ABD Hazine Bakanlığı’nın “Merkezi Olmayan Finansın Yasadışı Finans Risk Değerlendirmesi”ne Yakından Bakış

ABD Hazine Bakanlığı, merkezi olmayan finans (DeFi) hizmetlerinden kaynaklanabilecek potansiyel tehlikeler üzerine ilk analizini yayınladı ve kara para aklamayı önleme (AML) ve terörizmin finansmanını önleme (CFT) düzenlemelerine uymayan DeFi platformlarının mevcut en önemli yasadışı finans riskini oluşturduğunu sonucuna vardı.

Rapor, DeFi hizmetlerinin sık sık merkezi kontrol ve denetim uygulayan bir yönetişim organına sahip olduğunu buluyor.

Rapor ayrıca, DeFi hizmetlerinin sık sık AML/CFT kontrolleri veya müşteri tanımlama süreçlerini uygulamadığını, bu durumun gelirlerin anında ve takma adlarla katmanlaştırılmasına izin verdiğini uyarıyor. Sonuç olarak, DeFi suçlular, hackerlar ve Kuzey Kore Demokratik Halk Cumhuriyeti (DPRK) suç gelirlerini aklamak için kötü niyetli aktörler için bir yuva haline gelmiştir.

Hazine, ABD AML/CFT gereksinimlerine ve DeFi hizmet kurallarına olası iyileştirmeleri değerlendirmeyi ve gelecekteki eylemleri yönlendirmek için özel sektörden görüş almayı önerdi.

“Açıkça, bunu tek başımıza yapamayız,” dedi Brian Nelson, Hazine’nin terörizm ve finansal istihbarat müsteşarı. “Risk değerlendirmesinin bulgularını kendi risk azaltma stratejilerinizi şekillendirmek için özel sektöre çağırıyoruz.”

Rapor ayrıca AML/CFT düzenleyici denetiminin güçlendirilmesi ve DeFi hizmetleri için uyum kontrolleri konusunda özel sektöre ek rehberlik sağlanması gerektiğini vurguluyor. Ayrıca, DeFi hizmet sağlayıcılarının ilgili düzenleyicilere kaydolması ve suçlu istismarını önlemek için yeterli AML/CFT kontrolleri kurup sürdürmesi öneriliyor.

DeFi, ticari faaliyetlerin arkasındaki bireyleri tanımlamada zorluklar yaratabilse de, rapor hizmetlerin merkezi ya da merkezi olmayan durumlarından bağımsız olarak Banka Gizlilik Yasası’na tabi olduğunu vurguladı.

Nelson’a göre, tamamen merkezi olmayan olduğunu iddia eden bazı kuruluşlar, iddialarından daha çok geleneksel finansla benzer faaliyetlerde bulunabilir. Bu nedenle, aksine iddia etseler de gerçekten merkezi değiller. Nelson, bu kuruluşların sadece isim olarak merkezi olduğunu öne sürüyor.

Piyasa Yapısı

40 sayfalık 2023 DeFi Yasadışı Finans Risk Değerlendirmesi raporu Çarşamba günü yayınlandı ve DeFi hizmetlerini AML/CFT düzenleyici yükümlülükleri bağlamında ele alıyor.

ABD’de AML/CFT yükümlülükleri, bir kişinin yürüttüğü faaliyetlere göre belirlenir. Bankalar, yatırım fonları, aracılık şirketleri, para hizmeti işletmeleri (MSB’ler), vadeli işlem komisyoncuları (FCM’ler) ve tanıtım komisyoncuları gibi finans kurumlarının AML ve CFT düzenlemelerine uyması gerekir.

Bu yükümlülükler, etkili bir AML programı uygulamayı ve şüpheli faaliyet raporlaması (SAR) gibi kayıt tutma ve raporlama gereksinimlerini sürdürmeyi içerir.

Emtia Vadeli İşlem Komisyonu (CFTC), Finansal Suçlar Uygulama Ağı (FinCEN) ve Menkul Kıymetler ve Borsa Komisyonu (SEC) bu faaliyetleri düzenliyor ve bir kişinin ne kadar merkezi olduğu, finans kurumlarının AML/CFT yükümlülüklerini etkilemiyor, rapor belirtiyor.

Bir DeFi hizmeti, işini tamamen ya da büyük ölçüde ABD’de yürütüyor ve sanal varlıkları kabul edip aktarıyorsa, muhtemelen bir para aktarımcısı olarak sınıflandırılacak ve fiat para hizmeti sunan bir para aktarımcısı gibi aynı AML/CFT yükümlülüklerine tabi olacaktır, diye ekledi. Raporda ayrıca, hizmet BSA (Bankacılık Gizlilik Yasası) veya diğer düzenleyici çerçeveler kapsamında bir finans kurumunun tanımını karşıladığı sürece, merkeziyet derecesinin bu yükümlülükler üzerinde etkisi olmadığı belirtildi.

Rapor, kripto endüstrisinin DeFi alanında, özellikle bir varlığın menkul kıymet olarak nitelendirilmesi, hangi düzenleyicilere kayıt olunacağı ve DeFi hizmetlerinin bir finans kurumu tanımına uyup uymadığı konularında düzenleyici netliğin yetersiz olduğunu iddia ettiğini, ancak CFTC, FinCEN ve SEC’in son on yılda rehberlik ve uygulama eylemleriyle düzenleyici yükümlülükleri netleştirdiklerini savunduğunu belirtiyor. Bu ajanslar ayrıca, akıllı sözleşmeler veya bilgisayar kodu aracılığıyla belirli işlevlerin otomatikleştirilmesinin, kapsanan hizmetleri sunan finans kurumlarının yükümlülüklerini etkilemediğini vurguluyor.

Ayrıca, ABD’de herhangi bir varlığı olan veya ABD vatandaşları tarafından yönetilen DeFi hizmetleri, Hazine’nin Dış Varlık Kontrol Ofisi (OFAC) tarafından yürütülen ekonomik yaptırım programlarına uymak zorundadır. ABD dışı kişiler de bazı durumlarda OFAC yaptırım uyum yükümlülüklerine sahiptir. Bu yükümlülükler, bir işlemin sanal varlıklarla mı yoksa geleneksel fiat para birimiyle mi yapıldığına bakılmaksızın aynıdır.

Fonksiyonel Olarak Merkezi Olmayan DeFi Hizmetleri

DeFi hizmetlerindeki merkeziyet unsurları tartışılırken, rapor DeFi hizmetlerinin merkeziyetinin yönetişim yapıları, hizmete erişim noktaları ve hizmetin inşa edildiği uzlaşma katmanı tarafından etkilenebileceğini belirtiyor.

Bu nedenle, DeFi hizmetleri tamamen merkezi olmayan olduğunu iddia edebilir, ancak gerçekte bu hiç doğru değildir, diye belirtiyor. Aslında, tam merkeziyet iddialarına rağmen, rapor DeFi hizmetlerinde sıklıkla yönetişim yapılarının bulunduğunu ve belirli durumlarda bir DeFi hizmetinin sahibi veya operatörünün, sözleşme şartlarına göre hizmetin akıllı sözleşmelerini değiştirme veya devre dışı bırakma yetkisi veren bir yönetim anahtarına sahip olduğunu belirtiyor.

Rapor ayrıca, yönetişimin bir DAO tarafından yönetildiği iddia edildiğini ve yönetişim token’larının katılımcıların bir blokzincir veya protokolün işlevini belirleyen önerileri sunup oylamasına izin verdiğini belirtiyor.

Bununla birlikte, önerileri sunma ve oylama süreci, kararın geçmesi için gereken oy yüzdesi ve kararın uygulanma şekli DeFi hizmetine göre büyük ölçüde değişiklik gösterir. Ayrıca, yönetişim token’ları veya oy haklarının yoğunlaşması, az sayıda kişinin yüksek derecede kontrol sahibi olmasına yol açabilir.

Uygulama geliştiricileri, DeFi hizmetlerinin kullanılabilirliği açısından daha da kritiktir ve uygulamalar aracılığıyla sağlanan bilgiler, DeFi altyapısını kullanan işlemler için bütünleyici olabilir. Uzlaşma katmanı blokzincirleri de merkeziyet derecelerinde farklılık gösterebilir, diyor.

DeFi hizmetlerinin çalıştığı çoğu blokzincir izinsizdir, yani kullanıcıların ağ etkinliklerine katılmak için önceden onay almaları gerekmez, rapor okur ve ekler: bazı blokzincirler ise diğerlerinden daha merkeziyetlidir ve bu durum üzerine inşa edilen DeFi hizmetlerinin merkeziyet derecesini etkileyebilir.

Yasadışı Finans Tehditleri

Yasadışı finans tehditlerini ele alırken, rapor DeFi hizmetlerinin siber suçlular ve dolandırıcılar gibi yasadışı aktörler tarafından, illegal gelirlerini aklamak için nasıl suistimal edilebileceğine dair kırılganlıklarını tartışıyor.

Suçlular, siber güvenlik zayıflıklarını kullanarak DeFi hizmetlerine sızıp sanal varlıkları çalıyor, rapor Kuzey Kore’nin, uluslararası yaptırımların baskısı altında, hem merkezi VASP’lerden hem de DeFi hizmetlerinden giderek daha fazla kripto çaldığını belirtiyor.

Kara para aklama, DeFi hizmetleriyle ilişkili önemli bir sorundur ve suçlular çeşitli yöntemler ve hizmetler kullanarak, sanal varlıkları diğer sanal varlıklarla takas etmek, çapraz zincir köprüleri, karıştırıcılar ve likidite havuzlarını katmanlama yöntemi olarak kullanmak gibi yollarla gelirlerini aklamaktadır, diyor.

Rapora göre, zincir atlaması, kolluk kuvvetlerinin finansal işlemleri izlemeyi zorlaştırmak için kullanılıyor; karıştırıcılar bir işlemin kaynağını, hedefini veya miktarını gizliyor ve likidite havuzları ticaret ücretlerinden fon üreterek, yasa dışı gelirlerin izlenmesini zorlaştırıyor.

Bu hizmetler suçlular için cazip çünkü müşteri kimlik bilgisi sağlamaları gerekmiyor, bu da hizmetleri tespit edilmeden kullanmalarını kolaylaştırıyor, rapor belirtiyor.

Farklı yasadışı faaliyet türleri tartışılırken, rapor son yıllarda daha ciddi ve sofistike hâle gelen fidye yazılım saldırılarını da kapsıyor. Diğer tür hırsızlık; siber suçlular, DeFi hizmetlerini yöneten akıllı sözleşmelerdeki güvenlik açıklarını kullanarak milyarlarca dolar değerinde sanal varlık çalıyor. Dolandırıcılık ve sahtekarlık da birden fazla ABD hükümeti ajansı tarafından rapor edilen sanal varlık kayıplarında keskin bir artış görüyor.

Rapor ayrıca, uyuşturucu kaçakçılığı örgütlerinin fonlarını aklamak için sanal varlıkları kullanma konusunda daha rahat hale geldiğini ve DPRK’nin yasa dışı kripto faaliyetlerine dahil olduğunu, bu faaliyetlerin yasa dışı silah programları için gelir sağladığını belirtiyor.

DeFi’deki Güvenlik Açıklarının Nedenleri

Hazine’nin DeFi raporundaki yasadışı finans risk değerlendirmesi, ABD’de faaliyet gösteren ve AML/CFT kontrolleri ya da müşteri tanımlama süreçlerini uygulamayan uyumsuz DeFi hizmetlerinin, DeFi hizmetlerindeki mevcut güvenlik açıklarından sorumlu olduğunu belirledi.

Bu tür DeFi hizmetleri, gelirlerin uzun alfanümerik karakter dizileriyle, isim ya da kişisel tanımlayıcı bilgi yerine, anında ve takma adlarla katmanlaştırılmasına izin verir.

BSA kapsamında faaliyet gösteren DeFi hizmetleri AML/CFT yükümlülüklerine sahiptir ve ABD yargı yetkisi altındaki tüm DeFi hizmetleri, kapsanan finans kurumları olup olmamasına bakılmaksızın yaptırım uyum yükümlülüklerine tabidir, rapora göre.

Aracıların ortadan kaldırılması da bir diğer faktördür; bu, barındırılmayan cüzdan kullanıcılarının dijital varlıklarını düzenlenmiş bir finans kurumuna başvurmadan saklamasına ve transfer etmesine olanak tanır. Bu durumda, BSA altında mevcut finans kurumu tanımının dışındaki DeFi hizmetleri AML/CFT önlemleri uygulamayabilir.

Yasadışı aktörler, AML/CFT rejimlerinin sınırları ve boşlukları nedeniyle düzenleyici arbitrajdan faydalanabilir; bu, VASP’lerin, belirli DeFi hizmetleri dahil, yetersiz ya da hiç AML/CFT kontrolü olmadan yurt dışında faaliyet göstermesine izin verir ve bu da ABD finans sistemine tehdit oluşturur, rapor belirtiyor.

Azaltma Önlemleri

Rapor, DeFi ile ilgili riskleri azaltmak için DeFi hizmetlerine yönelik düzenleyici denetimin artırılmasının gerekliliğini vurguluyor.

Azaltma önlemleri kapsamında, rapor DeFi hizmetleri için küresel ve yerel düzeydeki düzenleyici çerçeveleri açıklıyor ve sanal varlık ve DeFi ekosistemine özgü unsurların hafifletici etkilerini inceliyor. Raporda bu önlemlerin yasadışı finans risklerini kısmen hafifletebileceği, ancak belirlenen güvenlik açıklarını yeterince ele almadığı belirtiliyor.

ABD AML/CFT düzenleyici çerçevesi, ülkede faaliyet gösteren DeFi hizmetlerine ilişkin yasadışı finans risklerini ele almak için temel bir azaltma önlemi olarak görülüyor. Uluslararası forumlarda, özellikle FATF’te, standartların geliştirilmesi ve bu standartların uygulanmasının teşvik edilmesi, DeFi hizmetlerine ilişkin yasadışı finans risklerini ele almakta önemli bir rol oynayabilir, diyor.

DeFi hizmetlerini içeren işlemler genellikle halka açık blokzincirlerde gerçekleşir ve takma adlı işlem verileri blokzincirin halka açık defterinde görülebilir ve izlenebilir, bu da yetkililerin yasa dışı gelir akışlarını izlemelerine yardımcı olabilir. (Halka açık ve özel blokzincirler arasındaki farkları öğrenmek için buraya tıklayın)

Bununla birlikte, merkezi olmayan finans (DeFi) alanında yasa dışı finansal faaliyetleri azaltma zorluğu hafife alınmamalıdır. Halka açık blokzincir verileri bazı içgörüler sunsa da, doğasında sınırlamalar barındırır ve önemli engeller oluşturur. Bu dijital defterlerin takma adlı doğası, kullanıcıların karıştırıcılar, çapraz zincir köprüleri ve anonimleştirilmiş kripto paralar (AEC’ler) gibi taktikleri, işlemlerin izini bulmayı etkili bir şekilde bulutlandırabilir. Sonuç olarak, DeFi alanındaki etkinliklerin takibi ve izlenmesi giderek daha karmaşık ve zorlayıcı hâle gelmektedir.

Hazine ayrıca, kripto endüstrisinin bazı katılımcılarının, katman 2 teknolojisi veya özel blokzincirler gibi kripto işlemlerinin gizliliğini artırma önlemlerini araştırdığını ve bu durumda halka açık defterler görüntülenemeyecek ve blokzincir izleme uygulanamayacak şekilde olduğunu belirtiyor.

DeFi kullanıcıları, sanal varlıkları fiat para birimine dönüştürmek ve mal/hizmet satın almak için merkezi VASP’lere erişmek zorunda kalabilir, ancak merkezi VASP’lerin AML/CFT programlarına dayanmak, uyumsuz DeFi hizmetleriyle ilgili riskleri yalnızca kısmen azaltır, diyor.

Rapora göre, birçok merkezi VASP, uluslararası AML/CFT standartlarına uyumsuzdur ve genellikle zayıf ya da hiç AML/CFT gereksinimi olmayan yargı bölgelerinde bulunur. Ayrıca, bu gereksinimlere tabi olan ancak hizmetleri için gerekli AML programlarını uygulamayan merkezi VASP’lerin de olduğu tespit edilmiştir.

Ajans, sanal varlıkların daha fazla benimsenmesinin, birçok işlem için merkezi VASP’lere olan ihtiyacı azaltabileceğini belirtti. Şu anda çoğu tüccar, işletme ve finans kurumu sanal varlıkları ödeme aracı olarak kabul etmese de, sanal varlıklar daha yaygın kabul gördükçe ve bu gerçekleştiğinde, doğrudan ödeme aracı olarak sanal varlıkların kullanımının artacağını ve merkezi VASP’lere bağımlılığın azalacağını ekledi.

Riskleri Ele Almak İçin Önerilen Eylemler

Rapor, DeFi alanının genel sanal varlık ekosisteminin küçük bir kısmını oluşturduğunu ve yasadışı faaliyetlerin çoğunun kripto yerine fiat para birimi veya geleneksel varlıklar kullanılarak gerçekleştiğini kabul ediyor. Bununla birlikte, rapor DeFi hizmetleriyle ilişkili riskleri ele almak için daha fazla eyleme ihtiyaç duyulduğunu öneriyor.

Rapor, ABD kripto faaliyetlerinin AML/CFT denetiminin güçlendirilmesi dahil olmak üzere çeşitli eylemler önerdi. ABD hükümeti, AML/CFT ve diğer düzenleyici gereksinimlere, BSA yükümlülükleri olan DeFi hizmetleri de dahil olmak üzere, uyumu artırmak için mevcut denetim ve uygulama fonksiyonlarını güçlendirmeli, ek olarak düzenleyicilerin DeFi hizmetlerine uygulanabilir düzenlemeleri nasıl yorumlayacakları konusunda sektöre ek rehberlik sağlaması gerektiğini belirtti.

DeFi hizmetlerine uygulanacak ABD AML/CFT düzenleyici rejiminin olası iyileştirmelerinin değerlendirilmesi bir diğer eylemdir. DeFi hizmetlerine uygulanacak rejimin, BSA’daki belirli boşlukların kapatılmasıyla geliştirilmesi, bazı DeFi hizmetlerinin finans kurumları tanımının kapsamı dışına çıkmamasını sağlamak için öneriliyor.

Ek olarak, rapor hükümetin, sanal varlıklar ve VASP’ler konusundaki uluslararası standartların uygulanmasındaki boşlukları kapatmak için yabancı ortaklarla çalışmaya devam etmesi gerektiğini öneriyor. Ayrıca, ABD bu raporun bulgularını yabancı ortaklarla paylaşmalı ve onları DeFi hizmetleriyle ilgili riskleri değerlendirmeye ve azaltma önlemleri geliştirmeye teşvik etmelidir.

ABD hükümeti, DeFi ekosistemindeki değişiklikleri izlemeye devam etmeli; bu değişiklikler yasadışı finans risklerini veya AML/CFT yükümlülüklerinin uygulanmasını etkileyebilir, bu da özel sektörle araştırma ve etkileşim yoluyla yapılabilir.

Rapor ayrıca, yetkililerin DeFi hizmetlerinin gerçek zamanlı analiz, izleme ve kodun titiz test edilmesi yoluyla güvenlik açıklarını tespit etmesi ve şüpheli faaliyetlere yanıt vermesi, ayrıca sanal varlık firmaları ve kamuoyu ile potansiyel tehditler ve firmaların savunmalarını iyileştirmek için alabilecekleri azaltma önlemleri hakkında bilgi paylaşması gerektiğini vurguluyor.

ABD hükümeti, DeFi hizmetlerinin yasadışı finans risklerini azaltmayı amaçlayan yenilikleri teşvik etmek için geliştiricilerle iş birliği yapmalı, ayrıca politika yapıcılar ve düzenleyiciler bu gelişmeleri desteklemek için gerekli düzenleme veya rehberlik değişikliklerini değerlendirmeli.

Halkın Görüşlerini İsteme

Sonuç olarak, rapor ABD hükümetinin DeFi hizmetleriyle ilişkili riskleri ele almak için AML/CFT denetimini güçlendirme, ABD AML/CFT düzenleyici rejimini geliştirme, yabancı ortaklarla iş birliği yapma, siber dayanıklılığı artırma ve azaltma önlemlerinin sorumlu yeniliklerini teşvik etme gibi bir dizi adım atması gerektiğini öneriyor.

Bu önerileri hayata geçirerek, ABD hükümeti DeFi hizmetleri aracılığıyla kolaylaştırılan yasadışı faaliyetlerden ABD finans sistemini daha iyi koruyabilir, rapor belirtiyor.

Önerilen eylemlerin bir parçası olarak, Hazine DeFi hizmetlerinin getirdiği düzenleyici zorlukları ele almak için halkın görüşlerini de talep ediyor.

Sorular arasında DeFi hizmetlerinin BSA tanımına göre bir finans kurumu olup olmadığının belirlenmesi, BSA dışı DeFi hizmetleri için risk azaltma önlemlerinin teşvik edilmesi ve BSA tanımlı DeFi hizmetleri için AML/CFT yükümlülüklerinin netleştirilmesi yer alıyor. Farklı DeFi hizmet türleri için değişen AML/CFT yükümlülükleri de değerlendiriliyor.