Travel Rule Nedir?
FATF (Financial Action Task Force — Mali Eylem Görev Gücü) tarafından geleneksel bankacılık için oluşturulan Öneri 16, kripto varlıklar için 2019’da güncellendi. Bu “Seyahat Kuralı” (Travel Rule), belirli bir eşiği aşan kripto varlık transferlerinde gönderen ve alıcıya ait kimlik bilgilerinin bir VASP’tan diğerine iletilmesini zorunlu kılar.
Türkiye, 2024 kripto varlık düzenlemesiyle FATF’ın bu kuralını iç hukukuna entegre etmiş ve tüm KVHS (Kripto Varlık Hizmet Sağlayıcıları) için uygulanabilir hale getirmiştir.
Türkiye’de MASAK ve Travel Rule Yükümlülükleri
Hangi İşlemler Kapsama Giriyor?
MASAK mevzuatı kapsamında Türkiye’deki kripto borsaları için Travel Rule eşiği 1.000 USD (veya güncel TL karşılığı) üzerindeki transferlerde uygulanmaktadır.
Bu transferlerde karşı VASP’a iletilmesi gereken bilgiler:
Gönderici tarafından sağlanacaklar:
- Gönderenin adı/unvanı
- Gönderenin kripto cüzdan adresi veya hesap numarası
- Gönderenin fiziki adresi, ulusal kimlik numarası veya doğum tarihi/yeri
Alıcı VASP’tan talep edilecekler:
- Alıcının adı/unvanı
- Alıcının kripto cüzdan adresi veya hesap numarası
MASAK Şüpheli İşlem Bildirimleri
Travel Rule uyumunun ötesinde, her KVHS aşağıdaki durumlarda MASAK’a şüpheli işlem bildirimi (ŞİB) yapmakla yükümlüdür:
- Kimliği doğrulanamayan müşterilerden gelen transferler
- Yüksek riskli ülkelerle (FATF kara listesi) gerçekleştirilen işlemler
- Müşteri profilini aşan olağandışı büyüklükte işlemler
- Bilinen suç örgütleriyle bağlantılı cüzdan adresleri
Travel Rule Uyumunun Teknik Zorlukları
Travel Rule’u manuel olarak uygulamak; operasyonel açıdan son derece güç, hata olasılığı yüksek ve ölçeklenemeyen bir süreçtir. Temel zorluklar:
1. Karşı VASP Tanımlama (Counterparty Discovery) Bir transfer geldiğinde, karşı tarafın hangi borsaya kayıtlı olduğunu otomatik olarak tespit etmek gerekir. Bu süreç; VASP dizinleri (GLEIF, FinScan) ile entegrasyon gerektirmektedir.
2. Güvenli Veri İletişimi Kimlik verileri düz metin olarak iletilemez. Şifrelenmiş, imzalanmış ve denetlenebilir bir kanal üzerinden paylaşılmalıdır. Sektörde TRISA, OpenVASP ve Notabene gibi protokoller öne çıkmaktadır.
3. Bilinmeyen Cüzdanlar (Unhosted Wallets) Kullanıcı kendi özel cüzdanından (MetaMask, hardware wallet) işlem yaptığında, karşı taraf bir VASP değildir. Bu durumda FATF, borsadan ek kimlik doğrulama talep edilmesini öngörmektedir.
4. Veri Gizliliği ve KVKK Dengesi Kimlik verilerinin karşı VASP ile paylaşılması, KVKK’nın yurt dışına veri aktarım hükümlerini tetikleyebilir. Teknik çözümün bu dengeyi koruması zorunludur.
Legichain PRO: io40’ın Yerli Travel Rule Çözümü
io40 bu teknik zorlukların üstesinden gelmek için Legichain PRO adıyla bilinen yerli Travel Rule uyum çözümünü geliştirdi.
Legichain PRO’nun Temel Özellikleri
Otomatik VASP Tanımlama Transfer gelen cüzdan adresini sorgulayarak karşı borsanın kimliğini GLEIF ve TRISA dizinlerinden anlık olarak tespit eder.
Şifrelenmiş Bilgi Değişimi TRISA (Travel Rule Information Sharing Architecture) protokolü üzerinde çalışır; kimlik verilerini end-to-end şifrelenmiş kanalda iletir.
Yerli Sunucu Mimarisi Tüm veri işleme ve depolama Türkiye’deki veri merkezlerinde gerçekleşir. KVKK uyumu nativedir; ayrıca bir önlem almak gerekmez.
MASAK Raporlama Otomasyonu Şüpheli işlem eşiklerine ulaşıldığında otomatik ŞİB raporları oluşturur ve MASAK’ın dijital sistemine yükler. Operasyon ekibinin manuel müdahalesi minimize edilir.
Uyumsuzluk Kaydı (Compliance Audit Trail) Tüm Travel Rule mesajlaşmaları değiştirilemez log formatında arşivlenir; denetim süreçlerinde tam şeffaflık sağlanır.
Uygulama Süreci
Legichain PRO entegrasyonu tipik olarak şu aşamalardan oluşur:
- Teknik Değerlendirme (1 hafta): Mevcut borsa altyapısının Legichain API ile uyumluluğu test edilir.
- Sandbox Entegrasyonu (2-3 hafta): Test ortamında Travel Rule akışı simüle edilir.
- MASAK Bildirim Testi (1 hafta): ŞİB raporlama süreçleri doğrulanır.
- Canlı Geçiş ve İzleme (Sürekli): Üretim ortamında aktif izleme ve düzenli uyum raporu.
Sonuç
Travel Rule uyumu, Türkiye’de kripto borsa lisansı almak ve sürdürmek için artık vazgeçilmez bir koşuldur. Manuel süreçlerle bu uyumu sağlamak hem maliyetli hem de riskliyken, Legichain PRO gibi özelleşmiş bir çözüm operasyonel yükü minimize eder ve MASAK denetimleri karşısında güçlü bir konumlama sağlar.
io40 ekibi, regülasyon uyum sürecinizi en kısa sürede tamamlamanız için teknik ve danışmanlık desteği sunmaktadır.