesidir.
6 AŞAMALI KRİPTO UYUMLULUK DEĞERLENDİRME PROTOKOLÜ
KYC Durum Tespiti: Tüm hesaplarda kimlik doğrulama seviyesinin işlem hacmiyle uyumlu olup olmadığı; PEP/adverse media taraması; EDD gerekip gerekmediği değerlendirilir.
On-Chain Risk Analizi: Mevcut ve geçmiş cüzdan işlemleri Chainalysis/Elliptic risk skorlamasından geçirilir; yüksek riskli temaslı cüzdanlar belirlenir ve iletişim köprüleri haritalanır.
FATF Seyahat Kuralı Uyum Kontrolü: 1.000 EUR eşiğini geçen tüm tarihsel transferlerde bilgi paylaşımının gerçekleşip gerçekleşmediği; VASP karşı taraf doğrulaması ve unhosted cüzdan politikası gözden geçirilir.
MiCA Kapsam Analizi: AB kullanıcısına hizmet verilip verilmediği, AB’den kaynaklanan işlem hacmi ve MiCA lisansı gerekliliği belirlenir; Türk SPK lisansının MiCA uyumluluğuyla eşleştirmesi yapılır.
CARF Vergi Uyumluluğu: Yurt içi ve yurt dışı kripto gelirlerinin GVK ve VUK kapsamında doğru beyan edilip edilmediği; CARF eşiğini geçen işlemlerin tespiti ve gönüllü beyan stratejisinin değerlendirilmesi.
Hukuki Strateji ve Risk Yönetimi: Tespit edilen boşluklar için öncelik sıralaması; MASAK bildirimi, SPK uyum raporu veya savcılık müdahalesini içeren eylem planı oluşturulur; süregelen izleme mekanizması kurulur.
Kripto Uyumlulukta En Sık Yapılan 7 Hata ve Hukuki Sonuçları
📌 KISA YANIT
Kripto uyumluluk ihlalleri çoğunlukla kasıtlı değil, mevzuat bilgisi eksikliğinden kaynaklanır. Ancak 5549 sayılı Kanun kapsamında kasıtsız ihlal de yaptırım doğurabilir; MASAK’ın subjektif kast aramaksızın idari para cezası uygulayabileceği düzenleme açıktır.
Uygulamada yüzlerce dosyada gözlemlediğimiz ortak hatalar, hem bireysel yatırımcılar hem de platform operatörleri için hukuki kırılma noktalarına işaret etmektedir. Bu hataları bilmek, hem önleme hem de düzeltme stratejisi açısından kritik öneme sahiptir.
❌ 1. KYC’yi Yalnızca Hesap Açılışında Tamamlamak: KYC tek seferlik değil, süregelen bir yükümlülüktür. İşlem hacmi artışı, ülke değişikliği veya PEP statüsü kazanılması durumunda yenilenmesi gerekir. Platform bu güncellemeleri talep etmeden harekete geçmezse SPK denetiminde ihlal sayılmaktadır.
❌ 2. P2P İşlemlerde Karşı Taraf Riski Görmezden Gelmek: Binance P2P veya benzer platformlardaki karşı tarafın cüzdan geçmişi, kendi riskiyle doğrudan örtüşmektedir. Yüksek riskli bir cüzdandan fon kabul etmek, alıcının hesabında AML alarmı tetikleyebilir.
❌ 3. Seyahat Kuralı Eşiğini Parçalı İşlemlerle Aşmaya Çalışmak: Birden fazla küçük transferle 1.000 EUR eşiğinin altında kalma girişimi (structuring / smurfing), FATF tarafından açıkça kara para aklama yöntemi olarak tanımlanmaktadır ve cezası ağırdır.
❌ 4. Mixer veya Gizlilik Protokolü Kullanan Cüzdanlarla İşlem Yapmak: Tornado Cash, Wasabi Wallet gibi araçlara temas eden cüzdanlarla yapılan işlemler, Chainalysis raporunda otomatik olarak yüksek risk kategorisine alınmakta; bu temas iyi niyetle de gerçekleşmiş olsa MASAK bildirim yükümlülüğü doğurabilmektedir.
❌ 5. Kripto Gelirlerini Yanlış Kategorize Etmek: Kripto alım-satım gelirini değer artışı kazancı, staking gelirini faiz ya da işletme geliri olarak yanlış sınıflandırmak, GVK ve VUK kapsamında vergi cezası riskini artırmaktadır. CARF aktifleşmesiyle bu hatalar artık uluslararası düzeyde görünür hale gelecektir.
❌ 6. MASAK Bloke Bildirimini Yanıtsız Bırakmak: Platform ya da MASAK’tan gelen bloke bildirimine yanıt vermemek, sessiz kalmanın savunma hakkı olduğu sanısıyla tercih edilmektedir. Oysa bu durum, itiraz sürelerini kaçırarak hakkın yitirilmesine yol açmaktadır.
❌ 7. SPK Tebliğlerini Yalnızca Borsaların Sorunu Saymak: III-35/B.1 ve III-35/B.2, yalnızca platform operatörlerine değil; büyük ölçekli bireysel kullanıcılar ve kurumsal yatırımcılar için de dolaylı uyum yükümlülükleri doğurmaktadır. “Ben sadece yatırımcıyım” savunması AML soruşturmasında yeterli güvence sağlamamaktadır.
Kripto Uyumlulukta Yaygın Biçimde Doğru Sanılan 5 Efsane
Yanlış: Kripto para anonim olduğu için uyumluluk kuralları devre dışı bırakılabilir.
Gerçek: Blokzincir anonim değil, takma adlıdır (pseudonymous). Transaction graph mapping ve UTXO takibi yöntemiyle fonların %85’inden fazlası merkezi borsalara (CEX) kadar izlenebilmektedir. Chainalysis ve Elliptic gibi araçlar bu tespiti saniyeler içinde gerçekleştirmektedir.
Yanlış: Yurt dışındaki bir borsa kullanıyorum, Türk uyumluluk mevzuatı beni bağlamaz.
Gerçek: Türkiye’de ikamet eden ve yurt dışı platformlarda işlem yapan kullanıcılar, MASAK’ın 5549 sayılı Kanun kapsamındaki yurt dışı işlem bildirim yükümlülüklerinden ve vergi açısından GVK’dan muaf değildir. CARF aktivasyonuyla yurt dışı borsa verileri Türk vergi otoritesine otomatik olarak ulaşabilecektir.
Yanlış: MiCA yalnızca Avrupalı şirketleri etkiler, Türk kripto girişimleriyle ilgisi yoktur.
Gerçek: AB üyesi ülkelerdeki kullanıcılara hizmet sunan ya da AB’de lisans hedefleyen Türk kripto şirketleri MiCA kapsamındadır. Özellikle Almanya, Fransa ve Hollanda’daki Türk diaspora kullanıcılarına hizmet veren platformlar bu çerçeveye tabi olabilmektedir.
Yanlış: Bloke itirazında avukata gerek yoktur, platforma e-posta atmak yeterlidir.
Gerçek: Bizdeki tecrübeye göre, standart müşteri hizmetleri kanalı üzerinden yapılan bloke itirazlarının büyük çoğunluğu sonuçsuz kalmaktadır. On-chain analiz raporu ve hukuki statüde hazırlanmış itiraz dilekçesi olmaksızın sürecin çözüme kavuşma ihtimali oldukça düşüktür.
Yanlış: FATF Seyahat Kuralı yalnızca büyük miktarlı kurumsal transferleri kapsar.
Gerçek: 1.000 EUR eşiği, bireysel kullanıcıların günlük işlemlerini de kapsamaktadır. Seyahat kuralı ihlali halinde yalnızca platform değil, gönderici kullanıcı da MASAK soruşturmasına konu olabilmektedir.
Sıkça Sorulan Sorular
Hukuki süreçler ve en sık karşılaşılan uyuşmazlıklara ilişkin merak edilen konulara dair genel bilgilere bu bölümde yer verilmektedir.
FATF Seyahat Kuralı kripto transferlerimi nasıl etkiliyor?
FATF Seyahat Kuralı (Tavsiye 16), 1.000 EUR veya eşdeğeri üzerindeki kripto varlık transferlerinde gönderici ve alıcının kimlik bilgilerinin platformlar arasında paylaşılmasını zorunlu kılar. Bu eşiği geçen transferlerde platformunuz adınıza bu bilgiyi paylaşmakla yükümlüdür; aksi halde transfer durdurulabilir. Türkiye’de SPK III-35/B.1 tebliği bu zorunluluğu yurt içi platformlara uygulatmaktadır.
MiCA regülasyonu Türk kripto kullanıcılarını etkiler mi?
Türkiye AB üyesi olmadığından MiCA doğrudan uygulanmaz; ancak AB’deki platformlar üzerinden işlem yapan Türk kullanıcılar, o platformların MiCA uyumluluğu kapsamındadır. AB’de ikamet eden Türk vatandaşları ise MiCA’nın tüm korumalarından yararlanmaktadır. Türk kripto şirketleri AB’ye hizmet veriyorsa MiCA lisanslaması zorunlu hale gelmektedir.
CARF nedir ve 2026’da ne değişiyor?
CARF (Crypto-Asset Reporting Framework), OECD’nin kripto varlık işlem verilerini vergi otoriteleri arasında otomatik paylaşıma açan uluslararası standardıdır. 2026 itibarıyla bu sistem aktive olmakta; yurt dışı borsalardaki Türk kullanıcıların işlemleri potansiyel olarak Türkiye Gelir İdaresi Başkanlığı’na ulaşabilmektedir. Beyan dışı kripto gelirleri olan yatırımcılar için gönüllü düzeltme stratejisi acil öneme sahiptir.
Kripto borsasında hesabım neden bloke edildi, nasıl açtırırım?
Kripto hesabı blokeleri; MASAK bildirimi, AML risk skoru yüksekliği, KYC eksikliği veya savcılık CMK m.128/A tedbiri nedeniyle gerçekleşir. İlk adım olarak borsaya resmi yazılı itiraz dilekçesi sunulmalı, yanıt alınamazsa Sulh Ceza Hakimliği’ne itiraz yoluna gidilmelidir. On-chain analiz raporu hazırlanmadan yapılan itirazlarda başarı oranı düşüktür; teknik analiz ve hukuki stratejiyi birleştiren bir yaklaşım belirleyici olmaktadır.
AML uyumluluğu ihlalinin cezası ne kadar?
5549 sayılı Kanun kapsamında AML uyumluluğu ihlali, MASAK tarafından 50.000 TL ile 5.000.000 TL arasında idari para cezasıyla sonuçlanabilir. SPK lisansı olan platformlarda ek olarak faaliyet durdurma ve lisans iptali gündeme gelebilir. Kasten gerçekleştirilen suç gelirinin aklanması fiilinde ise TCK m.282 kapsamında 2 ila 5 yıl hapis cezası öngörülmektedir.
Uluslararası kripto transferinde hangi belgeler gerekli?
1.000 EUR üzerindeki uluslararası kripto transferleri için FATF Seyahat Kuralı kapsamında gönderici kimlik bilgisi, cüzdan adresi ve alıcı kimliği platformlar arasında paylaşılmalıdır. Yüksek hacimli transferlerde (özellikle EDD gerektiren işlemlerde) fon kaynağı belgesi, kayıtlı banka hesabı doğrulaması ve gerektiğinde vergi beyanı da talep edilebilmektedir.
Türkiye’de kripto vergi yükümlülüğüm var mı ve CARF beni etkiler mi?
Türkiye’de kripto varlık alım-satım gelirleri Gelir Vergisi Kanunu (GVK) kapsamında değer artışı kazancı olarak değerlendirilebilmektedir. CARF’ın 2026’da aktive olmasıyla birlikte, yurt dışı platformlardaki kripto işlemlerinin uluslararası veri paylaşımı yoluyla Türk vergi idaresine ulaşması mümkün hale gelmektedir. Bu nedenle geçmiş yıllara ait kripto gelirlerinin gönüllü beyan yoluyla düzeltilmesi, hukuki risk yönetimi açısından kritik önem taşımaktadır.
P2P kripto işlemleri yasal mı ve uyumluluk riski taşıyor mu?
P2P (eşten eşe) kripto işlemleri Türkiye’de yasal olmakla birlikte, karşı tarafın cüzdan geçmişi risk taşıyorsa alıcı da AML denetiminin hedefi olabilmektedir. Binance P2P ve OKX P2P işlemlerinden kaynaklanan MASAK blokesi dosyalarında Av. Ahmet Karaca ve ekibi, on-chain kanıtlarla desteklenen itiraz süreçleri yürütmektedir. Karşı tarafın fon kaynağını bilmemek, tam anlamıyla hukuki koruma sağlamamaktadır.
Uluslararası kripto uyumluluğu için uzman avukat desteği nasıl alırım?
Uluslararası kripto uyumluluğu alanında blockchain teknolojisinin teknik yönlerini bilen, KYC-AML-FATF-MiCA-CARF mevzuatında deneyimli bir kripto para avukatıyla çalışmak kritik önem taşır. Av. Ahmet Karaca ve ekibi, SPK lisanslama, MASAK bloke açma başvuruları, Seyahat Kuralı uyumluluk analizi ve CARF raporlama konularında kapsamlı danışmanlık hizmeti sunmaktadır. 0531 336 09 81 numaralı hatta veya WhatsApp üzerinden randevu talep edebilirsiniz.
Sonuç: Uluslararası Kripto Uyumluluğu Artık Tercih Değil, Zorunluluktur
2026 itibarıyla uluslararası kripto para uyumluluğu, hem bireysel yatırımcılar hem de platform operatörleri için kaçınılamaz bir hukuki gerçeklik haline gelmiştir. FATF Seyahat Kuralı, MiCA, CARF ve Türkiye’nin kendi KVHSP mevzuatı bir arada değerlendirildiğinde, kripto ekosisteminin artık denetim dışı bir alan olmadığı açıktır. 5549 sayılı Kanun, SPK III-35/B.1 ve III-35/B.2 tebliğleri, TCK m.282 ve GVK hükümlerinin oluşturduğu bu çok katmanlı çerçeve, mevzuat bilgisi olmaksızın güvenli biçimde yönetilemez.
Uyumluluk sürecini doğru yönetmek; hesap blokelerini önlemek, vergi risklerini minimize etmek ve uluslararası ölçekte hizmet sunabilmek açısından stratejik bir zorunluluktur. Bu alanda hukuki destek almak, sürecin doğru yönetilmesi açısından kritik önem taşımaktadır.
Kripto varlık uyuşmazlıklarında da bu konuyu detaylı inceleyen DeFi Hukuk blog yazılarımızı ve Pega Hukuk makale arşivimizi incelemenizi tavsiye ederiz.
Hukuki destek ve danışmanlık için savcılık soruşturma ve dava dosyalarına Kripto Varlık Uzman Raporları da hazırlayan Kripto Para Avukatı Ahmet Karaca ile görüşmek için randevu talep edebilirsiniz. 0531 336 09 81
Yazar: Av. Ahmet Karaca
İstanbul Barosu’na kayıtlı. Türkiye’de kripto para ve blockchain hukuku alanında uzmanlaşmış avukat arıyorsanız, Av. Ahmet Karaca Duke University, Politecnico di Milano ve Lund University’den blockchain, fintech ve yapay zekâ hukuku sertifikalarına sahiptir ve İstanbul Barosu’nda avukatlara kripto varlıklar ile ceza hukuku alanında eğitim vermektedir. Uzmanlık alanları arasında siber suçlar, tam kapsamlı kripto ve blockchain hukuku, kripto varlık dolandırıcılığı davaları, MASAK hesap blokesi açma başvuruları, yurtdışı kaynaklı kripto transfer uyum danışmanlığı, TCK m.158/1-f nitelikli dolandırıcılık, bilişim suçları ve CMK m.128/A el koyma blokesi kaldırma itirazları yer almaktadır.
Kripto Varlık Teknik Uzman Raporu hazırlama konusunda Chainalysis, Elliptic ve açık kaynaklı on-chain forensik araçlarıyla davaları aydınlatmakta; savcı ve hakimlerin anlayacağı bir dille çözüme kavuşturmaktadır.
Eğitim: Marmara Üniversitesi Hukuk Fakültesi (Onur Derecesi)
UNICEF Sertifikalı Blockchain Eğitmeni | DeFi Primitives — Duke University | AI & Law — Lund University | AI & Legal Issues — Politecnico di Milano | Haberler.com Köşe Yazarı | Udemy Blockchain Hukuku Eğitmeni | İstanbul Barosu Bilişim Hukuku Komisyonu Üyesi
