Kripto varlık hizmet sağlayıcıları 2021'de MASAK yükümlüleri arasına alındı, sonraki düzenlemelerle de finansal kuruluş statüsüne geçti. Bu, sektörün bankalarla aynı risk dilini konuşması anlamına gelir. Ama risk kaynakları farklıdır: bir bankada hesap numarası kurumun kendi kayıtlarında yaşarken kripto varlıkta cüzdan adresleri herkese açık bir defterde, kimliksiz biçimde dolaşır. Risk analizi bu yüzden iki katmanlıdır: kişiyi tanımak ve zinciri okumak.
Kişi katmanı ve zincir katmanı
Kişi katmanı, diğer finansal kuruluşlardaki müşteri tanıma ile aynıdır: kimlik, adres, meslek, fonun kaynağı ve liste taraması. Zincir katmanı ise müşterinin yatırdığı ya da çektiği varlığın hangi adreslerden geldiğini ve hangi adreslere gittiğini inceler. İki katman birbirini tamamlar. Temiz bir kimlik, yaptırımlı bir adresten gelen transferi aklamaz; kimliği zayıf bir müşterinin temiz görünen işlem geçmişi de tek başına güven vermez.
Risk Sorgu yalnızca kişi katmanını ölçer: adın ve kimlik bilgilerinin yaptırım, PEP, Resmî Gazete ve haber kayıtlarıyla örtüşmesini. Zincir analizi ayrı bir araç gerektirir. Bazı yaptırım listelerinin kişi kayıtlarında kripto cüzdan adreslerinin de yer aldığını hatırlatmakta fayda var; doğrulanmış bir eşleşmede bu adresler zincir katmanında aranacak ilk adreslerdir.
Dört eksende kripto müşterisi
- Müşteri
- Hesap açar açmaz yüksek tutarla işlem yapan, beyan ettiği gelirle uyuşmayan hacim üreten ya da hesabını başkasına kullandıran müşteriler.
- Ürün ve hizmet
- İşlem geçmişini gizlemek üzere tasarlanmış gizlilik odaklı varlıklar ve karıştırma hizmetleriyle bağlantılı transferler bu eksenin en üst ucudur. Kurum dışı, kimliği bilinmeyen cüzdanlara yapılan çekimler de ağırlık taşır.
- Ülke ve bölge
- Karşı tarafın yaptırımlı bir ülkedeki platform olması ya da kimlik tespiti yapmayan bir platformdan gelen transferler. FATF'nin sanal varlık hizmet sağlayıcıları için 15. Tavsiye ve aktarım bilgisini düzenleyen 16. Tavsiye kapsamındaki beklentileri, karşı platformun bu bilgileri paylaşıp paylaşmadığını önemli kılar.
- Kanal ve işlem
- Tamamen uzaktan, günün her saatinde ve sınır tanımadan. Kanal ekseni sektör geneli için yüksek kabul edilir.
Platformda 5 uyarı işareti
- Türk lirası yatırılıp hemen kripto varlığa çevrilmesi ve aynı gün kurum dışı bir cüzdana çekilmesi.
- Çok sayıda hesaptan aynı cüzdan adresine yapılan çekimler.
- Karıştırma hizmetleriyle ya da yaptırımlı adreslerle bir iki adım uzaklıkta bağlantı.
- Alım satım yapmadan yalnızca yatırma ve çekme için kullanılan hesaplar.
- Kimlik bilgilerinin ya da cihazın birden fazla hesapla paylaşılması.
Skoru hesap açılışında ve çekimde kullanmak
Hesap açılışında kişi katmanını ölçmek için ad, doğum tarihi, uyruk ve kimlik numarası yeterli bir başlangıçtır. Yüksek tutarlı ilk çekimde ise ölçümü yenilemek, açılıştan bu yana listelere eklenmiş bir kaydı yakalar. Orta bandın üzerindeki sonuçlarda eşleşen alanları belgeyle karşılaştırın; doğum tarihi de örtüşüyorsa çekimi bekletip zincir analizine geçin. Ayırma adımları eşleşme rehberinde.
PEP kaydında sıkılaştırılmış tedbirler gündeme gelir: servetin kaynağı, iş ilişkisinin amacı ve üst yönetim onayı. Kripto varlıkta servetin kaynağı sorusu, varlığın ilk kez ne zaman ve nereden edinildiğini de kapsar. Genel çerçeve PEP rehberinde, ek bilgi isteme adımları KYC rehberinde.
Kurgusal bir örnek: PEP elendi, zincir kaldı
Bir müşteri hesabına yüksek tutarlı Türk lirası yatırıyor, aynı gün kripto varlık alıyor ve kurum dışı bir cüzdana çekim talimatı veriyor. Çekim öncesinde yenilenen ölçüm orta bantta: ad bir PEP kaydıyla örtüşüyor. Doğum tarihi eklendiğinde kayıttakiyle on yıl fark olduğu görülüyor ve eşleşme yanlış pozitif olarak kapatılıyor.
Kişi katmanı temizlenmiştir, ama zincir katmanı ayrı bir soru sorar. Zincir analizi, çekim yapılacak cüzdanın bir karıştırma hizmetiyle iki adım uzaklıkta bağlantılı olduğunu gösteriyor. Bu, uyarı işaretlerinin birinci ve üçüncüsünün aynı işlemde buluşması demektir.
Risk bazlı karar, çekimi bekletmek ve müşteriden işlemin amacı ile hedef cüzdanın kime ait olduğu hakkında açıklama istemektir. Açıklama tutarlıysa ve cüzdanın müşterinin kendi kontrolünde olduğu gösterilebiliyorsa çekim daha düşük bir limitle yapılabilir. Açıklama yoksa çekim yapılmaz ve şüphe değerlendirilir. Kişi ölçümünün temiz çıkması burada yalnızca bir soruyu kapatmıştır; diğer soru zincirdedir.
Eşik ve limit
Mevzuat kripto varlık hizmet sağlayıcıları için kimlik tespitinde diğer yükümlülere göre çok daha düşük bir tutar eşiği öngörür. Risk bazlı yaklaşım bu eşiğin üstüne kendi limitlerinizi koymanızı ister: yeni müşteriye düşük çekim limiti, risk sınıfı yükseldikçe daha sık ve daha ayrıntılı izleme. Ödeme kuruluşlarıyla kesişen para giriş çıkışlarını ödeme ve elektronik para risk analizinde anlattık.
Bu rehber genel bilgi verir ve hukuki görüş yerine geçmez. Yürürlükteki mevzuat için MASAK'ın ve Resmî Gazete'nin güncel yayınlarını esas alın.