O "lütfen kimliğinizi yükleyin" penceresi
Çoğu kişi borsaya ilk kez kayıt olurken e-postayı doldurur, heyecanla para yatırmak ister, ama bir pencere yolunu keser: lütfen kimliğin ön ve arka yüzünü yükleyin, sonra yüz videosu çekin. İlk tepki genelde direnmek olur: "ben sadece biraz coin almak istiyorum, neden T.C. kimlik numaramı sana vereyim? Beni izleyecek misiniz?"
Bu direnç anlaşılır ama yönü biraz şaşmıştır. Bunu yapmanı zorunlu kılan, özünde "seni tanımak isteyen" bir borsa değil, onun üstündeki yasal kurallardır. KYC ve AML'nin ne olduğunu ve kime hizmet ettiğini anladığında, "hangisi uymak zorunda olduğun uyum süreci" ile "hangisi uyum kılığına girmiş kimlik avı tuzağı" arasındaki farkı ayırt edebilirsin. Asıl seni zarara sokan ikincisidir.
KYC ve AML ayrı ayrı nedir, neden var
Bu iki kısaltma sık sık birlikte geçer ama aynı şey değildir. İlişkileri "amaç" ile "yöntem" gibidir:
- AML = Anti-Money Laundering (kara para aklamayla mücadele), amaç budur. Suç gelirinin (dolandırıcılık, uyuşturucu, terör finansmanı vb.) finans sistemi üzerinden "aklanıp" meşru görünen paraya dönüşmesini önlemeye yönelik bir kurallar bütünüdür.
- KYC = Know Your Customer (müşterini tanı), yöntemlerden biridir. Kara para aklamayı önleme amacına ulaşmak için platform önce "hizmetimi kullanan kim" bilmek zorundadır, bu yüzden senden kimliğini doğrulamanı ister.
Başka deyişle: AML çizgisi baskı yaptığı için platform KYC yapmak zorunda kalır. Bu, bankada hesap açarken ya da hat alırken kimlik kaydetmenle aynı mantıktır; kripto borsası da aynı düzenleyici çerçeveye dahil edilmiştir. Kullanıcı kimliğini doğrulamazsa büyük ceza, lisans iptali, hatta kapatılma ile karşılaşabilir; o an parası hâlâ böyle bir platformda olan kullanıcının durumu daha da kötüleşir.
Platform tarafında AML genelde şöyle görünür: anormal tutarlı ya da anormal sıklıkta transferleri izlemek, şüpheli kalıpları işaretlemek, gerekirse hesabı dondurup yasaya uygun olarak düzenleyiciye bildirmek (Türkiye'de örneğin MASAK'a), ve suç gelirinin izini sürmede kolluğa yardım etmek. Bu eylemler "şüpheli para akışını" hedefler, her sıradan kullanıcının günlük alım satımını gözetlemeyi değil.
KYC kabaca nasıl bir süreçtir
Detaylar platforma göre değişir ama genelde limite göre katmanlıdır; ne kadar çok doğrularsan o kadar çok özellik kullanırsın:
| Kabaca seviye | Genelde gereken | Genelde açılan |
|---|---|---|
| Temel | E-posta, telefon numarası | Göz atma, bazen küçük tutarlı mini özellikler |
| Kimlik doğrulama | Ad, T.C. kimlik/pasaport/ehliyet, yüz/selfie doğrulaması | Coin yatırma-çekme, Lira giriş-çıkışı, normal limit |
| İleri doğrulama | Adres kanıtı (örneğin fatura, banka ekstresi) | Daha yüksek limit, büyük tutarlı çekim |
Süreç çevrimiçi ilerler; inceleme süresi ve limitler borsadan borsaya değişir. Senin elindeki kısım belgeyi düzgün göndermek: kimlik kartı kadrajın tamamında, kılıfsız ve parlamasız görünsün, ad ve doğum tarihi kimliktekiyle aynı yazılsın, selfie'yi yüzün ışığa dönükken çek. Başvuru reddedilirse uygulama sebebini gösterir; yalnızca o noktayı düzeltip aynı uygulamadan yeniden gönder. Fotoğraf yüzünden reddedilmenin en sık sebepleri Binance kayıt rehberinde tek tek anlatılıyor.
Binance TR'de kimlik doğrulama hangi adımlardan oluşuyor?
Binance TR'nin kendi yardım rehberine göre yalnızca yeni tip T.C. kimlik kartı kabul ediliyor; eski nüfus cüzdanı, pasaport ya da ehliyetle ilerleyemezsin. Sıra şöyle:
- Kimlik kartının fotoğrafı ve uygulama içinde canlılık kontrolü: kamera başını sağa sola çevirmeni ve göz kırpmanı ister.
- Adres formu ve e-Devlet'ten alınan barkodlu Yerleşim Yeri (İkametgâh) Belgesi. Belgeyi başvurudan hemen önce indir ki barkodu doğrulanabilsin.
- Kısa bir görüntülü görüşme. Bu adım, 25 Aralık 2024 tarihli ve 32763 sayılı Resmî Gazete'de yayımlanan MASAK düzenlemesi değişikliğinin ardından eklendi.
Değişmeyen tek ilke: bu adımlar yalnızca borsanın resmi uygulamasında ya da resmi sitesinde yapılır.
KYC yapmazsan ne olur
Kullandığın platformun türüne bağlıdır:
| Platform türü | KYC yapmadan | KYC yaparak |
|---|---|---|
| Merkezi borsa (CEX) | Genel sonuç: Lira giriş-çıkışı, çekim ve temel özellikler kısıtlanır ya da kullanılamaz | Tam özellik açılır; hesap sorun çıkardığında izlenebilir platform ve kimlik kaydı olur |
| Merkeziyetsiz borsa (DEX) | Genelde KYC istenmez, cüzdanı bağla doğrudan coin takas et | İlgisiz; ama fiat yolu da yok, müşteri hizmeti de yok, sorun çıkarsa her şey sana kalır |
Yani CEX'te "KYC yapmamak" çoğu zaman "daha özgür" değil, "para girer ama çıkamaz" demektir; DEX'te KYC'siz olsa da müşteri hizmetinden, fiat girişinden ve hesabı kurtarma ihtimalinden vazgeçersin, öz saklama (self-custody) riskinin tamamı sana yüklenir. İkisinin de bedeli vardır, "hem o hem bu" diye bedava bir öğle yemeği yoktur.
Bölgeler arası farklar
KYC/AML gereklilikleri her bölgenin düzenleyicisi tarafından belirlenir, bu yüzden aynı platform farklı ülke/bölgede açabileceğin özellikler, vereceğin belgeler, hatta kayıt olup olamayacağın bakımından farklı olabilir. Bazı bölgeler kripto işlemlerini sıkı düzenler, kimlik doğrulama ve limit zorunlu kılar (Türkiye'de kripto varlık hizmet sağlayıcılar SPK'nın düzenleme kapsamındadır); bazıları görece gevşektir; bazıları kimi hizmetleri doğrudan kısıtlar ya da yasaklar.
Türkiye'de çerçeve, 2 Temmuz 2024'te Resmî Gazete'de yayımlanıp aynı gün yürürlüğe giren 7518 sayılı Kanun'la kuruldu: kripto varlık hizmet sağlayıcılar SPK'nın düzenleme ve denetimine girdi. Kara para aklamayla mücadele tarafında MASAK kuralları işliyor. 25 Şubat 2025'ten beri 15.000 TL ve üzeri transferlerde gönderenin ve alıcının kimlik bilgileri iletilip kontrol ediliyor. 28 Haziran 2025'te yürürlüğe giren MASAK tebliğine göre Türkiye'deki platformlarda bir varlığı aldıktan, takas ettikten ya da yatırdıktan sonra çekim için en az 48 saat, hesaptaki ilk çekimde en az 72 saat beklemek gerekiyor ve her transfere en az 20 karakterlik bir açıklama yazılıyor.
Bu iki şey demek: birincisi, başkasının başka bir ülkedeki deneyimini kendi yerindeki standart sayma; ikincisi, kısıtlamayı aşmak için bölgeni teknik hileyle gizlemek genelde platform şartlarını ihlal eder, fark edildiği an hesap ve içindeki varlıklar dondurulabilir. Türkiye'de bir platforma belge yüklemeden önce adını SPK'nın Faaliyette Bulunanlar Listesi'nde ara. Bu liste geçiş dönemi için tutulan bir bilgi listesi; SPK, listede yer almanın izin anlamına gelmediğini sayfada açıkça yazıyor. Listede adı hiç geçmeyen ya da erişim engeli getirilmiş bir siteye kimliğini verme: SPK Aralık 2024'te, 50'den fazlası kripto borsası olmak üzere 108 siteye izinsiz hizmet verdikleri için erişim engeli getirdi.
Gizlilik kaygısı ve belge güvenliği
"Kimliği platforma fotoğraflamak güvenli mi" makul bir kaygıdır ve "uyum için işte uy" denerek geçiştirilemez. Açıkçası: gerçekten hassas bilgi veriyorsun, risk sıfıra inmez ama belirgin azaltılabilir.
Belge riskini en aza indir
- Yalnızca uyumlu, itibarı oturmuş büyük platformlarda yap. Onların veri korumasına yatırımı, kaynağı belirsiz küçük platformlarla kıyaslanamaz; küçük platformların veri kabiliyeti zayıf olabilir ya da zaten kaçmaya niyetli olabilir.
- İki adımlı doğrulamayı (2FA) aç, SMS'i tek katman yapma. Şifre sızsa bile fazladan bir engel kalır.
- Bazı durumlarda belge fotoğrafına filigran eklenebilir ("yalnızca şu platform, şu amaç için" yaz), sızarsa yeniden kullanım değerini düşürür; ama yapılabilir mi ve incelemeyi etkiler mi, platformun şartlarına bağlıdır.
- "KYC verisi sızıntısı" sonrası hassas dolandırıcılığa dikkat et. Bir platform veri sızıntısı yaşarsa, dolandırıcı gerçek adını söyleyip müşteri hizmeti taklidi yapabilir. Buna karşı ekstra dikkatli ol, "adımı bildi" diye gevşeme.
Kimlik bilgilerim sızdı, şimdi ne yapmalıyım?
- E-posta ve borsa şifreni hemen değiştir; iki adımlı doğrulamayı yalnızca SMS'e bırakma, bir doğrulayıcı uygulamaya ya da geçiş anahtarına (passkey) taşı.
- Adına hesap açıldığını ya da işlem yapıldığını fark edersen karakola, Cumhuriyet Başsavcılığına ya da Siber Suçlarla Mücadele Şube Müdürlüğüne şahsen başvur. Yanında ıslak imzalı bir dilekçe ve kanıtların çıktısı olsun: ekran görüntüleri, gelen mesajlar, banka dökümü. Emniyet Genel Müdürlüğü'nün açıklamasına göre taranmış dilekçeyi e-postayla göndermek yetmiyor; suç duyurusu e-Devlet üzerinden de yapılamıyor.
- Hedefli dolandırıcılığı bekle: adını ve T.C. kimlik numaranı bilen bir "müşteri temsilcisi" telefonla ya da WhatsApp'tan kod, şifre ya da "hesabını korumak için" transfer ister. Borsa bunları istemez. Para gönderdiysen hemen bankanı ara, işlemin geri çağrılmasını ve blokaj konmasını iste, aynı gün savcılığa başvur; FAST ile giden parada ilk saatler belirleyici. Acil durumda 112'yi ara.
Belgeni yüklemeden önce: nerede olduğunu ve kime verdiğini doğrula
Herhangi bir belge yüklemeden önce bir dakika ayırıp şu iki şeyi yap; belgenin kötüye kullanılma riskinin neredeyse tamamını engelleyebilir:
- Gerçekte hangi sayfada olduğunu doğrula. Tarayıcının adres çubuğunun platformun gerçek resmi alan adı olup olmadığını kontrol et, ya da resmi uygulama mağazasından indirdiğin uygulamayı kullan. Kimlik avı siteleri resmi siteye neredeyse birebir benzer, sadece adreste ele verir. Her zaman resmi kapıdan gir; yabancı bağlantılara ya da "müşteri hizmeti" mesajındaki bağlantılara tıklayıp oradan KYC yapma.
- Düzenleyicinin neyi denetlediğini anla ki kafanda bir terazi olsun. Kara para aklamayla mücadele standartları FATF (Mali Eylem Görev Gücü, fatf-gafi.org) gibi uluslararası kuruluşlardan gelir; Türkiye'de kripto platformlarını 7518 sayılı Kanun'la SPK düzenleyip denetliyor; kimlik doğrulama ve şüpheli işlem bildirimi kuralları MASAK'tan geliyor. "Kimlik doğrulama yükümlülüğünü bu kamuya açık kuralların ittiğini" bilince şunu daha kolay ayırt edersin: resmi süreç yalnızca resmi platformun içinde gerçekleşir, "üçüncü tarafa belge yüklemeni isteyen" her şey anormaldir.
Unutma: SPK listesinde yer almak bir platformun geçiş döneminde faaliyet bildirdiğini gösterir, izin aldığını değil. Bu yazı hukuki danışmanlığın yerini tutmaz.
Dolandırıcılık uyarısı: KYC aracısı arama
"KYC aracısı" uğraşı azaltsın mı? O, hesabı ve kimliği iki elinle teslim etmektir
İnternette "KYC aracısı" ya da "doğrulamayı senin yerine geçeyim" hizmeti satanlar var; kulağa kolay gelir ama yüksek riskli bir tuzaktır. Kesinlikle hiçbir KYC aracısı hizmeti kullanma ve belgeni sözde yardım eden bir aracıya verme. Sebepleri:
- Kimlik bilgin doğrudan yabancılara sızar. Kimlik ve yüz verisi bir kez teslim edildiğinde başka hesap açmak, kredi başvurusu yapmak ya da satmak için kullanılabilir; sonucu telafi edilemez.
- Bu, neredeyse tüm platformların kurallarını ihlal eder. Hesap gerçek sahibiyle uyuşmadığında, risk sistemi fark eder etmez hesap istediği an dondurulabilir ya da yasaklanabilir, içindeki varlıklar geri alınamayabilir.
- Başkasının kimliğiyle açılan hesap özünde senin değildir. Karşı taraf o hesabın gerçek kimliğini tutar, teoride dönüp varlıklarını tehdit edebilir.
- Daha da muhtemeli, baştan zaten dolandırıcılıktır. Birçok "aracı" parayı alıp belgeni aldıktan sonra kaybolur, ya da seni varlığını "doğrulama için" bir hesaba göndermeye kandırıp alıp kaçar.
Doğru yöntem tek: kendin, resmi uygulama/sitede, kendi adına belgenle KYC'yi tamamla. Ne kadar can sıkıcı olursa olsun, kimliği ve varlığı başkasına teslim etmekten iyidir.
Kimlik doğrulama üstüne dolaşan yanlış inanışlar
Bu konuyu kimin daha çok önemsemesi gerekir
Bu yazı sana özellikle yararlı, eğer
- Merkezi bir borsaya kayıt olup Lira ile para yatırıp çekeceksen;
- "Kimliği teslim etmek" konusunda içine sinmiyorsa ve hangisi uymak zorunda, hangisi tuzak ayırmak istiyorsan;
- Çevrende biri "KYC aracısı" ya da "doğrulamayı geçeyim" öneriyorsa ve kullanılabilir mi diye kararsızsan.
Lütfen önce dur, eğer
- "KYC'yi tamamlamak" için sohbet/e-postadaki bağlantıya tıklamak üzereysen, önce resmi uygulamaya/siteye dönüp alan adını doğrula;
- Kimlik doğrulaması için aracı arama dürtüsüne kapıldıysan; bu adım kimliği ve hesabı aynı anda tehlikeye atar;
- Biri müşteri hizmeti gibi davranıp gerçek adını söyleyerek "doğrulamaya yardım için" doğrulama kodu ya da transfer istiyorsa; resmi platform böyle para ya da kod istemez.
SSS
KYC nedir?
Borsanın kimlik doğrulama süreci: kimlik ve selfie göndererek kimliğini doğrularsın. Yasal zorunluluktur.
KYC yapmazsan ne olur?
CEX'te özellikler kısıtlanır. DEX'te KYC gerekmez ama fiat özelliği yoktur.
AML nedir?
Kara para aklamayla mücadele kuralları. Borsa, suç gelirinin girmesini önlemek için anormal işlemleri izler.
Türkiye'de kripto borsalarını kim denetliyor?
SPK. 2 Temmuz 2024'te yürürlüğe giren 7518 sayılı Kanun'la kripto varlık hizmet sağlayıcılar SPK'nın düzenleme ve denetimine girdi. Kara para aklamayla mücadele tarafında MASAK kuralları geçerli: 15.000 TL ve üzeri transferlerde kimlik bilgisi aktarımı, çekimlerde 48 saat, ilk çekimde 72 saat bekleme. SPK'nın Faaliyette Bulunanlar Listesi'nde yer almak izin anlamına gelmiyor; SPK bunu listenin sayfasında belirtiyor.
Binance TR kimlik doğrulaması için hangi belgeler gerekiyor?
Binance TR'nin kendi rehberine göre yalnızca yeni tip T.C. kimlik kartı kabul ediliyor. Kimlik fotoğrafı ve canlılık kontrolünden sonra adres formu ile e-Devlet'ten alınan barkodlu Yerleşim Yeri Belgesi isteniyor; son adım kısa bir görüntülü görüşme. Hepsi Binance TR uygulamasının içinde yapılır, belgeyi başka bir siteye ya da kişiye göndermen gerekmez.
Kaynaklar
- FATF (Mali Eylem Görev Gücü) — Kara para aklamayla mücadelede uluslararası standartları belirleyen hükümetler arası kuruluş.
- SPK: Faaliyette Bulunanlar Listesi — Türkiye'de faaliyet bildiren kripto varlık hizmet sağlayıcıların geçiş dönemi listesi; listede olmak izin anlamına gelmez.
- Resmî Gazete, 2 Temmuz 2024 — kripto varlık hizmet sağlayıcıları SPK denetimine alan 7518 sayılı Kanun.
- EGM Siber Suçlarla Mücadele: Sıkça Sorulan Sorular — şikâyetin nereye ve hangi belgelerle yapılacağı.