Kripto Borsaları için AML Taraması

AML taraması, firmanın müşterilerini ve ödemelerini yaptırım kapsamındaki ve yüksek riskli tarafların yer aldığı listelerle karşılaştırır. Lisanslı bir firma bu taramayı, bu tarafların parasını hesaplarının dışında tutmak ve bunu yaptığını kanıtlamak için yürütür.

Bir kripto borsası ya da broker için pahalı olan kısım, bunu kanıtlamaktır; iş, bir ismin listeyle eşleştiği anda başlar. Birleşik Krallık Finansal Davranış Otoritesi (FCA), 150'den fazla firmada yaptırım kontrollerini incelediğinde yalnızca firmaların %44'ü isim tarama uyarısını bir iş günü içinde kapatmış , dörtte birinden fazlası ise üç ila beş güne ihtiyaç duymuştur. Bu süre, yeni listeye alınan bir müşterinin parasını çekmesine yetecek kadar uzundur.

Bu rehber dört kontrolü, bunları değerlendiren denetim otoritelerini ve B2BROKER'ın entegre back office'i dâhil olmak üzere bu kontrolleri yürütmenin üç yolunu ele alır.

AML Taraması Nedir?

Kara para aklamayla mücadele (AML) taraması, düzenlemeye tabi bir firmanın ele aldığı her müşteriyi, karşı tarafı ve ödemeyi yaptırım, siyasi nüfuz sahibi kişi (PEP) ve olumsuz medya verileriyle eşleştirerek kara para aklama ile terörün finansmanı riskini arar.

Tarama, hesap açık kaldığı sürece tekrarlanır. Yaptırım listesine bir gecede yeni bir isim eklenebilir; düşük riskli bir perakende yatırımcı, müşteri kabulünden bir yıl sonra bir PEP'in iş ortağı olabilir.

AB'de Kara Para Aklamayla Mücadele Tüzüğü (AMLR) 10 Temmuz 2027'den itibaren 27 üye devletin tamamında doğrudan uygulanır ve aynı müşterinin ülkeden ülkeye farklı kontrollerle karşılaşmasına yol açan ulusal iç hukuka aktarımların yerini alır.

Temel AML Tarama Kontrolleri

Eksiksiz bir tarama setindeki dört kontrolün her biri, diğer üçünün genellikle kaçırdığı bir riski kapsar.

Yaptırım Taraması

Yaptırım taraması, her müşteri ve karşı taraf adını ABD Yabancı Varlıklar Kontrol Ofisi'nin (OFAC) SDN listesi ile Birleşik Krallık Yaptırım Listesi gibi resmî listelerle hem müşteri kabulünde hem de liste her değiştiğinde karşılaştırır.

FCA'nın incelediği firmaların yalnızca yaklaşık üçte ikisi, liste güncellemesini bir gün içinde yükler. Düzenleyicinin kendi testinde tarama sistemleri, yaptırım uygulanan tarafı ad birebir eşleştiğinde uyarıların %90'ında, yazım farklılaştığında ise %75'inde yakalamıştır.

PEP Taraması

PEP taraması, üst düzey bir kamu görevini hâlen yürüten veya yakın zamanda bırakmış müşterileri, yakın aile bireylerini ve yakın ilişki içinde oldukları kişileri tespit eder ve hesabı geliştirilmiş durum tespitine (EDD) yönlendirir.

PEP eşleşmesi orantılı bir inceleme gerektirir: belgelenmiş fon kaynağı ve servet kaynağı, daha kısa bir gözden geçirme döngüsü ve hesap işlem yapmadan önce üst düzey yöneticinin onayı. Hesabı reddetmek şart değildir. FCA bu dosyalarda en sık, yapılmış ama hiç kayda geçirilmemiş incelemeyle karşılaşır; bir sonraki incelemede gösterecek kayıt kalmaz.

Olumsuz Medya ve Gerçek Faydalanıcı Kontrolleri

Olumsuz medya taraması, dolandırıcılık, yolsuzluk veya yaptırımlardan kaçınma üzerine güvenilir haberlerde adı geçen müşteriyi işaretler. Gerçek faydalanıcı kontrolleri, kurumsal hesabı holding şirketlerinin ardında kontrol eden kişiyi bulur. İkisi de riski, resmî bir liste yakalamadan önce yakalar.

FCA, firmaların en çok mülkiyette zorlandığını görmüştür. Çok katmanlı yapılarda mülkiyet zincirini yukarı doğru izleyememişler; bağlantı bir aracıdan geçtiğinde karşı tarafı yaptırım uygulanan kişiye bağlayamamışlardır. Kurumsal müşteride kontrol, tüzel kişiliğin ardındaki gerçek faydalanıcılara kadar inmelidir.

AML Mevzuatının Bugünkü Görünümü

Denetim otoritesinin artık dayandığı kanıt, uyarı verisidir. FCA, Şubat 2022'den bu yana firmaların tarama kalibrasyonunu onların finansal suç beyannameleriyle karşılaştırarak bizzat test etmekte ve başarısızlığın nerede olduğunu, eşleşmeyi uyarı eşiğinin altına düşüren hitap unvanlarına varıncaya kadar yayımlamaktadır.

AB aynı beklentiyi tek bir denetim otoritesinde topluyor. Şubat 2026'da yayımlanan ilk programlama belgesinde Avrupa Kara Para Aklamayla Mücadele Otoritesi (AMLA), yeni otoriteyi 2028'e kadar üye devletler genelinde tek bir AML kural kitabı ve yakınsayan denetime bağlamaktadır. Bunu yerine getirmek için kadro 120 kişiden 432 kişiye çıkmaktadır.

AML Taramasına Kimlerin İhtiyacı Var ve Neden

Müşteri parasını tutan veya hareket ettiren lisanslı bir forex broker, kripto borsası, prime broker veya fintech, kendisini lisanslayan ülkenin AML mevzuatı kapsamında yükümlüdür. Firmalar bu noktadan sonra hangi AML kontrollerini hangi ilişkilerde yürüttükleri ve sonucu hangi düzenleyicinin değerlendirdiği bakımından ayrışır.

Düzenleyicinin ne kadar sıkı bastığı, ülkenin kendi Mali Eylem Görev Gücü (FATF) döngüsünü izler. Döngü şu anda uygulamadaki etkinliği derecelendiren beşinci turdadır. Yerinde ziyaretini bekleyen bir ülke, ziyaret öncesinde firmalarına daha sert yüklenir; Birleşik Krallık için bu ziyaret Haziran 2027'dedir.

Forex Brokerlar ve MiFID Maruziyeti

Finansal Araç Piyasaları Direktifi (MiFID) kapsamında lisanslı bir forex broker, müşterilerini AML mevzuatı uyarınca müşteri kabulünde tarar. Piyasa Suistimali Tüzüğü (MAR) ise firmanın, müşterilerin nasıl işlem yaptığını izlemesini ve şüpheli emir ile işlemleri bildirmesini sürdürür. MiFID II müşteri sınıflandırması bu izlemeyi besler; yüksek hacimde riskten korunma işlemi yapan uygun bir karşı taraf ile birkaç lot işlem yapan perakende müşteri farklı izler bırakır.

Katmanlama, aksi hâlde temiz bir KYC dosyasında olağan işlem gibi görünür. Yalnızca gözetim ile tarama aynı müşteri kaydını okuduğunda ortaya çıkar.

Kripto Borsaları ve VASP Yükümlülükleri

Kripto borsası, FATF'ın 15 No'lu Tavsiyesi kapsamında sanal varlık hizmet sağlayıcısıdır (VASP). Forex broker'ın uyguladığı kontrollerin üzerine cüzdan adreslerini tarar ve Seyahat Kuralı (Travel Rule) uyarınca gönderen ile lehtar bilgilerini karşı taraf VASP ile paylaşır. AB'de bu veriler, tutarı ne olursa olsun her transferle birlikte gider.

Mevzuat, denetimden daha hızlı yayıldı. FATF'ın Temmuz 2026 güncellemesi, ankete katılan 109 yargı bölgesinden 91'inde Travel Rule mevzuatının yürürlükte olduğunu ortaya koyar; oran, bir yıl önce katılımcıların %73'üyken yükselmiştir. Bu 91 yargı bölgesinin %60'ı ise kural kapsamında henüz tek bir denetim tedbiri almamıştır.

Lisans, kontrolleri piyasaya erişimin koşuluna çevirir. Hong Kong'da 1 Ağustos 2025'ten beri itibari para referanslı stablecoin ihraç etmek için lisans zorunludur; lisansa kara para aklama ve terörün finansmanıyla mücadele (AML/CFT) rehberi de eşlik eder. Bu lisansı alan firma sayısı azdır. Nisan 2026'da düzenleyici 36 başvurudan iki lisans vermiştir .

Prime Brokerlar ve Kurumsal İşlem Masaları

Prime broker'ın maruziyeti, takas zincirindeki her firmadan geçer. Karşı taraflar, saklama kuruluşları ve likidite sağlayıcıları bu nedenle ilişkinin sürdüğü süre boyunca tarama altında kalır.

Burada belirleyici kontrol, karşı tarafa kimin sahip olduğu ve onu kimin kontrol ettiğidir. FCA'nın incelediği vakalarda, kurumsal grup içinde kalan bir bağ, karşı tarafın yaptırım uygulanan bir kişiye ait olup olmadığını gizlemeye yetmiştir. Aynı incelemede iyi değerlendirilen firmalar, her karşı tarafın faaliyetini müşteri kabulünde beyan edilen iş modeliyle karşılaştırmıştır.

AML Taraması Nasıl İşler

Tarama birbirine bağlı üç aşamada yürür: müşteri kabulü, sürekli izleme ve eskalasyon. Denetim otoriteleri, aksaklıkların çoğunu bu aşamalar arasındaki devirde bildirir. Üç aşama ayrı kayıt tuttuğunda ödeme sistemi, izlemenin çoktan işaretlediği para çekimini onaylar.

Müşteri Kabulü ve Müşteri Durum Tespiti

Müşteri kabulündeki tarama, müşterini tanı (KYC) kuralları uyarınca kimlik doğrulaması yapar, adı yaptırım listeleri ve PEP veritabanıyla eşleştirir ve hesap işlem yapabilmeden önce bir risk puanı atar.

Ardından risk temelli yaklaşım dosyanın derinliğini belirler. Düşük riskli bir ülkeden gelen perakende müşteriye standart müşteri durum tespiti (CDD) uygulanır; FATF gri listesindeki bir ülkeden gelen kurumsal hesabın açılması için fon kaynağının belgelenmesi ve üst düzey onay gerekir.

Bu kontrolleri tetikleyen eşikler, kriptoda diğer tüm sektörlerden daha düşüktür. AB AMLR uyarınca kripto varlık hizmet sağlayıcısı, tam durum tespitini 1.000 € tutarındaki arızi bir işleme uygular ve bu tutarın altında da müşteriyi tanımlar. Diğer finansal kuruluşların çoğunda ilk eşik 10.000 €'dur.

Sürekli İşlem İzleme

Yaptırım listesindeki her değişiklik, tüm müşteri tabanını yeniden tarar. Gerçek zamanlı izleme ters yönde çalışır: her para yatırma, çekme ve işlemi, müşterinin kabul sırasında göstermesi beklenen faaliyetle karşılaştırarak okur.

FCA'nın ihlal raporları bunun neyi yakaladığını gösterir: hesap sahibinin listeye alınmasından sonraki günler içinde çıkan fonlar ya da yaptırım uygulanan kişiyle bağı gizlemek için kripto cüzdanlarından geçirilen para. İkisi de yalnızca hesaba bağlı eksiksiz ödeme verisinde görünür.

B2CORE'da ödeme sağlayıcılarının tümündeki para yatırma ve çekme işlemleri, alınan tutar ile ücreti yatırma anında kaydeden tek bir Ödeme Sistemi Hizmeti üzerinden geçer.

Çalınmış bir giriş bilgisi, temiz hesabı başkasının parası için kanala çevirir; hesap güvenliği böylece izlemenin yanına gelir. B2CORE iOS uygulaması tanınmayan bir konumdan girişte, parola sıfırlamada veya 2FA değişikliğinde uyarı gönderir .

Eskalasyon ve Şüpheli Faaliyet Bildirimi

Eskalasyon, izleme uyarısını tespitle başlayan sabit bir süre içinde belgelenmiş bir karara dönüştürür. ABD'de para hizmetleri işletmesi olarak kayıtlı bir kripto borsası, şüpheli faaliyet bildirimini 2.000 $ ve üzeri işlemlerde tespitten itibaren 30 takvim günü içinde yapar; ek 30 gün yalnızca şüpheli tespit edilemezse tanınır.

Banka Gizlilik Yasası'nın (Bank Secrecy Act), USA PATRIOT Act ile değiştirilmiş hâli uyarınca aynı borsa; iç kontrolleri, ismen belirlenmiş bir uyum görevlisini ve sürekli personel eğitimini içeren yazılı bir AML uyum programı da bulundurur.

Burada aksaklık nadiren tespittedir. FCA incelemesindeki bir bankada uyarılar, yeni listeye alınan kişi için tetiklenmiş; kısıtlama uygulanmadan ödemeler yine de çıkmıştır. Düzenleyici, neden olarak ekipler arasındaki devri gösterir. Güçlü bulduğu uygulamalar ise olağandır:

• uyarıyı kapatmak için bir iç süre sınırı
• kapatılan her uyarıda yazılı gerekçe
• bu kapatmaları kalite açısından örnekleyen ikinci bir inceleyici

Sağlam İzleme Kuralları Kurmak

Bir izleme kuralı, analistleri uyarılara boğmadan gerçek riski yakaladığında yerini hak eder. Gerçek eşleşmeler öyle seyrektir ki ince ayar, kuralın kendisi kadar ağırlık taşır.

FCA verilerine göre müşterilerini periyodik tarayan firmaların %95'i 2022'den bu yana tek bir gerçek yaptırım eşleşmesi bulamamıştır . Bu firmalarda analistin açtığı her uyarı yanlış pozitifti.

Kuralı sıkılaştırmak bu maliyeti kaldırmaz, yerini değiştirir. Uyarı yine tetiklenir; fonlar çıkmadan önce birinin ona yetişip yetişmeyeceğini firmanın kendi hizmet seviyesi belirler. Bir tedarikçi eşikleri makine öğrenimiyle ayarlasa da bu ayarları açıklamak yine firmanın işidir. FCA bulguları, ayarların gözden geçirilmeden bırakılmasını zayıf uygulama sayar.

İşlem Eşikleri ve Katmanlama İşaretleri

Eşik kuralları, belirlenmiş bir tutarın üzerindeki tek işlemi işaretler. Katmanlama kuralları ise bu eşiğin altında kalmak üzere kurulmuş örüntüyü yakalar.

Önce tabi olduğunuz bildirim kuralından başlayın; örneğin ABD'de bir para hizmetleri işletmesinin şüpheli işlemi bildirdiği 2.000 $ alt sınırından. Tespit eşiklerini bunun altına koyun ki örüntü, bildirim yükümlülüğü doğmadan görünsün. Üç örüntünün her biri kendi kuralını hak eder:

• bir günde, bildirim eşiğinin hemen altında tutulmuş birkaç yatırma; yapılandırma tam olarak böyle görünür
• aynı hafta açılmış hesaplar arasında ilerleyen bir transfer zinciri
• arada işlem olmaksızın bir saat içinde çekilen bir yatırma

Yüksek Riskli Yargı Bölgesi İşaretleri

Yargı bölgesi işareti, kuralın puanına müşterinin ülke maruziyetini ekler. Taban, FATF'ın artırılmış izlemeye tabi veya harekete geçme çağrısına konu yargı bölgeleri listeleridir. Ülke maruziyeti pasaportla sınırlı kalmaz; ikamete ve parayı gönderen bankaya kadar uzanır ve her birinin kendi puanı vardır.

Ülke puanlarını kendiniz belirleyin. Firmaların bir tedarikçiden ülke risk notu alıp bunları hiç sorgulamadığı yerde FCA bir zafiyet işaretlemiş, bazı durumlarda bu notların FATF'ın kendi değerlendirmeleriyle çeliştiğini görmüştür.

Denetim otoritesi, uyarılarınızın gerisindeki kuyruğu değerlendirir; tek gerçek eşleşme, yanlış pozitiflerle aynı kuyrukta bekler.

Uyum için Kurmak, Satın Almak veya Ortaklık

AML tarama araçlarını kurum içinde kurabilir, bağımsız bir nokta çözümü satın alabilir veya taramayı entegre bir platformun parçası olarak alabilirsiniz. Her seçenek tarama verisini başka bir yere koyar ve kaçırılan uyarıyı açıklayacak kişiyi değiştirir.

Kurum içi kurulum, kurallar ve veri modeli üzerinde tam kontrol sağlar. Maliyet her yıl liste beslemelerinden, her liste değişiminden sonraki yeniden testten ve düzenleyici bir eşiği değiştirdiğinde hazır bekleyen geliştiricilerden oluşur. FCA'nın testinde, sistemin karakter sınırını aşıp sessizce başarısız olan uzun adlar bulunmuştur. Kendi filtresini kuran firma bu hatayı kendisi bulur.

Bağımsız bir nokta çözümü günler içinde devreye girer ve taramayı iyi yapar; kaydı ise CRM'den ve ödeme sisteminden ayrı tutar. Uyarı bir sistemde tetiklenir, hesap ikincisinde durur, para çekimi üçüncüsünde onaylanır.

Entegre bir iş ortağı, taramayı hesabı zaten açan ve para yatırmayı işleyen sistemin içine yerleştirir. Yönetişim yine sizde kalır. Birkaç firma, bir adın neden uyarı üretmediğini tedarikçisine sormak zorunda kaldığında FCA bu bağımlılığı zayıf uygulama saymıştır. Üç kayıt yerine tek kaydı yönetirsiniz.

Bir Bakışta Karşılaştırma

Seçimi beş ölçüt belirler.

Kurum içi kurulum; kendi mühendisleri, tek ürünü ve tek yargı bölgesi olan firmaya uyar. Kayıtlar bu çerçevenin dışında parçalandığı anda kendi maliyetini çıkarmayı bırakır.

B2BROKER Ekosisteminde AML Taraması

B2BROKER'ın ekosisteminde AML taraması, B2CORE içinde çalışır. Hesabı açan, KYC dosyasını tutan ve para yatırmayı işleyen back office budur. Tarama uyarıları ve dayanakları, KYC belgeleri ile ödeme geçmişinin yanında aynı müşteri dosyasında kalır.

B2CORE, aralarında KYC ve dolandırıcılık önleme sağlayıcılarının da bulunduğu 150'den fazla hazır entegrasyonla gelir. Bu sağlayıcıların ilettiği her sonuç müşteri kaydında kalır. Rol tabanlı kullanıcı grupları, hangi uyum görevlisinin hangi müşterileri göreceğini belirler; denetim izi, kimin neyi ne zaman değiştirdiğini kaydeder.

Aynı kayıt, altyapının geri kalanını da besler. Çok varlıklı likidite fiyatlamayı sağlar, B2TRADER işlem faaliyetini müşteri kaydına aktarır; B2BROKER'ın ortağı B2BINPAY ise B2CORE ile entegre çalışarak kripto ödeme ayağını üstlenir ve para yatırma ile çekimleri aynı uyum kaydında tutar.

Hizmetin hukuki ve yargı bölgesine bağlı sınırları vardır. Hüküm ve koşulları buradan inceleyin .

B2CORE CRM ve Entegre Ödemeler

B2CORE, müşteriyi dondurmadan uyum kaydını güncel tutar. v21 sürümü, müşteri taşındığında işlemini durdurmadan kaydı denetime hazır tutan dinamik adres doğrulama özelliğini eklemiştir. Aynı sürümdeki yargı bölgesine göre segmentasyon, özellikleri müşterinin ülkesine göre açar veya kapatır.

Ödeme tarafında Ödeme Sistemi Hizmeti, izleme kurallarına tek bir ödeme kaydı verir; aksi hâlde her sağlayıcı kendi kaydını tutardı.

Bu back office'i sunan taraf, düzenlemeye tabi bir işletmecidir. B2BROKER 2014'ten beri aracılık altyapısı kurar ve kendisine ait 10'dan fazla düzenleyici lisans taşır; her lisans, şirketlerinden birini müşterileriyle aynı AML yükümlülüklerine tabi kılar. 1.000'den fazla kurumsal müşteri bu altyapıyı kullanır.

Hangi yolu seçerseniz seçin, denetim otoritesi istediğinde uyarının, KYC dosyasının ve ödemenin nerede duracağından yola çıkın; B2BROKER ekibiyle bunu iş kollarınıza ve yargı bölgelerinize göre yerleştirin.