MASAK Kripto Para Uyum Danışmanlığı: 2026 Kapsamlı Rehber

MASAK kripto uyum, Türkiye'de kripto varlık hizmet sağlayıcıları (KVHS) ve dijital varlık ekosistemindeki tüm aktörler için 2026 yılında kritik bir zorunluluk haline gelmiştir. Mali Suçları Araştırma Kurulu (MASAK), 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında kripto varlık hizmet sağlayıcılarını yükümlü kuruluş olarak belirlemiş ve kapsamlı uyum yükümlülükleri getirmiştir. Büromuz, kripto para ve bilişim hukuku alanındaki uzmanlığıyla kripto varlık şirketlerine MASAK uyum danışmanlığı sunmaktadır.

Kripto varlık piyasasının Türkiye'deki hızlı büyümesi, regülasyon ihtiyacını da beraberinde getirmiştir. FATF (Mali Eylem Görev Gücü) tavsiyeleri doğrultusunda Türkiye, kripto varlıklara yönelik kapsamlı bir düzenleyici çerçeve oluşturma sürecindedir. 2026 yılı itibarıyla yürürlükte olan düzenlemeler, KYC (Müşterini Tanı) ve AML (Kara Para Aklamayı Önleme) yükümlülüklerini, şüpheli işlem bildirim prosedürlerini, Travel Rule uygulamasını ve kayıt saklama zorunluluklarını kapsamaktadır.

Bu rehber, kripto varlık hizmet sağlayıcıları, DeFi protokol geliştiricileri, NFT platformları, kripto yatırım fonları ve bireysel yatırımcılar dahil ekosistemindeki tüm paydaşlar için MASAK uyum yükümlülüklerini detaylı olarak açıklamaktadır. Güncel mevzuata mevzuat.gov.tr üzerinden erişebilirsiniz.

Kripto varlık düzenlemeleri hızla gelişen ve değişen bir alan olup 2026 yılında önemli yasal dönüşümler yaşanmaktadır. Sermaye Piyasası Kurulu (SPK) düzenlemeleri, MASAK yükümlülükleri ve Merkez Bankası kararları bir bütün olarak kripto varlık ekosisteminin hukuki çerçevesini oluşturmaktadır. Bu karmaşık düzenleyici ortamda uyum programlarının doğru oluşturulması, şirketlerin faaliyetlerini sürdürebilmeleri için zorunludur.

MASAK ve Kripto Varlık Düzenleyici Çerçeve

Mali Suçları Araştırma Kurulu (MASAK), Türkiye'de suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesi konusunda yetkili ana kuruluştur. 5549 sayılı Kanun kapsamında MASAK, yükümlü kuruluşlara çeşitli uyum yükümlülükleri getirmektedir. Kripto varlık hizmet sağlayıcıları, bu kanun kapsamında yükümlü kuruluş olarak tanımlanmıştır. Bu düzenleme, FATF'ın 2019 yılında yayımladığı ve kripto varlık hizmet sağlayıcılarının (VASP) AML/CFT düzenlemelerine dahil edilmesini öngören tavsiyelerine uyum amacı taşımaktadır.

Kripto varlık düzenleyici çerçevesinin temel unsurları arasında 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun, Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik ve MASAK tarafından yayımlanan genel tebliğler yer almaktadır. Ayrıca Sermaye Piyasası Kanunu'na eklenen kripto varlıklara ilişkin hükümler de düzenleyici çerçevenin önemli bir parçasını oluşturmaktadır.

Türkiye'nin FATF karşılıklı değerlendirme süreci, kripto varlık düzenlemelerinin hızlanmasında belirleyici bir rol oynamıştır. FATF değerlendirmesinde kripto varlık alanındaki uyum düzeyinin yeterli bulunması, Türkiye'nin uluslararası finans sistemindeki konumu açısından kritik öneme sahiptir. Bu nedenle MASAK, kripto varlık hizmet sağlayıcılarına yönelik denetim faaliyetlerini 2026 yılında önemli ölçüde artırmıştır.

Düzenleyici çerçevenin kapsamı, merkezi kripto varlık borsaları, saklama hizmeti sağlayıcıları, kripto para ATM işletmecileri ve kripto varlık transfer hizmeti sağlayıcılarını içermektedir. DeFi protokolleri ve merkeziyetsiz yapıların düzenleyici çerçevedeki konumu ise halen tartışma konusu olup 2026 yılında bu alandaki düzenlemelerin netleşmesi beklenmektedir.

KYC (Müşterini Tanı) Yükümlülükleri

KYC yükümlülükleri, kripto varlık hizmet sağlayıcılarının en temel uyum gereksinimlerinden birini oluşturmaktadır. Müşteri kimlik tespiti, iş ilişkisi kurulmadan önce veya işlem yapılmadan önce gerçekleştirilmesi gereken zorunlu bir prosedürdür. Gerçek kişi müşteriler için TC kimlik numarası, ad-soyad, doğum tarihi, uyruk ve adres bilgilerinin doğrulanması gerekmektedir. Tüzel kişi müşteriler için ise ticaret sicil bilgileri, vergi kimlik numarası, yetkili kişilerin kimlik bilgileri ve gerçek faydalanıcı bilgilerinin tespit edilmesi zorunludur.

Müşteri kimlik tespiti sürecinde dijital doğrulama yöntemlerinin kullanılması yaygınlaşmaktadır. Video görüşme ile kimlik doğrulama, NFC teknolojisi ile kimlik kartı okuma ve biyometrik doğrulama yöntemleri, uzaktan müşteri edinimi süreçlerinde kullanılan başlıca teknolojilerdir. Bu yöntemlerin MASAK düzenlemelerine uygunluğu, her bir yöntem için ayrı ayrı değerlendirilmelidir.

Gerçek faydalanıcı tespiti (beneficial ownership), KYC sürecinin en kritik aşamalarından birini oluşturmaktadır. Özellikle tüzel kişi müşteriler, karmaşık ortaklık yapıları ve güven ilişkileri (trust) ile işlem yapan müşteriler için gerçek faydalanıcının tespit edilmesi zorunludur. MASAK yönetmeliğine göre tüzel kişinin %25 veya daha fazla hissesine sahip olan veya kontrol eden gerçek kişi, gerçek faydalanıcı olarak kabul edilmektedir.

Risk bazlı müşteri durum tespiti yaklaşımı, MASAK düzenlemelerinin temel ilkelerinden birini oluşturmaktadır. Düşük riskli müşteriler için basitleştirilmiş prosedürler uygulanabilirken, yüksek riskli müşteriler için artırılmış durum tespiti önlemleri alınmalıdır. Siyasi nüfuz sahibi kişiler (PEP), yüksek riskli ülke vatandaşları ve olağandışı işlem kalıpları gösteren müşteriler, artırılmış izleme gerektiren kategoriler arasında yer almaktadır.

AML (Kara Para Aklamayı Önleme) Uyum Programı

AML uyum programı, kripto varlık hizmet sağlayıcılarının suç gelirlerinin aklanmasını ve terörün finansmanını önlemeye yönelik kurumsal yapı, politika ve prosedürlerin bütünüdür. Etkin bir AML uyum programı; yazılı politika ve prosedürler, uyum görevlisi ataması, çalışan eğitim programı, bağımsız denetim mekanizması ve risk değerlendirme sistemi olmak üzere beş temel bileşenden oluşmaktadır.

Yazılı politika ve prosedürler, uyum programının temelini oluşturmaktadır. Müşteri kabul politikası, işlem izleme prosedürleri, şüpheli işlem bildirim prosedürleri, kayıt saklama politikası ve yaptırım tarama prosedürleri gibi konular kapsamlı bir şekilde dokümante edilmelidir. Bu dokümanlar düzenli olarak güncellenmeli ve tüm çalışanlara bildirilmelidir.

Uyum görevlisi (compliance officer) ataması, MASAK düzenlemeleri kapsamında zorunlu bir gerekliliktir. Uyum görevlisi, üst yönetime doğrudan raporlama yetkisine sahip olmalı, yeterli kaynak ve bağımsızlığa kavuşturulmalı ve konusunda yetkin bir kişi olmalıdır. Uyum görevlisinin görevleri arasında uyum programının yönetimi, şüpheli işlem bildirimlerinin değerlendirilmesi, düzenleyici değişikliklerin takibi ve çalışan eğitimlerinin organize edilmesi yer almaktadır.

Çalışan eğitim programı, AML uyum programının etkinliği için kritik öneme sahiptir. Tüm çalışanların AML/CFT yükümlülükleri, şüpheli işlem göstergeleri, müşteri kimlik tespiti prosedürleri ve raporlama gereksinimleri konusunda düzenli olarak eğitilmesi gerekmektedir. Eğitim programı, çalışanların görev ve sorumluluk düzeylerine göre farklılaştırılmalı ve en az yılda bir kez tekrarlanmalıdır.

Şüpheli İşlem Bildirimi (ŞİB) Prosedürleri

Şüpheli işlem bildirimi, MASAK uyum yükümlülüklerinin en önemli unsurlarından birini oluşturmaktadır. 5549 sayılı Kanun'un 4. maddesi uyarınca yükümlüler, kendi nezdinde veya aracılığıyla yapılan ya da yapılmaya teşebbüs edilen işlemlere konu malvarlığının yasa dışı yollardan elde edildiğine veya yasa dışı amaçlarla kullanıldığına dair herhangi bir bilgi, şüphe veya şüpheyi gerektirecek bir durumun bulunması halinde bu işlemi MASAK'a bildirmekle yükümlüdür.

Kripto varlık alanında şüpheli işlem göstergeleri, geleneksel finans sektöründen farklılık göstermektedir. Anonimleştirme teknikleri (mikser/tumbler) kullanımı, yüksek riskli ülkelere yapılan transferler, olağandışı büyüklükteki işlemler, kısa sürede çok sayıda küçük işlem (structuring), darknet bağlantılı adreslerden gelen transferler ve yaptırım listesindeki cüzdan adresleriyle etkileşim, kripto varlıklarda başlıca şüpheli işlem göstergeleri arasında yer almaktadır.

Bildirim süreci, şüpheli işlemin tespit edilmesinden itibaren 10 iş günü içinde MASAK portalı üzerinden elektronik ortamda gerçekleştirilmektedir. Bildirimde işlemin detayları, şüphe nedenleri, ilgili kişilerin bilgileri ve destekleyici belgeler yer almalıdır. Bildirim yapıldığının müşteriye veya üçüncü kişilere açıklanması (tipping-off) yasaktır ve cezai yaptırıma tabidir.

İşlem izleme sistemlerinin (transaction monitoring) etkin bir şekilde oluşturulması, şüpheli işlemlerin tespit edilmesi için zorunludur. Blockchain analiz araçları, kural bazlı izleme sistemleri ve yapay zeka destekli anomali tespit yazılımları, kripto varlık hizmet sağlayıcılarının işlem izleme süreçlerinde kullandığı başlıca teknolojik araçlardır. Bu sistemlerin düzenli olarak kalibre edilmesi ve güncellenmesi, yanlış pozitif oranının azaltılması ve gerçek şüpheli işlemlerin tespit edilmesi için önemlidir.

Travel Rule Uygulaması ve Teknik Gereksinimler

Travel Rule, FATF'ın 16 numaralı tavsiyesi kapsamında kripto varlık transferlerinde gönderici ve alıcı bilgilerinin transfer ile birlikte iletilmesini zorunlu kılan bir düzenlemedir. Bu kural, geleneksel bankacılık sisteminde uzun süredir uygulanan elektronik fon transferi bilgi gereksinimlerinin kripto varlık transferlerine de uyarlanmasıdır. Türkiye'de MASAK düzenlemeleri kapsamında Travel Rule uygulanmaktadır.

Travel Rule kapsamında iletilmesi gereken bilgiler arasında göndericinin adı/soyadı, hesap numarası veya cüzdan adresi, coğrafi adresi veya ulusal kimlik numarası yer almaktadır. Alıcı için ise adı/soyadı ve hesap numarası veya cüzdan adresinin iletilmesi gerekmektedir. Bu bilgilerin güvenli bir şekilde iletilmesi için çeşitli protokoller geliştirilmiştir.

Travel Rule'un teknik uygulaması, kripto varlık hizmet sağlayıcıları arasında karşılıklı veri değişimini gerektirmektedir. TRISA (Travel Rule Information Sharing Architecture), OpenVASP ve Sygna Bridge gibi protokoller, KVHS'ler arasında Travel Rule bilgi paylaşımını sağlayan başlıca altyapılardır. Bu protokollerin birbirleriyle uyumluluğu (interoperability) konusu, sektörün en önemli teknik zorluklarından birini oluşturmaktadır.

Eşik değeri (threshold) uygulaması, Travel Rule'un kapsamını belirleyen önemli bir parametre olmaktadır. FATF tavsiyeleri, belirli bir tutarın altındaki transferlerde bilgi paylaşım yükümlülüğünün esnetilmesine olanak tanımaktadır. Türkiye'de uygulanan eşik değeri ve bu değerin altındaki transferlerde hangi bilgilerin paylaşılacağı, MASAK düzenlemelerinde ayrıntılı olarak belirlenmektedir.

Risk Değerlendirmesi ve Risk Bazlı Yaklaşım

Risk değerlendirmesi, AML uyum programının merkezinde yer alan ve tüm diğer uyum faaliyetlerini yönlendiren bir süreçtir. Kripto varlık hizmet sağlayıcıları, müşteri riski, ürün/hizmet riski, coğrafi risk ve dağıtım kanalı riski olmak üzere dört ana risk kategorisini değerlendirmek zorundadır. Risk değerlendirmesinin sonuçları, uyum kaynaklarının etkin dağılımını ve risk azaltma stratejilerinin belirlenmesini sağlamaktadır.

Müşteri riski değerlendirmesinde müşterinin profili, işlem hacmi, coğrafi konumu, mesleği ve gelir kaynağı gibi faktörler dikkate alınmaktadır. Siyasi nüfuz sahibi kişiler, yüksek nakit işlem hacmine sahip müşteriler, anonim veya takma isim kullanan müşteriler ve yüksek riskli ülkelerde ikamet eden müşteriler yüksek risk kategorisinde değerlendirilmektedir.

Ürün ve hizmet riski değerlendirmesinde, kripto varlığın türü, anonimleştirme özelliği, işlem hızı ve izlenebilirlik düzeyi gibi faktörler ele alınmaktadır. Gizlilik odaklı kripto varlıklar (Monero, Zcash gibi), merkeziyetsiz borsa (DEX) işlemleri ve çapraz zincir (cross-chain) swap işlemleri, geleneksel kripto varlık transferlerine kıyasla daha yüksek risk taşımaktadır.

Coğrafi risk değerlendirmesinde, FATF gri ve kara listedeki ülkeler, uluslararası yaptırım uygulanan ülkeler ve yeterli AML/CFT düzenlemelerine sahip olmayan ülkeler yüksek risk kategorisinde değerlendirilmektedir. İşlemlerin karşı tarafının bulunduğu ülke, müşterinin ikamet ettiği ülke ve fonların kaynağının bulunduğu ülke gibi coğrafi faktörler risk değerlendirmesinde dikkate alınmaktadır.

Kayıt Saklama Yükümlülükleri

Kayıt saklama yükümlülüğü, MASAK düzenlemelerinin temel gereksinimlerinden birini oluşturmaktadır. 5549 sayılı Kanun'un 8. maddesi uyarınca yükümlüler, işlem kayıtlarını ve müşteri kimlik bilgilerini işlemin yapıldığı veya iş ilişkisinin sona erdiği tarihten itibaren 8 yıl süreyle saklamak zorundadır. Bu süre, kripto varlık alanındaki işlemlerin karmaşıklığı ve soruşturma süreçlerinin uzunluğu göz önünde bulundurulduğunda kritik bir öneme sahiptir.

Saklanması gereken kayıtlar arasında müşteri kimlik tespiti belgeleri, işlem kayıtları (tarih, tutar, cüzdan adresleri, karşı taraf bilgileri), şüpheli işlem bildirim kayıtları, yazışma ve iletişim kayıtları ve uyum denetim raporları yer almaktadır. Bu kayıtların düzenli, erişilebilir ve güvenli bir şekilde saklanması zorunludur.

Blockchain üzerindeki işlem kayıtlarının saklanması, geleneksel finans kayıtlarından farklı bir yaklaşım gerektirmektedir. Blockchain verisi doğası gereği kalıcı olmakla birlikte, müşterinin kimlik bilgileri ile blockchain adresi arasındaki ilişkinin kayıt altına alınması ve saklanması KVHS'nin sorumluluğundadır. Off-chain verilerin (müşteri bilgileri, iç değerlendirme notları, şüphe nedenleri) güvenli bir şekilde saklanması için uygun veri altyapısının oluşturulması gerekmektedir.

Veri koruma ve gizlilik gereksinimleri, kayıt saklama yükümlülüğü ile dengelenmesi gereken bir konudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülükler, MASAK kayıt saklama yükümlülükleri ile paralel olarak değerlendirilmelidir. Kişisel verilerin işlenmesi ve saklanmasında KVKK hükümlerine uyum sağlanması zorunlu olup, verilerin saklanma süreleri, erişim yetkileri ve imha prosedürleri açıkça belirlenmelidir.

SPK Düzenlemeleri ve Kripto Varlık Lisanslama

Sermaye Piyasası Kurulu (SPK), kripto varlık piyasasının düzenlenmesi ve denetlenmesinde MASAK'ın yanı sıra önemli bir rol üstlenmektedir. SPK düzenlemeleri kapsamında kripto varlık hizmet sağlayıcılarının faaliyet izni alması, sermaye yeterliliği şartlarını sağlaması ve operasyonel gereksinimleri karşılaması zorunlu kılınmaktadır. 2026 yılı itibarıyla lisanslama süreci aktif olarak yürütülmektedir.

Lisanslama gereksinimleri arasında asgari sermaye yükümlülüğü, nitelikli pay sahiplerinin uygunluğu, yönetim kurulu üyelerinin yetkinlik ve dürüstlük şartları, bilgi teknolojileri altyapı gereksinimleri ve siber güvenlik standartları yer almaktadır. Bu gereksinimler, yatırımcıların korunması ve piyasa bütünlüğünün sağlanması amacıyla belirlenmiştir.

Kripto varlık saklama hizmetleri, lisanslama kapsamında ayrı bir kategori olarak düzenlenmiştir. Saklama hizmeti sağlayıcıları, müşteri varlıklarının güvenli bir şekilde saklanması, soğuk depolama gereksinimleri, sigorta yükümlülükleri ve denetim standartları gibi ek yükümlülüklere tabidir. Müşteri varlıklarının şirket varlıklarından ayrı tutulması (segregation) temel bir gereklilik olup, iflas durumunda müşteri varlıklarının korunmasını sağlamaktadır.

Lisans başvuru sürecinde MASAK uyum programının varlığı ve etkinliği, SPK tarafından değerlendirilen önemli kriterler arasında yer almaktadır. MASAK uyum programı oluşturmamış veya yetersiz bir program sunan başvuru sahiplerinin lisans talebi reddedilebilmektedir. Bu nedenle MASAK uyum danışmanlığı, SPK lisanslama sürecinin de ayrılmaz bir parçası haline gelmiştir.

Yaptırımlar ve Cezai Sorumluluk

MASAK yükümlülüklerini yerine getirmeyen kripto varlık hizmet sağlayıcılarına uygulanabilecek yaptırımlar, idari para cezalarından cezai kovuşturmaya kadar geniş bir yelpazeyi kapsamaktadır. 5549 sayılı Kanun'un 13 ve devamı maddelerinde düzenlenen yaptırımlar, ihlalin niteliğine ve ağırlığına göre kademeli olarak uygulanmaktadır.

İdari yaptırımlar arasında müşteri kimlik tespiti yükümlülüğünün yerine getirilmemesi, şüpheli işlem bildiriminde bulunulmaması, kayıt saklama yükümlülüğünün ihlali ve uyum programı oluşturulmaması gibi ihlaller için idari para cezaları öngörülmektedir. Ceza miktarları her yıl güncellenmekte olup ihlalin tekrarı halinde cezalar artırılarak uygulanabilmektedir.

Cezai sorumluluk, özellikle şüpheli işlem bildiriminde bulunmama ve bildirim yapıldığının ifşa edilmesi (tipping-off) gibi ağır ihlallerde gündeme gelmektedir. 5549 sayılı Kanun'un 14. maddesi, bilgilendirilmiş olmasına rağmen şüpheli işlem bildirimi yapmayan veya geç bildiren yükümlülere hapis cezası öngörmektedir. Tipping-off yasağının ihlali de ayrı bir suç olarak düzenlenmiştir.

Faaliyet izninin askıya alınması veya iptali, en ağır idari yaptırım olarak uygulanabilmektedir. Ciddi ve tekrarlayan uyum ihlalleri, yeterli uyum altyapısının oluşturulmaması veya MASAK ile işbirliği yapılmaması halinde bu yaptırım gündeme gelebilmektedir. Faaliyet izninin iptali, şirketin tüm faaliyetlerinin durdurulması anlamına gelmekte olup müşterilerin varlıklarının tasfiye sürecini de beraberinde getirmektedir.

DeFi, NFT ve Yeni Teknolojilerde Uyum Sorunları

Merkeziyetsiz finans (DeFi) protokolleri, MASAK uyum çerçevesinde benzersiz zorluklar ortaya koymaktadır. DeFi protokollerinin merkezi bir operatörünün bulunmaması, geleneksel KYC/AML yükümlülüklerinin uygulanmasını güçleştirmektedir. 2026 yılı itibarıyla DeFi alanındaki düzenleyici yaklaşım halen şekillenmekte olup, FATF'ın DeFi protokollerinin sahibi, operatörü veya kontrol eden kişilerinin yükümlü sayılması yönündeki tavsiyesi tartışılmaktadır.

NFT (Non-Fungible Token) platformları da uyum yükümlülükleri bakımından değerlendirilmesi gereken bir alan oluşturmaktadır. Yüksek değerli NFT işlemleri, sanat eseri satışlarına benzer şekilde kara para aklama riski taşıyabilmektedir. NFT platformlarının KYC/AML yükümlülükleri kapsamına alınıp alınmayacağı, işlemlerin niteliğine ve tutarına göre değerlendirilmektedir.

Merkeziyetsiz otonom organizasyonlar (DAO), kripto varlık düzenlemelerinde bir diğer belirsizlik alanı oluşturmaktadır. DAO yapılarının hukuki kişiliği, yönetim mekanizmaları ve yükümlülük rejimi konusunda hem ulusal hem de uluslararası düzeyde tartışmalar devam etmektedir. DAO üyelerinin veya token sahiplerinin AML/CFT yükümlülükleri konusundaki sorumlulukları, somut olayın koşullarına göre değerlendirilmektedir.

Çapraz zincir (cross-chain) köprüler ve katman-2 çözümleri de uyum açısından özel değerlendirme gerektiren teknolojilerdir. Bu teknolojiler, farklı blockchain ağları arasında varlık transferini mümkün kılmakta ancak transfer izlenebilirliğini zorlaştırabilmektedir. Cross-chain işlemlerin izlenmesi ve raporlanması için özel blockchain analiz araçlarının kullanılması gerekmektedir.

Uluslararası Düzenlemeler ve Karşılaştırmalı Analiz

Kripto varlık düzenlemeleri konusunda uluslararası gelişmeler, Türkiye'deki düzenleyici çerçeveyi doğrudan etkilemektedir. Avrupa Birliği'nin MiCA (Markets in Crypto-Assets) düzenlemesi, kripto varlık piyasasına yönelik kapsamlı bir düzenleyici çerçeve oluşturmakta olup Türkiye'deki düzenlemeler için de referans noktası teşkil etmektedir. ABD'de SEC ve CFTC'nin kripto varlıklara yönelik düzenlemeleri ve İngiltere'nin FCA düzenlemeleri de karşılaştırmalı analiz açısından önemlidir.

FATF'ın kripto varlıklara yönelik tavsiyeleri ve değerlendirme kriterleri, tüm üye ülkelerin düzenlemelerini şekillendiren temel referans belgeleridir. FATF'ın "Sanal Varlıklar ve Sanal Varlık Hizmet Sağlayıcıları İçin Güncellenmiş Kılavuz" belgesi, kripto varlık düzenlemelerinin kapsamı, Travel Rule uygulaması ve risk bazlı yaklaşım konularında detaylı rehberlik sunmaktadır.

Türkiye'nin düzenleyici yaklaşımı, FATF tavsiyeleri ile uyumlu olmakla birlikte bazı alanlarda daha kapsamlı gereksinimler öngörebilmektedir. Özellikle kripto varlıkların ödemede kullanılması yasağı (TCMB kararı), bazı diğer ülkelerin düzenlemelerinden farklı bir yaklaşım oluşturmaktadır. Uluslararası düzenlemelerdeki gelişmelerin takip edilmesi, Türkiye'deki düzenleyici değişikliklerin öngörülmesi açısından değerli bir bilgi kaynağıdır.

Sınır ötesi kripto varlık hizmetleri konusu, düzenleyici belirsizliklerin en yoğun yaşandığı alanlardan birini oluşturmaktadır. Farklı ülkelerde faaliyet gösteren KVHS'lerin tüm ilgili ülkelerin düzenlemelerine uyum sağlaması gerekmekte olup bu durum ciddi bir uyum yükü oluşturabilmektedir.

Kripto Varlıklarda Vergisel Yükümlülükler ve Beyan Süreçleri

Kripto varlık işlemlerinden elde edilen kazançların vergilendirilmesi, Türkiye'de giderek daha fazla önem kazanan bir konu haline gelmiştir. Gelir İdaresi Başkanlığı, kripto varlık alım satım kazançlarının Gelir Vergisi Kanunu kapsamında değerlendirilmesi gerektiğini belirtmiştir. Gerçek kişilerin kripto varlık ticaretinden elde ettiği kazançlar, ticari kazanç veya diğer kazanç ve iratlar kapsamında vergilendirilmektedir. Vergi mükellefleri, kripto varlık işlemlerinden elde ettikleri geliri yıllık gelir vergisi beyannamesiyle beyan etmekle yükümlüdür.

Kurumsal yatırımcılar ve kripto varlık hizmet sağlayıcıları ise Kurumlar Vergisi Kanunu kapsamında vergilendirilmektedir. KVHS'lerin elde ettiği komisyon gelirleri, alım satım karları ve diğer gelirler kurumlar vergisine tabidir. Ayrıca kripto varlık işlemlerinden elde edilen gelirlerin KDV karşısındaki durumu da tartışmalıdır. Mevcut düzenlemelerde kripto varlık alım satımının KDV'ye tabi olup olmadığı konusunda açık bir düzenleme bulunmamakta olup bu konuda yeni yasal düzenlemeler beklenmektedir.

Kripto varlıkların miras yoluyla intikali halinde veraset ve intikal vergisi yükümlülüğü doğmaktadır. Miras bırakanın kripto varlık cüzdanlarındaki dijital varlıklar, tereke malı olarak değerlendirilmekte ve ölüm tarihindeki piyasa değeri üzerinden veraset ve intikal vergisine tabi tutulmaktadır. Kripto varlıkların bağış yoluyla devri de ivazsız intikal kapsamında vergilendirilmektedir. Dijital varlıkların tespit edilmesi ve değerlenmesi, geleneksel mal varlıklarına kıyasla ek zorluklar içermektedir.

Vergi uyumu konusunda KVHS'lerin raporlama yükümlülükleri de bulunmaktadır. KVHS'ler, müşterilerinin işlem bilgilerini vergi otoritesine bildirmekle yükümlü tutulabilmektedir. Uluslararası alanda Ortak Raporlama Standardı (CRS) kapsamında kripto varlık bilgilerinin ülkeler arasında otomatik olarak paylaşılması için çalışmalar sürdürülmektedir. Vergi yükümlülüklerine ilişkin güncel düzenlemelere mevzuat.gov.tr üzerinden ulaşılabilmektedir.

MASAK Denetim Çerçevesi ve Kripto Varlık Düzenlemeleri

Mali Suçları Araştırma Kurulu (MASAK), Türkiye'de suç gelirlerinin aklanmasının ve terörün finansmanının önlenmesi konusunda düzenleyici ve denetleyici otorite olarak görev yapmaktadır. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında MASAK, kripto varlık hizmet sağlayıcılarını (KVHS) yükümlü kuruluş olarak belirlemiştir. Bu düzenleme ile KVHS'ler, bankalar ve diğer finansal kuruluşlarla aynı yükümlülüklere tabi tutulmuştur.

Kripto varlık piyasasının hızlı büyümesi, düzenleyici çerçevenin güncellenmesini zorunlu kılmıştır. Sermaye Piyasası Kurulu ve MASAK, kripto varlık hizmet sağlayıcılarının lisanslanması, denetlenmesi ve yükümlülüklerinin belirlenmesi konusunda kapsamlı düzenlemeler getirmiştir. KVHS'lerin faaliyete başlamadan önce lisans alması zorunlu tutulmuş ve lisanssız faaliyet gösterenlere ağır yaptırımlar öngörülmüştür. Lisans başvurusunda şirketin sermaye yeterliliği, teknik altyapısı, uyum programı ve yönetici kadrosunun uygunluğu değerlendirilmektedir.

İç kontrol ve uyum programı, KVHS'lerin mevzuata uyumu sağlamasının temel aracıdır. Her KVHS, bünyesinde bir uyum görevlisi atamak ve kapsamlı bir uyum programı oluşturmak zorundadır. Uyum programı; risk değerlendirmesi, müşteri tanıma prosedürleri, işlem izleme sistemleri, şüpheli işlem bildirimi süreçleri, çalışan eğitimi, kayıt tutma ve iç denetim mekanizmalarını kapsamaktadır. Uyum programının etkinliği, MASAK tarafından düzenli olarak denetlenmektedir.

Seyahat kuralı (travel rule), kripto varlık transferlerinde gönderici ve alıcı bilgilerinin paylaşılmasını zorunlu kılan uluslararası bir düzenlemedir. Mali Eylem Görev Gücü (FATF) tarafından belirlenen bu kural, kripto varlık transferlerinde de uygulanmaktadır. Belirli bir tutarın üzerindeki kripto varlık transferlerinde gönderici KVHS'nin, alıcı KVHS'ye gönderici ve alıcının kimlik bilgilerini iletmesi gerekmektedir. Bu kuralın uygulanması, kara para aklama ve terörün finansmanının önlenmesinde kritik bir araç olarak kabul edilmektedir. MASAK düzenlemelerine mevzuat.gov.tr üzerinden ulaşılabilmektedir.

Kripto Varlık Hizmet Sağlayıcılarında KYC Süreçleri

Müşterini Tanı (Know Your Customer - KYC) süreçleri, kripto varlık hizmet sağlayıcılarının (KVHS) suç gelirlerinin aklanması ve terörün finansmanı ile mücadele kapsamındaki en temel yükümlülüklerinden biridir. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve MASAK tarafından çıkarılan yönetmelikler çerçevesinde KVHS'ler, müşterilerinin kimlik tespitini yapmakla yükümlüdür. Kimlik tespiti, gerçek kişilerde TC kimlik kartı veya pasaport bilgilerinin doğrulanmasını, tüzel kişilerde ise ticaret sicil kaydı, vergi levhası ve yetkili kişilerin kimlik bilgilerinin teyit edilmesini kapsamaktadır.

KYC süreci, müşteri kabulü aşamasında başlamakta ve iş ilişkisi süresince devam etmektedir. İlk aşamada müşterinin kimlik bilgileri doğrulanmakta, adres teyidi yapılmakta ve risk profili belirlenmektedir. Risk profillemesinde müşterinin mesleği, gelir düzeyi, işlem hacmi beklentisi, coğrafi risk faktörleri ve siyasi nüfuz sahibi kişi (PEP) durumu değerlendirilmektedir. Yüksek riskli müşteriler için sıkılaştırılmış müşteri tanıma tedbirleri uygulanmaktadır. Bu kapsamda gelir kaynağının belgelenmesi, işlem amacının sorgulanması ve daha sık gözden geçirme yapılması gerekmektedir.

Sürekli izleme yükümlülüğü, KYC sürecinin ayrılmaz bir parçasıdır. KVHS'ler, müşterilerinin işlemlerini sürekli olarak izlemek ve müşteri risk profiline uymayan olağandışı işlemleri tespit etmekle yükümlüdür. Olağandışı işlem göstergeleri arasında beklenenden çok yüksek hacimli işlemler, çok sayıda farklı cüzdan adresine yapılan transferler, yüksek riskli ülkelerle bağlantılı işlemler, parçalama (structuring) şüphesi taşıyan işlemler ve anonim kripto varlıkların kullanımı yer almaktadır. Bu tür işlemlerin tespiti halinde şüpheli işlem bildirimi yapılması gerekmektedir.

KYC uyumsuzluğunun yaptırımları ağırdır. MASAK, KYC yükümlülüklerini yerine getirmeyen KVHS'lere idari para cezası uygulamaktadır. Yükümlülük ihlalinin tekrarlanması veya ağır nitelikte olması halinde faaliyet izninin askıya alınması veya iptali gündeme gelebilmektedir. Ayrıca KYC eksiklikleri nedeniyle suç gelirlerinin aklanmasına veya terörün finansmanına aracılık edilmesi halinde yönetici ve çalışanlar hakkında cezai sorumluluk da doğabilmektedir. KYC süreçlerine ilişkin MASAK düzenlemelerine MASAK resmi internet sitesinden erişilebilmektedir.

Şüpheli İşlem Bildirimi (ŞİB) Yükümlülüğü

Şüpheli işlem bildirimi (ŞİB), kripto varlık hizmet sağlayıcılarının suç gelirlerinin aklanması veya terörün finansmanı şüphesi taşıyan işlemleri MASAK'a raporlaması yükümlülüğüdür. 5549 sayılı Kanun'un 4. maddesi uyarınca yükümlüler, müşterileri tarafından yapılan veya yapılmaya teşebbüs edilen işlemlere konu malvarlığının yasa dışı yollardan elde edildiğine veya terörün finansmanı amacıyla kullanıldığına dair şüphe veya şüpheyi gerektirecek makul nedenlerin bulunması halinde bu şüphelerini MASAK'a bildirmek zorundadır.

Kripto varlık alanında ŞİB gerektiren durumlar özellikle çeşitlilik göstermektedir. Karışık (mixing/tumbling) hizmetleri kullanarak işlem geçmişini gizleme girişimleri, yüksek riskli borsalara veya tanımlanmamış cüzdanlara yapılan toplu transferler, kısa sürede çok sayıda hesap açılıp kapatılması, sahte veya çalıntı kimlik bilgileriyle hesap açma girişimleri, belirli bir ekonomik amacı olmayan karmaşık işlem yapıları ve yaptırım listelerindeki kişi veya kuruluşlarla bağlantılı işlemler ŞİB gerektiren başlıca göstergeler arasında yer almaktadır.

ŞİB, MASAK tarafından belirlenen formatta ve elektronik ortamda yapılmaktadır. Bildirimin zamanında yapılması büyük önem taşımakta olup şüphenin oluştuğu andan itibaren en kısa sürede bildirilmesi gerekmektedir. ŞİB'in yapılması, müşteriye veya üçüncü kişilere bildirilmemektedir; bu gizlilik yükümlülüğüne aykırı davranılması halinde cezai yaptırım uygulanmaktadır. ŞİB yapılması, işlemin durdurulması anlamına gelmemektedir; ancak MASAK, bildirimi değerlendirerek gerekli görüldüğünde işlemin durdurulması veya mal varlığının dondurulması kararı verebilmektedir.

ŞİB yükümlülüğünün yerine getirilmemesi ciddi yaptırımları beraberinde getirmektedir. 5549 sayılı Kanun'un 14. maddesi uyarınca şüpheli işlem bildiriminde bulunmayan yükümlülere idari para cezası uygulanmaktadır. Bilerek ve isteyerek bildirim yapmama halinde ceza miktarı artırılmaktadır. Ayrıca ŞİB yükümlülüğünün ihlali, suç gelirlerinin aklanmasına iştirak suçlamasına da zemin hazırlayabilmektedir. Bu nedenle KVHS'lerin ŞİB süreçlerini etkin bir şekilde yönetmeleri, çalışanlarını düzenli olarak eğitmeleri ve iç kontrol mekanizmalarını sürekli güncellemeleri gerekmektedir.

MASAK Yaptırımları ve Uyum Denetimi

MASAK, kripto varlık hizmet sağlayıcılarının mevzuata uyumunu denetleme ve yaptırım uygulama yetkisine sahiptir. Denetim faaliyetleri, yerinde denetim ve uzaktan denetim olmak üzere iki şekilde yürütülmektedir. Yerinde denetimde MASAK müfettişleri, KVHS'nin iş yerinde inceleme yaparak müşteri dosyalarını, işlem kayıtlarını, iç kontrol prosedürlerini ve uyum programını değerlendirmektedir. Uzaktan denetimde ise KVHS'den talep edilen bilgi ve belgeler üzerinden inceleme yapılmaktadır.

İdari para cezaları, MASAK'ın en sık uyguladığı yaptırım türüdür. Kimlik tespiti yükümlülüğünün yerine getirilmemesi, şüpheli işlem bildiriminde bulunulmaması, bilgi ve belge verme yükümlülüğüne aykırı davranılması, muhafaza ve ibraz yükümlülüğünün ihlal edilmesi ve eğitim yükümlülüğünün yerine getirilmemesi gibi ihlaller idari para cezası gerektirmektedir. Ceza miktarları, ihlalin niteliğine ve ağırlığına göre değişmektedir. Tekrarlanan ihlallerde ceza miktarı artırılmaktadır.

Faaliyet izninin askıya alınması veya iptali, en ağır idari yaptırımlar arasında yer almaktadır. KVHS'nin mevzuata uyum konusunda sistematik eksiklikler göstermesi, uyarılara rağmen düzeltme yapmaması veya suç gelirlerinin aklanmasına bilerek aracılık etmesi halinde faaliyet izni askıya alınabilmekte veya iptal edilebilmektedir. Bu yaptırım, KVHS'nin tüm faaliyetlerini durdurması ve müşteri varlıklarının güvenli bir şekilde iade edilmesi sürecini başlatmaktadır.

Cezai yaptırımlar, idari yaptırımlardan bağımsız olarak uygulanabilmektedir. 5237 sayılı Türk Ceza Kanunu'nun 282. maddesi uyarınca suç gelirlerinin aklanması suçu, 3 yıldan 7 yıla kadar hapis ve yirmi bin güne kadar adli para cezasını gerektirmektedir. 6415 sayılı Terörizmin Finansmanının Önlenmesi Hakkında Kanun kapsamında terörün finansmanı suçu ise ağır cezai yaptırımlar öngörmektedir. KVHS yöneticileri ve uyum görevlileri, yükümlülüklerin bilerek ihlal edilmesi halinde kişisel cezai sorumlulukla karşı karşıya kalabilmektedir. MASAK uyum düzenlemelerine ve yaptırım kararlarına ilişkin bilgilere mevzuat.gov.tr üzerinden ulaşılabilmektedir.

Kripto Varlık Hizmet Sağlayıcılarında İç Kontrol ve Denetim Yapısı

Kripto varlık hizmet sağlayıcılarının etkin bir iç kontrol sistemi kurması, MASAK uyum yükümlülüklerinin karşılanmasının temel koşulunu oluşturmaktadır. İç kontrol sistemi, müşteri kimlik doğrulama süreçlerinin denetimi, işlem izleme mekanizmalarının işleyişinin kontrolü, şüpheli işlem bildirim süreçlerinin takibi ve kayıt saklama yükümlülüklerinin yerine getirilmesinin teyidi gibi unsurları kapsamaktadır. İç kontrol birimi, uyum görevlisinden bağımsız olarak faaliyet göstermeli ve doğrudan üst yönetime raporlama yapmalıdır. İç kontrol sisteminin etkinliği, düzenli aralıklarla test edilmeli ve sonuçlar yazılı olarak raporlanmalıdır.

Uyum görevlisinin rolü ve sorumlulukları, MASAK mevzuatında açıkça tanımlanmıştır. Uyum görevlisi, şüpheli işlem bildirimlerinin zamanında yapılması, personel eğitimlerinin düzenlenmesi, iç politika ve prosedürlerin güncellenmesi ve denetim otoritesiyle iletişimin sağlanması gibi kritik görevleri üstlenmektedir. Uyum görevlisinin yeterli yetki, kaynak ve bağımsızlığa sahip olması zorunludur. KVHS yönetim kurulunun, uyum görevlisine gerekli desteği sağlaması ve uyum fonksiyonunun bağımsızlığını garanti altına alması gerekmektedir. Uyum görevlisinin görevlendirilmesi ve değişiklikler MASAK'a bildirilmektedir.

Risk bazlı yaklaşım, MASAK uyum programının temelini oluşturmaktadır. KVHS'ler, müşteri risk değerlendirmesi, coğrafi risk değerlendirmesi, hizmet ve ürün risk değerlendirmesi ve dağıtım kanalı risk değerlendirmesi olmak üzere çok boyutlu bir risk analizi yapmalıdır. Yüksek riskli müşteriler ve işlemler için sıkılaştırılmış tedbirler uygulanmalı; düşük riskli kategorilerde ise basitleştirilmiş tedbirler benimsenebilmektedir. Risk değerlendirmesinin sonuçları, düzenli aralıklarla güncellenmeli ve değişen risk ortamına uyum sağlanmalıdır. Uluslararası yaptırım listelerinin taranması da risk bazlı yaklaşımın önemli bir bileşenidir.

Bağımsız denetim ve düzenli uyum testleri, KVHS'lerin MASAK yükümlülüklerini eksiksiz yerine getirdiğinin doğrulanması açısından büyük önem taşımaktadır. Yıllık bağımsız denetim raporları, iç kontrol sisteminin etkinliğini, uyum programının yeterliliğini ve mevzuat gerekliliklerinin karşılanıp karşılanmadığını değerlendirmektedir. Denetim sonuçlarında tespit edilen eksikliklerin giderilmesi için aksiyon planları hazırlanmalı ve uygulanmalıdır. MASAK tarafından yapılan denetimler öncesinde KVHS'nin kendi iç denetimini tamamlamış olması, olası yaptırım risklerini azaltmaktadır. Kripto varlık düzenlemelerine ilişkin güncel mevzuata mevzuat.gov.tr üzerinden ulaşılabilmektedir.

MASAK Uyumunda Sık Yapılan Hatalar

Kripto varlık hizmet sağlayıcılarının MASAK uyum sürecinde en sık karşılaştığı hatalardan biri, müşteri kimlik doğrulama prosedürlerinin yetersiz oluşturulmasıdır. Müşterini tanı yükümlülüğü kapsamında kimlik belgesi kontrolü, adres doğrulaması ve gerçek faydalanıcının tespiti işlemlerinin eksiksiz yapılması gerekmektedir. Dijital ortamda müşteri kabul süreçlerinde uzaktan kimlik doğrulama yöntemlerinin güvenilirliğinin sağlanması, uyum programının kritik bileşenlerinden birini oluşturmaktadır. Basitleştirilmiş tedbirlerin uygulanma koşullarının yanlış değerlendirilmesi, denetim sırasında eksiklik olarak tespit edilebilmektedir. Yüksek riskli müşteriler için sıkılaştırılmış müşteri tanıma tedbirlerinin uygulanmaması ise ciddi idari yaptırımlara neden olabilmektedir.

Şüpheli işlem bildirim yükümlülüğünün zamanında ve doğru biçimde yerine getirilmemesi, MASAK uyumunda karşılaşılan en yaygın ihlallerden birini teşkil etmektedir. İşlem izleme sistemlerinin yeterli hassasiyette kalibre edilmemesi, şüpheli işlemlerin tespit edilememesine yol açabilmektedir. Şüpheli işlem bildiriminin şüpheyi doğuran durumun öğrenildiği tarihten itibaren on iş günü içinde yapılması zorunludur. Bildirim formunun eksik veya hatalı doldurulması, bildirimin MASAK tarafından değerlendirmeye alınmamasına neden olabilmektedir. İşlem izleme sistemlerinin kripto varlık işlemlerinin özel niteliklerine uygun olarak tasarlanması ve düzenli aralıklarla güncellenmesi büyük önem taşımaktadır.

Uyum görevlisinin yetki ve sorumluluklarının yetersiz tanımlanması, kurumsal uyum yapısının zayıflamasına yol açan önemli bir eksikliktir. Uyum görevlisinin üst yönetime doğrudan raporlama yapabilmesi ve bağımsız hareket edebilmesi, etkili bir uyum programının temel gereksinimlerinden biridir. Uyum birimi personelinin yeterli sayıda ve nitelikte olmaması, işlem hacminin artmasıyla birlikte uyum süreçlerinde aksaklıklara neden olabilmektedir. Personelin düzenli eğitim alması ve mevzuat değişikliklerinden haberdar edilmesi, uyum programının etkinliğini artıran faktörler arasındadır. Uyum kültürünün kurum genelinde benimsenmemesi, bireysel hataların kurumsal risklere dönüşmesine zemin hazırlamaktadır.

Kayıt saklama yükümlülüklerinin ihlali de MASAK denetimlerinde sıklıkla tespit edilen bir eksikliktir. Müşteri kimlik bilgileri ve işlem kayıtlarının iş ilişkisi sona erdikten sonra en az sekiz yıl süreyle saklanması yasal zorunluluktur. Dijital ortamda saklanan kayıtların bütünlüğünün ve erişilebilirliğinin sağlanması, bilgi teknolojileri altyapısının güvenilirliğine bağlıdır. Kayıt saklama sistemlerinin MASAK talebine anında yanıt verecek biçimde düzenlenmesi, denetim süreçlerinin sorunsuz yürütülmesini sağlamaktadır. Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun hükümlerine mevzuat.gov.tr üzerinden erişilerek güncel yükümlülükler incelenebilmektedir.

Sıkça Sorulan Sorular

Sonuç: Kripto Varlık Uyum Programınızı Güçlendirin

MASAK kripto uyum yükümlülükleri, 2026 yılında kripto varlık ekosisteminin en kritik konularından birini oluşturmaktadır. KYC/AML süreçleri, şüpheli işlem bildirimi, Travel Rule uygulaması, kayıt saklama ve risk değerlendirmesi gibi kapsamlı yükümlülüklerin eksiksiz yerine getirilmesi, hem yasal zorunluluk hem de işletme sürdürülebilirliği açısından büyük önem taşımaktadır.

Büromuz, kripto para ve bilişim hukuku alanındaki uzmanlığıyla kripto varlık hizmet sağlayıcılarına kapsamlı MASAK uyum danışmanlığı sunmaktadır. Uyum programı tasarımından SPK lisanslama sürecine, şüpheli işlem bildirim prosedürlerinden uluslararası düzenlemelere uyuma kadar tüm alanlarda profesyonel destek sağlamaktayız.

Kripto varlık düzenlemeleri hızla gelişmektedir. Güncel mevzuatı mevzuat.gov.tr üzerinden, adalet.gov.tr üzerinden ise yargı süreçleri hakkında bilgi edinebilirsiniz.

Uyum programınızı güçlendirmek, düzenleyici değişikliklere proaktif şekilde uyum sağlamak ve cezai risklerden korunmak için profesyonel hukuki destek almanızı öneriyoruz. Kripto varlık alanındaki düzenleyici belirsizlikler ve hızlı değişimler, sürekli güncellenen bir uyum stratejisini zorunlu kılmaktadır.