Satoshi Nakamato adını kullanan gizemli birisi veya bir grup tarafından 2008’de yayımlanan Bitcoin makalesinin üzerinden 15 sene geçti. Geleneksel merkezi sistemlere bir başkaldırı olarak doğan Bitcoin ve beraberinde getirdiği blockchain teknolojisi, kendisini doğuran felsefeden giderek uzaklaşırken, geleneksel sistemler ile yakınlaşıyor. Kripto varlıkların geneli itibariyle aşırı riskli değer yapısına rağmen artık geleneksel finans kurumları bu varlıkların beraberinde getirdiği potansiyeli görüyor ve bu varlıkları geleneksel finansal ürünleri arasına katmayı istiyor. Ancak kripto suçların kompleks yapısı önemli bir tereddüt noktası. Masumane gözüken bir NFT projesi, ABD pasaport kontrolünden geçerken ABD Yabancı Varlıklar Kontrol Ofisi (The Office of Foreign Assets Control - OFAC) yaptırım listesi sebebiyle, gözaltına alınma sebebi olabilir.

Kendisini Blockchain veri platformu olarak tanımlayan ve Blockchain tabanlı işlemlere yönelik analitik veri ve analiz hizmetleri sunan Chainalysis firmasının yayımladığı 2023 Kripto Suçlar Raporu’na göre 2017 yılında kayıtlara geçen kripto varlıklarla ilintili suçların hacmi 4,9 milyar dolardı. Bu rakam 2022 yılında 20,6 milyar dolara yükseldi ve bu yapılan tüm işlemlerin sadece yüzde 0,24’ünü oluşturuyor. Elbette bunlar sadece tespit edilebilen suç kayıtlarına ait rakamlar. Bu suçlar arasında karanlık ağ pazarları (Darknet Markets), fidye yazılımları (Ransomware), kripto varlıklar hırsızlıkları, terörizmin finansmanı, kara para aklama ve yaptırım listesine giren kripto cüzdanlar ile gerçekleşen etkileşimler var. Rakamlar yüksek gibi görünebilir ancak Birleşmiş Milletler Uyuşturucu ve Suç Ofisi (The United Nations Office on Drugs and Crime - UNODC) verilerine göre her sene küresel Gayri Safi Yurtiçi Hasıla (GSYİH) büyüklüğünün yüzde 2 ila 5’i kara para aklama kapsamında işlem görüyor. Bu oran 715 milyar euro ila 1,87 trilyon euro arasında büyüklüğe denk geliyor. Kripto suçların rakamsal değerinin düşük olması istisnai bir durum yaratmıyor elbette.

Kripto suçların kısa tarihçesi

Kripto varlıklar ortaya çıktığı ilk günden bu yana çeşitli suçların bu ekosistem içinde yer aldığını görüyoruz. 2011 yılında faaliyete geçen Karanlık Ağ Pazarı Silk Road, tüm işlemlerin bitcoin (BTC) aracılığı ile gerçekleşmesine izin veriyordu. 2013 yılında FBI tarafından çökertilene ve kurucusu Ross Ulbrich ömür boyu hapse mahkûm olana dek 9,5 milyondan fazla BTC transferine aracılık etti ve işlem komisyonlarından 614 binden fazla BTC geliri sağladı. 2014 yılında Japonya merkezli kripto para borsası Mt. Gox siber suçlular tarafından hacklendiğinde 850 binden fazla BTC çalındı. Bunu 2016 yılında Bitfinex borsasından çalınan 120 bin BTC takip etti. Aynı sene içinde Ethereum ağı üzerindeki The DAO projesinden o dönemki değeri ile 50 milyon dolarlık Ethereum (ETH) çalındı. 2019 yılında Kanada merkezli kripto para borsası QuadrigaCX’in kurucusu öldü ve borsadaki varlıklara erişmek için kullanılan özel anahtarlar (Private Key) kaybolunca yüz milyonlarca dolarlık kripto varlık kilitli kaldı.

Takip eden yıllarda hacklenen kripto para borsalarına, merkeziyetsiz ağlardaki akıllı sözleşmeler üzerinden hizmet veren merkeziyetsiz finans (Decentralized Finance – DeFi) ve farklı projeler de eklenmeye başlandı. Ayrıca farklı ağlar arasında kripto varlık transferine izin veren köprü uygulamaları üzerinden de çok ciddi hırsızlıklar yaşandı. Kuzey Koreli bir hacker grubu olan Lazarus, 2022 yılında Ronin Network köprüsünden 625 milyon dolar değerinde varlık çaldı. 2022 yılında kripto varlıklar için yapılan kayıtlara geçen hırsızlık hacminin 3,9 milyar dolar olduğu hesaplanıyor. Kripto varlıkların anonim yapısı sebebiyle dolandırıcılık, ponzi yapıları gibi suçlar sürekli varlıklarını sürdürüyor. Ayrıca fidye yazılımları, terörizmin finansmanı, kara para aklama girişimleri de farklı başlıklar altında çeşitli hacimler oluşturuyor.

Ve yaptırımlar gelmeye başlar

OFAC 2018 yılında, SamSam adındaki bir fidye yazılımı ile ilişkilendirdiği iki İranlı ismi Özel Olarak Belirlenmiş Vatandaşlar ve Engellenmiş Kişiler (Specially Designated Nationals And Blocked Persons - SDN) listesine aldı. Bu yaptırım kararı ile BTC içeren bazı kripto cüzdan adresleri de listeye
ilk kez girdi. Takip eden yıllarda giderek artan sayıda yeni isimin yanı sıra daha yüksek tutara sahip cüzdan adresleri de OFAC listesine dahil edilmeye başlandı.

2021 senesinde OFAC listesine giren ilk kez bir kripto para borsası ve tezgâh üstü piyasası (OTC) hizmetleri veren Rusya merkezli SUEX dahil edildi. SUEX’in işlem hacmi 1 milyar doları geçiyordu. 2022’de borsa listesine 15,7 milyar dolar işlem büyüklüğü ile Rusya merkezli Garantex eklendi. Yine 2022 yılı, akıllı sözleşmeler üzerinden kripto varlıkların izini kaybettirmek için kullanılan ve Karıştırıcı (Mixer) olarak isimlendirilen servisler dahil edildi. Önce 1,36 milyar dolarlık işlem hacmine sahip Blender.io ve akabinde 8,74 milyar dolar işlem hacmine sahip Tornado Cash yaptırım listesine alındı. Tornado Cash’in yaptırım listesine alınması kripto ekosistemi için çok önemli bir gelişmedir zira mixer çözümleri suç amacı taşımasa da pek çok kullanıcı tarafından mahremiyeti korumak için kullanılıyordu.

Chainalysis Kripto Suçlar 2023 Raporu’na göre 2022 yılında tüm mixer işlemlerinin sadece yüzde 24 kadarı suçla ilintili kripto cüzdanlardan transfer edilmiş. Buna rağmen Tornado Cash’in bir yapı olarak yaptırım listesine dahil edilmesi, sebebi ve amacı her ne olursa olsun Tornado Cash ile etkileşime giren tüm cüzdanları şüpheli duruma sokuyor. Bu sebeple merkezi olarak faaliyet gösteren organizasyonların yanı sıra merkeziyetsiz hizmet veren çeşitli DeFi servisleri de Tornado Cash ile etkileşime giren kripto cüzdanların işlemlerini reddedeceklerini veya ilgili yasal kurumlara bildirimde bulunacaklarını açıkladılar. Endişelerinde haksız olmadıkları açık zira ABD Hazinesi Mali Suçları Uygulama Ağı (The US Treasury’s Financial Crimes Enforcement Network - FinCEN) 19 Ekim 2023’de yayımladığı bir açıklama ile mixer servisleri ile etkileşime giren tüm cüzdanların “Birincil Kara Para Aklama Sorunu” olarak ele alınabileceğine dair bir bildirimde bulundu.

Yerel ve küresel uyumluluk kaçınılmaz

Doğrudan veya dolaylı olarak sunulan kripto varlık tabanlı hizmetlerde özellikle yönetilen kripto cüzdanlar üzerinde gerçekleşen işlemler, hizmet veren kurumlar için yerel ve küresel mesuliyetleri beraberinde getiriyor. Örneğin müşteri sadakati odaklı bir NFT servisinde, yönetilen kripto cüzdanlara yaptırım listesine giren cüzdanlardan gelecek bir kripto varlık transferi, hizmet sağlayıcının takip etmesi, mümkünse engellemesi ve ilgili mercilere haber vermesi gerektiren bir senaryo oluşturuyor. Chainalysis Regülasyon ve Uyum Başkanı Amardeep Thandi, “İşletmelerde mixer veya karanlık ağ pazarları gibi kripto endüstrisinin nüanslarını gerçekten anlayan ve yasa dışı faaliyet oluşturan işlem modellerini nasıl tanıyacaklarını ve ne anlama geldiklerini bilen bir ekibin olması çok önemli” diyor ve ekliyor; “Kripto para alanında yeterli bilgi sahibi olmayanlar, bu teknolojiyi anlayan ve kripto para biriminin avantajlarını etkili bir şekilde kullanabilen suçlulara ve tehdit unsurlarına karşı üstünlüklerini kaybedebilir.”

Türkiye merkezli bir kripto teknoloji çözümleri şirketi olarak faaliyet gösteren Futurance Finans Teknolojileri CEO’su Erkan Coplugil, Türkiye’de faaliyet gösteren kripto para borsalarının yasal zemindeki mesuliyetleri için şu değerlendirmeyi yapıyor, “Merkez Bankası ve MASAK yönetmeliklerine uyumluluk, borsanın temel yükümlülüklerinde yer alırken, Ticaret ve Borçlar Kanunu çerçevesinde de belirli yasal sorumlulukları bulunuyor. Kullanıcı varlıklarını korumak birinci öncelik olmakla beraber, bu konuda denetleyici otoritelere ve müşterilerine şeffaf ve hesap verebilir olmalıdır.” Kripto varlıklar özelinde Kara Para Aklamanın Engellenmesi (Anti Money Laundering – AML) için analitik ve gerçek zamanlı veri akışı hizmetleri sunan Defy Kurucusu ve CEO’su Suat Özkan, yasal uyumluluk konusunun ülkeden ülkeye değişmekle birlikte, yerel düzenlemeler olmasa da, yeni teknolojilerin diğer teknolojiler ile oluşturduğu girift bağlantılarından dolayı farklı yasal düzenlemelere organik olarak uyumlu olmanın gerektiğini belirtiyor, “Kara para aklamayı ve terörizmin finansmanını önleme kanunları, buna ek olarak dijital veriyi de kapsayan kişisel genel veri koruma yönetmeliği gibi yasalar da uyum kapsamında ele alınmalı.”

Amardeep Thandi, “2009’dan beri kripto piyasaları nispeten sınırlı kapsamda kabul gördüğü için kripto düzenlemeleri kriptonun kara para aklama veya terör finansmanı gibi yasa dışı amaçlarla kötüye kullanılma riskine daha çok odaklanmıştı” diyor ve özellikle 2022’den sonra artan kripto suçların doğasının bir sonucu olduğunun altını çizerek, “Düzenleyici kapsamlar artık piyasa kötüye kullanımı, istikrar, manipülasyon, tüketici koruması ve diğer ihtiyati düşüncelerle mücadele etmek için genişletiliyor, MiCA (Markets in Crypto-assets Regulation) bunun için güzel bir örnek” diyerek tüm dünyada kripto varlıklara yönelik düzenlemelerin her geçen gün genişlediğine dikkat çekiyor.

19 Nisan 2023’te Avrupa Birliği (AB) parlamentosunda kabul edilen MiCA’nın yürürlüğe girmesi ile Türkiye’de faaliyet gösteren kripto çözüm sağlayıcı firmaların mesuliyetlerinin de artacağını belirten Erkan Coplugil ise, “Seyahat Kuralı (Travel Rule’ın) kabul edilmesi ile Türkiye’nin de bu küresel düzenlemelerden etkileneceğini öngörüyoruz” diyor. Amardeep Thandi,’ye göre Mali Eylem Görev Gücü (FATF) tarafından yayınlanan kılavuz, kripto varlıklarına yönelik küresel düzenleyici rejimlerin temel katmanını oluşturuyor. MiCA’nın yanı sıra BAE’nin Sanal Varlık Düzenleyici Otoritesi (VARA) ve Abu Dhabi Global Markets’ın (ADGM) kripto varlık politika çerçeveleri gibi mevcut düzenleyici çerçevelere bakılmasını tavsiye ediyor.

Coplugil yerel ve küresel uyumluluğa sağlamak için mevcut durumda dahi düzenlemelere çok dikkat edilmesi gerektiğini belirtirken, “Lisanslama prosedürlerinin başlamasının ardından, lisanslama işlemlerini yürüten kurum veya kurumlar tarafından para cezaları, lisansın iptali ve faaliyet askıya alma/ durdurma gibi yaptırımlar uygulanabilir. Ayrıca, MASAK tarafından da idari para cezalarının verilme olasılığı bulunuyor” diyor. Türkiye’de kripto para borsalarına yönelik işlem ve kripto varlık saklamaya yönelik hizmetler için uzun süredir çeşitli taslak yasa çalışmaları yapılmış olsa da şu ana dek yürürlüğe girmiş bir uygulama bulunmuyor. Türkiye Cumhuriyeti Hazine ve Maliye Bakanı Mehmet Şimşek, 1 Kasım 2023’te yaptığı bir açıklamada; FATF tarafından paylaşılan rapora göre, Türkiye’nin 40 FATF standardının 39’u ile uyumlu olduğuna dikkati çekerek, teknik uyum kapsamında, hazırlıkları devam eden tek konunun kripto varlıklar ile ilgili çalışmalar olduğunu, bu konuda da gerekli çalışmaları nihai aşamaya getirdiklerini paylaşmıştı. Bakan Şimşek, “Bu kapsamdaki çalışmalarımızı artırarak devam ettirmeye kararlıyız. Uygulamada sağlayacağımız etkinlik ile ülkemizi gri listeden çıkarmak için çaba gösteriyoruz” dedi. Ekim 2021’de FATF tarafından kara paranın aklanması ve terörizmin finansmanını engellemede eksikleri olduğu için Türkiye’nin daha sıkı izlenmesini gerektiren gri listeye alındığını duyurmuştu.

Bitmeyecek mücadele

Thandi, “Son 10 yılda, artan düzenleyici netlik, zincir içi veri yetenekleri ve eğitim ile endüstriden olgun risk tabanlı kontrollerde bir artış gözlemledik. Bugün endüstriyle yaptığım konuşmalar, hatta iki yıl öncesine bile kıyasla çok farklı” diyerek endüstrideki hızlı değişime dikkat çekiyor. Diğer yandan Amardeep Thandi’ye göre bu değişime paralel olarak ekosistem riskleri yönetme konusunda daha bilgili bir hale geldi, bu olumlu yönde büyük bir adım. Tüm bu gelişmelerin ışığında kripto varlıklar, yüksek riskli getiri potansiyeli ile bu riski almak isteyen kişi ve kurumların giderek daha çok ilgi alanına giriyor. Uzmanlar, Amerika Birleşik Devletleri Menkul Kıymetler ve Borsa Komisyonu’nun (U.S. Securities and Exchange Commission - SEC) en geç Ocak 2024 sonuna kadar çeşitli SPOT BTC işlem başvurularını kabul etmek durumunda kalacağına dair görüş birliğinde. Geçtiğimiz aylarda bu konuda piyasalara düşen hatalı bir haber paylaşımı BTC’nin kısa sürede önemli ölçüde değer kazanmasını ve akabinde haberin hatalı olduğu anlaşılınca değer kaybını beraberinde getirdi. Ancak piyasalar ilerleyen günlerde bu haberi gerçekleşmeden satın aldı ve bu çalışma yapılırken BTC’nin piyasa değeri 35 bin doların üstüne çıkmış durumdaydı.

SPOT BTC işlemleri önemli zira kripto piyasalara ve varlıklara uzak tüketicileri ve kurumların, banka gibi geleneksel kanallardan bu varlıklara yatırım yapmasını kolaylaştıracak. Blockchain teknolojisi düşünülenin aksine bankacılık sistemini yıkmadı, tam tersi bir şekilde şu anda Türkiye’dekiler dahil pek çok banka kripto varlık saklama ve işlemlere aracılık yapmak için ARGE çalışmalarına devam ediyor. Diğer yandan kripto varlıkların karmaşık gibi görünen suç unsurlarında kullanım senaryoları, geleneksel piyasaların aksine, tüm işlemler kayıt altında olduğu için daha kolay takip edilebiliyor ve merkezi yapılar üzerinden gerçek kimlikler ile eşleştirilebiliyor. Thandi’ye göre, “Kripto paralar doğası gereği şeffaf ve doğru araçlarla, pek çok başarılı soruşturmanın desteklediği gibi, emniyet güçleri tarafından etkin bir şekilde izlenebiliyor.”

Yüzlerce yıllık bilgi birikimi ve yüksek teknoloji kullanımına sahip bankacılık ve finans sektörü için bilinmedik bir süreç söz konusu değil. Gündelik yaşamlarının bir parçası haline gelen küresel finansal uyumluluklar sebebiyle, kripto varlıklara yönelik uyumluluk süreçlerine daha hızlı uyum sağlama şansına sahipler. Suat Özkan’a göre sundukları çözümlere, borsaların, yenilikçilik odaklı teknoloji firmaları ve bankaların ilgisi çok yüksek. “Özellikle mevzuat konularında çok titiz davranan sektörlerin, ilgisi aynı oranda yüksek oluyor. Aktif projelere dönüşüm oranlarımız, dinamik teknoloji firmaları ve borsalar tarafında daha yüksek gerçekleşiyor” diyor Özkan ve bir konunun altını çiziyor; “Kullanıcı veri güvenliği konusunda yerli çözümlerin kullanılmasının kritikliğini belirtmek istiyorum. Konu merkeziyetsiz finans olunca bu daha da önemli hale geliyor. Örneğin, bir bankanın müşteri cüzdanı için yabancı bir servis kullanarak AML, KYT kontrollerini yapması, o banka müşteri varlık bilgilerini banka bilgisi ile yurt dışına çıkarması anlamına geliyor. Bu derecede hassas içeriklerin korunması hususunda yerli çözümlerin öneminin artacağını düşünüyorum.”

Erkan Coplugil’e göre İstanbul’un bir finans merkezi olarak konumlandırılması ve küresel bir merkez haline gelme potansiyeli sunuyor. “Bu alanlarda atılacak adımların faydalı olacağını düşünüyoruz” diyor Coplugil ve ekliyor ekliyor, “Gelecek olan düzenlemenin yatırımcı dostu olmakla birlikte sektörde hizmet veren birçok paydaşı da kucaklayıcı olmasını umut ediyoruz.” Amardeep Thandi, gerçek zamanlı işlem izlemeden, yaptırım taramalarına, birden fazla blockchain ağı, NFT’ler ve hatta DeFi protokollerine kadar derinlemesine analiz yapmaya olanak tanıyan gelişmiş soruşturma yetenekleri kadar, ayrıntılı risk tipolojilerini ve AML iş akışlarını ele alabilecek bilgiye ve bütünsel bir yetenek setine sahip olduklarını belirterek işletmelerle şu tavsiyeyi veriyor, “Dağıtık defter teknolojisine ve kripto varlık gelişmelerine yönelik bilgi ve farkındalığı artırmalarını, hem küresel hem de kendi yerel bağlamlarında meydana gelen suç eğilimlerini analiz ederek daha iyi hazırlanmalarını öneririm.”

SÖZÜN ÖZÜ: Kripto suçların sürekli artan sayısı endişe verse de geleneksel merkezi yaklaşımlar sayesinde bu suçlarla mücadele oldukça kolay bir hale geliyor.