Geleneksel AML/CFT aracı kurumlar üzerine kuruludur. Havale işleminin her iki ucundaki bir banka, gönderici ve alıcı bilgilerini karşılıklı olarak paylaşır; Seyahat Kuralı da bu alışverişi resmileştirir. Bu sistem, müşterilerini tanıyan iki kurumun varlığı üzerine inşa edilmiştir.
Kripto bu varsayımı ortadan kaldırmaktadır. Bir transferin bir ucundaki "aracı kurum", gözetim altında olmayan bir cüzdan adresinden ibaret olabilir. Zincir üstü transferler, geleneksel finansal aracıları tamamen devre dışı bırakabilir; takma adlı adresler ile miksleyiciler, çapraz zincir köprüleri ve anlık takas işlemleri, kimlik ilişkilendirmeyi ve fon takibini geleneksel bankacılığa kıyasla çok daha güç hale getirir.
Bu örüntü tutarlıdır: yalnızca bankalar arası uyum akışlarına güvenemezsiniz. Bir kripto ödeme şirketinin, zincir üstüne özgü uyum araçlarına — KYA, KYT, sürekli izleme ve işler bir Seyahat Kuralı ile SAR/STR sürecine — ihtiyacı vardır; bunların yanı sıra kendi davranışlarınızla hiçbir ilgisi olmayan bir riske karşı da savunma geliştirmeniz gerekir: stablecoin ihraççısının fonları sözleşme düzeyinde dondurması. Aşağıda her ikisini de ele alıyor, ardından tüm konuyu yedi maddelik bir öz denetime sıkıştırıyoruz.
Geleneksel AML Çerçevesi Kripto'da Neden Yetersiz Kalır?
Temel sorun, kripto'nun kurallara sahip olmaması değil — asıl sorun, kuralların her karşı tarafın tanımlanabilir bir kurum olduğu bir dünya için yazılmış olmasıdır. Kripto'da bu çoğu zaman doğru değildir.
Zincir üstü bir transfer, herhangi bir banka, borsa veya uyum sorumlusu olmaksızın doğrudan cüzdanlar arasında fon aktarabilir. Buna takma adlı adresleri ve fon akışını özellikle gizlemek için tasarlanmış araçları — miksleyiciler, çapraz zincir köprüleri, anlık takas işlemleri — ekleyin; kimlik ilişkilendirme ve fon takibi geleneksel bankacılık sistemine kıyasla çok daha güç bir hal alır.
Bu nedenle bir kripto ödeme şirketi, AML'yi tamamen karşı taraflara havale edilmiş bir mesele olarak değerlendiremez. Şirketin, karşı tarafın lisanslı ve iş birliğine açık bir kurum olup olmadığından bağımsız olarak doğrudan zincir üstünde çalışan uyum araçlarını devreye alması gerekir.
KYA: Adresinizi Tanıyın
KYA (Know Your Address — Adresinizi Tanıyın), kripto AML'nin temel yetkinliğidir. Zincir üstü adreslerin kimliğini ve risk özelliklerini belirlemek amacıyla bir adres etiketleme sistemi kullanır; bu, kiminle muhatap olduğunuzu bilmekle eşdeğerdir — ancak bir KYC formu yerine blok zinciri verilerinden elde edilir.
Adres etiketleri, bir adresi üç boyutta tanımlar:
- Varlık — adresin hangi kuruluşa ait olduğu (örneğin Binance, Tornado Cash).
- Özellikler — adresin davranışsal nitelikleri (örneğin borsa, miksleyici, dolandırıcılık, yaptırım altında).
- Özgün etiket — ayrıntılı bir işaretleyici (örneğin "OFAC SDN," "Lazarus Grubu ile bağlantılı").
Bu etiketler açık kaynaklı istihbarat (OSINT), dahili bir tespit motoru ve ekosistem ortaklarından elde edilir; borsa para yatırma-konsolidasyonu ve fabrika sözleşmesi oluşturma gibi örüntüler kullanılarak genişletilir. Sonuç, herhangi bir işlem gerçekleştirmeden önce hangi adreslerin — yaptırım maruziyeti dahil — yüksek risk taşıdığının canlı bir haritasıdır.
KYT: İşleminizi Tanıyın
KYA size bir adres hakkında bilgi verir. KYT (Know Your Transaction — İşleminizi Tanıyın) ise belirli bir işlem hakkında bilgi verir — her işlemin riskini gerçek zamanlı olarak değerlendirme yetkinliğidir.
İşlevsel bir KYT sistemi dört işlevden oluşur:
- Gerçek zamanlı işlem izleme — gelen veya giden her işlem otomatik olarak bir risk değerlendirmesini tetikler.
- Çok adımlı izleme — fonların geçmiş yolunu izlemek amacıyla doğrudan karşı tarafın ötesine bakılır; genellikle 3–5 adım geriye gidilir. (Aşağıdaki hazırlık denetim listesi, gereksinimleriniz için daha yüksek bir çıta belirler: en az 5 adım — madde 2'ye bakınız.)
- Risk puanlaması — adres etiketleri, yol analizi ve davranışsal örüntülerden oluşan bileşik bir puan.
- Uyarı ve engelleme — yüksek riskli işlemler otomatik olarak işaretlenir veya engellenir.
Bir KYT kurulumunu değerlendiriyorsanız, uygulamada üç şey önem taşır: işlem onaylanmadan önce bir risk kararına ulaşıp ulaşamadığı, kaç zincir ve token'ı kapsadığı ve etiket veritabanının ne sıklıkla güncellendiği. Sisteme güvenmeden önce üçünü de netleştirmeye değer.
Sürekli İzleme: Adres Riski Zamanla Değişir
İşte çoğu uyum programının gözden kaçırdığı nokta: KYA ve KYT, belirli bir andaki yargılardır; ancak bir adresin riski durağan değildir. İşlem gerçekleştiğinde temiz görünen bir adres, daha sonra OFAC yaptırım listesine eklenebilir, bir hırsızlıkla ilişkilendirilebilir ya da miksleyici bağlantılı olarak işaretlenebilir.
Bu risk değişimi, şirketinizle daha önce işlem yapmış, müşteriniz olan ya da alım adreslerinizden biri için fon kaynağı olan bir adreste gerçekleşirse, siz farkında olmadan bu riski sessiz sedasız üstlenmiş olursunuz — ta ki araştırmaya başlayana kadar.
Bu nedenle teknik uyum bir defalık bir tarama olamaz. Üç süregelen bileşen gerektirir:
- Periyodik yeniden tarama — geçmiş karşı tarafları, müşteri tarafından beyan edilen adresleri ve aktif alım adreslerini en güncel etiketler ve yaptırım verileriyle düzenli olarak yeniden tarayın.
- Risk değişikliği uyarıları — daha önce düşük riskli olan bir adrese yeni bir yüksek riskli etiket eklendiğinde, bir sonraki işlemi beklemek yerine anında bildirim alın.
- Tetikleyici sonrası işlem — risk doğrulandıktan sonra bir plana göre hareket edin: ilgili fonları dondurun veya askıya alın, etkilenen işlem yollarını izleyin, gerekirse SAR bildirin ve ilgili karşı taraf için ileriye dönük stratejinizi güncelleyin.
Bu, aşağıda ele alınan stablecoin dondurma riskini izlemekle temelde aynı disiplindir: halihazırda aldığınız fonları ve daha önce muhatap olduğunuz adresleri izlemeye devam edin; ödeme anında veya denetim sırasında keşfetmek yerine risk durumu değişir değişmez harekete geçin.
Seyahat Kuralı ve Gerçek Dünyadaki Sınırları
FATF Seyahat Kuralı, VASP'lerin bir transferde gönderici ve alıcı kimlik bilgilerini paylaşmasını zorunlu kılar ve pek çok yargı bölgesi bunu yasal düzenlemeye taşımıştır. Bu kurala uymak zorundasınız — ancak kuralın gerçekte nereye ulaştığını ve nerede ulaşamadığını anlamak önemlidir.
Kural, transferin her iki tarafının da müşteri kimlik bilgilerini elinde bulunduran lisanslı kurumlar olduğunu varsayar. Kripto gerçeğinde ise transferlerin büyük bir bölümünün karşı ucunda gözetim altında olmayan bir cüzdan bulunur ve bu adresin arkasında kimin olduğu çoğunlukla bilinemez. Kendi tarafınız yükümlülüklerini tam olarak yerine getirse bile, karşı uçtaki anonim bir cüzdan, paylaşılacak kimlik bilgisinin bulunmadığı anlamına gelir ve kural işlevsiz kalır.
Açıkça ifade etmek gerekirse: Seyahat Kuralı VASP'tan VASP'a kapalı ortamda işlev görür, ancak açık bir zincir üstü adresle karşılaşır karşılaşmaz çöker. (Hangi lisans rejiminin hedef pazarlarınızda hangi Seyahat Kuralı yükümlülüklerini tetiklediğini haritalıyorsanız, küresel kripto ödeme lisans haritamız bunu yargı bölgesi bazında ele almaktadır.)
Gözetim altında olmayan cüzdanları gerçek anlamda kapsayan şey, zincir üstü veriye dayalı KYA/KYT'dir. Adres risk taraması ve işlem izleme, karşı tarafın bir kimlik bildirmesine bağlı değildir — bunun yerine riski zincir üstü davranıştan çıkarır. Pratik yaklaşım şöyledir: VASP'tan VASP'a transferlerde gereken bilgi paylaşımını yapın; gözetim altında olmayan cüzdanlara yapılan transferlerde ise ağırlığı KYA/KYT'nin zincir üstü risk değerlendirmesine verin.
KYT Bir İşlemi İşaretlediğinde SAR/STR Bildirimi
KYT sisteminiz şüpheli bir işlem tespit ettiğinde, ilgili düzenleyici kuruma şüpheli faaliyet raporu (SAR/STR) bildirme yükümlülüğünüz doğar. Bu sürece ulaşmak genellikle tutarlı bir iş akışını izler:
- Soruşturma hedefini tanımlayın — kimi incelediğinizi belirleyin.
- Zincir üstü analiz araçlarıyla veri toplayın.
- Fon akışını analiz edin; fonları ilgili adresler üzerinden takip edin.
- Adresleri tanımlayın; yol üzerindeki her birinin anahtar adres olup olmadığını belirleyin.
- Kanıtları ve raporu oluşturun.
- Bildirimin ardından bile ilgili adresleri izlemeye devam edin.
Bir uyum soruşturması genellikle dahili KYA/KYT sisteminiz tarafından tetiklenir. Bir suç soruşturması ise aksine kanıt toplamayı, şüphelileri tespit etmeyi ve yasadışı fonları izlemeyi amaçlayan kolluk kuvvetleri tarafından başlatılır — farklı bir başlangıç noktası, ancak çoğu zaman aynı zincir üstü iz.
Bu izi güvenilir biçimde oluşturmak — etiketlenmiş adresler, işlem düzeyinde risk puanları ve belgelenmiş bir soruşturma iş akışı — şüpheli faaliyet uyarısını savunulabilir bir bildiriye dönüştüren şeydir. Bu sürecin altındaki tarama katmanı için Phalcon Compliance, cüzdan tarama, KYT ve yaptırım kontrollerini tek bir yerde bir araya getirir.
Stablecoin Dondurma Riski: Bir Kenar Durum Değil, Tasarım Özelliği
AML/CFT taraması yasadışı faaliyetleri kapsar. Bunun üzerinde ayrı bir risk daha vardır: stablecoin ihraççısının kendisi, siz hiçbir yanlış yapmamış olsanız bile fonları sözleşme düzeyinde dondurabilir. İhraççı tarafından dondurma, zaman zaman yaşanan bir olay değil, merkezi stablecoin sisteminin yerleşik tasarım özelliklerinden biridir; bu ifadenin arkasındaki ölçek ise çoğu finans ve uyum ekibinin öngördüğünden çok daha büyüktür.
BlockSec'in 2026 yılının ilk yarısına ait verileri, yalnızca altı ayda yeni dondurulan 2.623 adresi göstermektedir — Ethereum'da 347, Tron'da 2.276 — toplam dondurma miktarı ise 1,67 milyar dolardır (Ethereum'da 79 milyon dolar, Tron'da 1,59 milyar dolar).
2026 yılındaki büyük dondurma işlemleri, kolluk kuvvetleriyle iş birliğinin ne denli rutin bir hal aldığını gözler önüne sermektedir:
- Tether, OFAC ile koordineli biçimde Nisan 2026'da 344 milyon dolarlık USDT'yi dondurdu — yaptırım uygulanan varlıklarla veya bir suç ağıyla bağlantılı iki adres.
- Türk makamlarına yasadışı çevrimiçi kumar ve kara para aklama ağını hedef alan 544 milyon dolarlık USDT dondurma işleminde Ocak 2026'da destek verdi.
Circle tarafından ihraç edilen USDC nispeten daha küçük ölçekte ve daha yavaş bir tempoda dondurulmaktadır; ancak sözleşme katmanında aynı şekilde blacklister (kara listeleyici) ve pauser (duraklatıcı) ayrıcalıkları bulunmaktadır; dolayısıyla teorik güç aynıdır. Daha küçük USDC rakamlarını rahatlamanın bir gerekçesi olarak okumayın — bu mekanizma herhangi bir ihraççının uygulama temposuna değil, token'ın kendisine işlenmiştir.
Bir şirket "borsada coin tutmazsam dondurulamaz" varsayımında bulunamaz. USDT veya USDC tutulduğu sürece ihraççı, bunların dolaşımını sözleşme düzeyinde kısıtlayabilir. Yukarıda ele alınan sürekli KYT izleme, buna karşı alınabilecek korumalardan biridir.
Kurumsal Koruma Sistemi Oluşturmak
Kurumsal strateji rehberi, dondurma riski gerçekleşmeden önce bir şirketin hayata geçirebileceği dört koruyucu önlemi ortaya koymaktadır:
- Kademeli cüzdanlar — alım, konsolidasyon, operasyonel ve rezerv işlemlerini ayrı ayrı yönetin; böylece riskin bir uç adresin ötesine geçerek ana fon havuzuna yayılmasını önleyin.
- Çeşitlendirilmiş stablecoin varlıkları — kritik operasyonel likiditeyi tek bir ihraççıda veya tek bir zincirde yoğunlaştırmayın.
- Sürekli KYT izleme — gelen, konsolidasyon, giden ve mevcut varlık inceleme aşamalarında süregelen risk kontrolü uygulayın. Tek bir adresin Ethereum/Tron üzerindeki USDT dondurma ve kara liste durumunu hızlıca kontrol etmek için ücretsiz USDT Dondurma ve Kara Liste Denetleyicisi'ni kullanabilirsiniz.
- Dondurma olayı planı — risk gerçekleşmeden önce eskalasyon yolunu, kanıt hazırlığını ve ihraççı iletişim kanalını tanımlayın.
Dondurma Gerçekleştiğinde Müdahale
Bir dondurma işlemi gerçekleşirse, müdahale üç adımda yürütülür: maruziyeti önceden Phalcon Compliance aracılığıyla belirleyin; olgu yaşandığında neden ve kapsamı netleştirmek için MetaSleuth ile zincir üstü ilişkilendirme yapın; ihraççıyla diyalog için yapılandırılmış materyaller hazırlayın.
En iyi konumda olan şirketler, dondurma yaşanmayacağını umanlar değil; kademeli cüzdanlara, çeşitlendirilmiş varlıklara, sürekli KYT izlemeye ve dondurma anı için önceden hazırlanmış bir plana sahip olanlardır.
7 Maddelik Uyum Öz Denetimi
"Uyumlu muyuz?" sorusuna "katılım sırasında KYC yaptık" yanıtını verdiyseniz, bu sorunun tam anlamıyla yanıtlanmadığını zaten biliyorsunuzdur. Aşağıda strateji rehberindeki uyum hazırlık denetim listesi yer almaktadır. Bu liste, uyum ve güvenlik ekiplerinizle yapılacak bir görüşmenin başlangıç noktasıdır; onun yerini tutamaz — bunu, eksikliklerinizi bulmak için bir araç olarak değerlendirin, kapsandığınızı gösteren bir sertifika olarak değil.
AML/CFT teknik uyum — işlem yaşam döngüsü boyunca üç kontrol
- Müşteri katılımı. KYC/KYB süreciniz zincir üstü KYA taramasıyla entegre mi? Müşteri tarafından beyan edilen her adresi miksleyici maruziyeti, çalıntı fonlar, OFAC SDN listelemeleri ve yaptırım altındaki protokollerle etkileşim açısından risk taramasına tabi tuttunuz mu?
- İşlem aşaması. Yüksek riskli varlıklara dolaylı maruziyeti yakalamak amacıyla gelen ve giden her işlemde çok adımlı izlemeyle (en az 5 adım) gerçek zamanlı KYT uyguluyor musunuz? Bu kapsam yalnızca birincil zincirinizle değil, faaliyet gösterdiğiniz tüm zincirlerle mi geçerli?
- Acil durum aşaması. SAR/STR bildirimini ve varlık geri kazanımını desteklemek amacıyla zincir üstü fon izleme yetkinliğiniz var mı?
Bu üç kontrolün hiçbiri tek seferlik bir proje değildir. Katılım sırasında temiz görünen bir adres, daha sonra yaptırım listesine eklenebilir veya bir hırsızlıkla ilişkilendirilebilir — işlem aşaması ve acil durum aşaması kontrollerinin katılımın yanı sıra, onun yerine geçmek yerine var olmasının nedeni de tam olarak budur.
Stablecoin dondurma riski — gerçekleşmeden önce iki kontrol
- Sürekli tarama ve izleme. Gelen fonlar ana havuzunuza akmadan önce taranıyor mu — izole fonların konsolide edildiği ödeme akışının tarama adımı dahil? Tüm cüzdan adresleriniz, yalnızca bir para yatırma işlemi geldiğinde bir kez kontrol edilmek yerine, dondurma veya kara liste durumundaki değişiklikler açısından sürekli izleniyor mu? Tek bir anlık kontrol, daha önce temiz olan bir adresin sonradan işaretlendiği durumu gözden kaçırır.
- Dondurma olayı planınızı yazıya dökün. Eskalasyon yolunuzu, kanıt hazırlığınızı ve ihraççı iletişim kanalınızı kapsayan yazılı bir dondurma olayı acil durum planınız var mı? Dondurma gerçek operasyonel ölçekte yaşanmaktadır; dolayısıyla soru bunun başınıza gelip gelemeyeceği değil — ekibinizin aktif bir olay sırasında doğaçlama yapmak yerine bu an için hazır, belgelenmiş bir planının olup olmadığıdır.
Sürekli iyileştirme — hiç bitmeyen iki kontrol
Son grup hiç de teknik bir kontrol değildir — ilk beşin eskimesini önlemeye yönelik bir disiplindir.
- Eğitim ve tatbikatlar. İlgili tüm personel katılım güvenlik eğitimini tamamladı mı? İşe alım sırasında yapılan tek seferlik bir oturumla yetinmek yerine, sosyal mühendislik savunma tatbikatları, yeni tehdit brifingleri ve olay müdahale tatbikatları düzenli olarak yapılıyor mu? Ödeme sistemleri para hareket ettirir; bu da onları işleten insanları kod kadar saldırı yüzeyi haline getirir.
- Sektör olaylarından ders çıkarmak. Büyük sektör olaylarına ilişkin olay sonrası analizler, başka birinin sorunu olarak haberler arasında bırakılmak yerine sistematik biçimde kendi kontrollerinize yansıtılıyor mu? Başka bir kripto ödeme şirketinde yaşanan bir olay, sizin de paylaşabileceğiniz bir kontrol açığı hakkında bedava bir derstir — denetim listesi ancak bu ders gerçekten alınarak altyapınızda bir şeyi değiştirirse işe yarar.
Bu, Büyük Resme Nasıl Oturur?
Bu yedi maddelik denetim listesi teknik AML/CFT uyumu, dondurma riski yönetimi ve sürekli iyileştirmeyi kapsamaktadır — ancak kasıtlı olarak bir uyum parçasını dışarıda bırakmaktadır: belirli bir yargı bölgesinde faaliyet göstermek için gerekli lisansa sahip olup olmadığınız. Bu, ülke başına kendi rejimi olan ayrı bir sorudur; küresel kripto ödeme lisans haritamız bunu yargı bölgesi bazında ele almaktadır.
Yedi kontrolün tamamından geçmek tek başına uyumlu olduğunuz anlamına gelmez — uyum, maddenin işaretlenip işaretlenmediğine değil, her kontrolün gerçekte ne kadar iyi uygulandığına ve sürdürüldüğüne bağlıdır. Ancak bu, bir denetçinin, düzenleyici kurumun veya bir olayın sizden önce keşfetmesi yerine eksikliklerinizi bulmanın hızlı bir yoludur.
KYA, KYT, SAR/STR yükümlülükleri ve dondurma riski savunmasının bir ödeme sisteminin daha geniş güvenlik ve uyum programına nasıl uyduğu için kripto ödeme güvenliği ve uyum strateji rehberimizi (PDF) indirin.
SSS
KYA ile KYT arasındaki fark nedir? KYA (Know Your Address — Adresinizi Tanıyın), adresin kendisinin riskini; varlık, özellikler ve "OFAC SDN" gibi özgün işaretleyiciler için etiketler kullanarak değerlendirir. KYT (Know Your Transaction — İşleminizi Tanıyın) ise belirli bir işlemin riskini gerçek zamanlı olarak, çok adımlı izleme ve risk puanlaması aracılığıyla değerlendirir.
FATF Seyahat Kuralı neden gözetim altında olmayan cüzdanlara yapılan transferleri kapsamaz? Seyahat Kuralı, transferin her iki tarafının da müşteri kimlik bilgilerini elinde bulunduran lisanslı VASP'ler olduğunu varsayar. Transferin karşı ucu gözetim altında olmayan bir cüzdan olduğunda paylaşılacak kimlik bilgisi bulunmaz ve kural işlevsiz kalır — bu nedenle KYA/KYT zincir üstü risk değerlendirmesinin bu yükü üstlenmesi gerekir.
Bir adresin ilk işlemin ardından neden yeniden taranması gerekir? Çünkü adres riski durağan değildir. İşlem anında temiz olan bir adres, daha sonra OFAC yaptırım listesine eklenebilir, bir hırsızlıkla ilişkilendirilebilir ya da miksleyici bağlantılı olarak işaretlenebilir — ve bu adresle daha önce muhatap olduysanız, farkında olmadan bu riski sessiz sedasız üstlenmiş olursunuz.
KYT çok adımlı izleme kaç adımı kapsamalıdır? Tipik KYT uygulamaları 3–5 adım geriye gider. Uyum hazırlık denetim listesi, yalnızca doğrudan karşı tarafı kontrol etseydiniz görünmeyecek yüksek riskli varlıklara dolaylı maruziyeti yakalamak amacıyla çıtayı en az 5 adım olarak belirler.
SAR/STR bildirimini ne tetikler? SAR/STR bildirim yükümlülüğü, KYT sisteminizin şüpheli bir işlem tespit etmesiyle tetiklenir; bu, bir soruşturma iş akışını başlatır: hedefi tanımlayın, zincir üstü veri toplayın, fon akışını izleyin, anahtar adresleri belirleyin, kanıtları oluşturun ve bildirimden sonra izlemeye devam edin.
Tether toplamda ne kadar USDT dondurdu? Nisan 2026 itibarıyla Tether, 65 ülke, 340'tan fazla ajans ve 2.300'den fazla dava kapsamında (1.200'den fazlası ABD davası dahil olmak üzere) kolluk kuvvetleriyle koordineli biçimde toplam 4,4 milyar doların üzerinde USDT'yi dondurduğunu resmi olarak açıklamıştır.
USDC, USDT ile aynı şekilde dondurulabilir mi?
Evet. Circle tarafından ihraç edilen USDC nispeten daha küçük ölçekte ve daha yavaş bir tempoda dondurulmaktadır; ancak sözleşme katmanında aynı blacklister (kara listeleyici) ve pauser (duraklatıcı) ayrıcalıkları bulunmaktadır; dolayısıyla teorik dondurma gücü aynıdır.
Stablecoin'leri borsada tutmamak dondurulma riskine karşı koruma sağlar mı? Hayır. Bir şirket, coin'leri borsada tutmaması durumunda dondurulmayacağını varsayamaz. USDT veya USDC tutulduğu sürece ihraççı, bunların dolaşımını sözleşme düzeyinde kısıtlayabilir.
Bu denetim listesini geçmek tamamen uyumlu olduğumuz anlamına gelir mi? Hayır. Bu, BlockSec'in uyum hazırlık denetim listesine göre eksikliklerinizi bulmanıza yardımcı olan bir öz denetimdir — gerçek uyum, her kontrolün ne kadar iyi uygulandığına, belgelendiğine ve sürdürüldüğüne ve bu denetim listesinin kapsamı dışındaki gereksinimlere (lisanslama gibi) bağlıdır.
