Hayalet юрисдикцияlar (Ghost Jurisdictions), kağıt üzerinde kripto dostu olduğunu beyan eden ancak pratikte FATF standartlarını (Travel Rule dahil) tamamen görmezden gelen, vergi ve adli bilgi paylaşımını sabote eden off-shore ve uyumsuz bölgelerdir. Bu tarz bölgeler üzerinden iş yapmak, şirketinizin banka ve saklama (custodial) hesaplarının AB ve ABD'deki VASP aracıları tarafından anında bloklanmasını garanti eder ve hukuki yapınızı toksik bir izole adaya dönüştürür.
Dürüst olmak gerekirse, danışmanlığa gözleri parlayarak gelip "Myanmar'daki vergi cenneti" ya da "Vanuatu'daki kolay lisans" diye geveleyen founder'lardan gına geldi. Arkadaş siz bu saçmalıkları nereden okuyorsunuz? Size 5.000 dolara şirket kurulumu satıp sonra sırra kadem basan aracıların reklam broşürlerinden mi?
2026 yılı itibarıyla beleşçilik dönemi bitti. Hem de tamamen.
FATF, daha Şubat ve Haziran genel kurullarında net bir mesaj verdi: Gri alan giderek daralıyor. Eğer bir bölge Recommendation 15'i (VASP ve Travel Rule ile ilgili olan) hiçe sayıyorsa, orada kayıtlı projelerin fiat gateway'lerle olan bağı otomatik olarak kesiliyor. Chainalysis veya Elliptic gibi algoritmik uyum (compliance) sistemlerinin tek bir tıkıyla.
| Yasal Alan (Jurisdiction) | FATF Statüsü | Travel Rule Uygulaması | Fiat Gateway Riski |
|---|---|---|---|
| Myanmar | Kara Liste (Black) | Tamamen Sabote Edilmiş | Mutlak (10/10) |
| Kuzey Kıbrıs (KKTC) | Gri / Tanınmayan | Yok | Yüksek (9/10) |
| Vanuatu | Artırılmış İzleme | Göstermelik | Kritik (8.5/10) |
| Marshall Adaları | Özel Kontrol | Kısmi (Sadece DAO) | Yüksek (8/10) |
FATF Kara ve Gri Listelerinin Gerçekleri
Hayal kurmayı bırakalım. Ağustos 2026 itibarıyla önümüzdeki somut gerçekler şunlar.
FATF'in kara listesinde (Call for Action) Kuzey Kore, İran ve Myanmar adeta çakılı kalmış durumda. İlk ikisinin durumu en iyimser adam için bile çoktan netleşmişken, bazı "uyanıklar" hâlâ Myanmar'a mining farm ya da kripto bürosu sokmaya çalışıyor. Sonuç her zaman aynı: Bloke edilen işlemler, el konulan ekipmanlar ve yerel mahkemeler aracılığıyla parayı geri alma şansının sıfır olması. Orada bildiğimiz anlamda bir hukuk sistemi yok zaten. Unutun onu.
Gri liste (Jurisdictions under Increased Monitoring) tarafında ise durum daha da komik. Vanuatu, Haiti, Yemen, Suriye, Güney Sudan ve Nijerya listenin demirbaşları. FATF'in "Targeted Update on VASP Standards Implementation" raporuna göre (2025 yazında yayımlanan ve hâlâ geçerliliğini koruyan), gri listedeki ülkelerin %75'inden fazlası teknik düzeyde Travel Rule'u hâlâ entegre edebilmiş değil.
Bu durum startup'ınız için ne anlama geliyor?
Gidip Vanuatu'da bir LLC kuruyorsunuz. Elinize yerel bir kağıt parçası alıyorsunuz. Kendinizi kripto kralı sanıyorsunuz. Sonra geliştiricilerin maaşlarını ödemek için Avrupa'daki bir OTC masasının hesabına 100.000 dolar transfer etmeye çalışıyorsunuz. Masa sizin jurisdiction risk skorunuza bakıyor, Vanuatu'yu görüyor ve ödemeyi anında kilitliyor. AB'deki muhabir banka işlemi işleyeniyor, çünkü FATF gri listesindeki bir bölgeyle çalıştığı için yerel regülatörlerden milyonlarca euro ceza yeme riskiyle karşı karşıya.
Üç Tipik Hukuki Tuzak ve Anatomisi
Marshall Adaları ve DAO Act Gazlaması.
Kağıt üzerinde her şey fıstık gibi: DAO LLC açıyorsun, token basıyorsun, kimse pasaport bile sormuyor. Ama iş pratiğe gelince: Marshall merkezli bir şirket için Mercury veya Wise gibi bir EMI (Elektronik Para Kuruluşu) üzerinden banka hesabı açmayı deneyin bakalım. Daha ilk KYC aşamasında sizi kapı dışarı ederler. Çünkü ABD regülatörleri Marshall Adaları'ndaki DAO yapılarına doğrudan vergilendirilmemiş gelirlerin aklama merkezi gözüyle bakıyor. Elinizde tek bir cent fiat kabul edemeyen bir tüzel kişilikle kalakalıyorsunuz.
Kuzey Kıbrıs (KKTC).
Tanınmayan devlet statüsü "regülatörlerden özgürleşmek" demek değildir. Düzgün bir hukuki korumanın olmaması demektir. İşin aslı: Orada kripto büroları mantar gibi türemiştir, ancak ortağınız veya yerel direktörünüz tüm private key'leri toplayıp İstanbul'a kaçmaya karar verirse arkasından bakakalırsınız. Uluslararası kolluk kuvvetleri Kuzey Kıbrıs topraklarında çalışmaz. İade (extradition) talebinde bulunmak veya hukuki yardım almak imkansızdır.
Marjinalleşmiş Off-shore'lar (Saint Vincent ve Grenadinler, Dominika).
Bu ülkeler kripto faaliyetlerini lisanslamadıklarını RESMEN açıkladılar. Yani: Oralarda şirket kurabilirsiniz ama kripto işi yapmak tamamen kendi riskinizdedir. Muhabir banka tarafından yapılacak tek bir denetim işinizi sıfırla çarpmaya yeter.
Vaka Analizi: "Ucuza Kaçalım" Derken 2.4 Milyon Dolar Nasıl Çöp Oldu?
Geçen yıl bir DeFi protokolünün founder'ları bana geldi. Adına "X Projesi" diyelim. Çocuklar hukuki yapıdan tasarruf etmeye karar verip Vanuatu'yu seçmişler. Hazır bir off-shore şirket satın almışlar, tokenomiks çizmişler ve yatırım turunda 2.4 milyon dolar toplamışlar.
Yatırımcıların parası USDC olarak saklama (custodial) cüzdanında duruyordu. Pazarlama ve akıllı sözleşme audit ödemeleri için fonların bir kısmını fiat paraya çevirmeleri gerekti.
- Deneme 1: Tier-1 bir borsada tüzel kişilik olarak KYC yapmaya çalıştılar. 20 dakika içinde ret yediler. Sebep: Şirketin bulunduğu bölge yüksek riskli AML/CFT alanında yer alıyor.
- Deneme 2: Dubai'de yarı-legal bir OTC masası buldular. Tether olarak 500.000 dolar transfer ettiler. Masa, anlaşmalı bankasının talebi üzerine işlemi bloke etti; çünkü blokzincirdeki fon geçmişi gri listedeki bir off-shore ile ilişkilendirilmiş bir altyapıdan geçmişti.
Özet: Proje altı ay boyunca fiat parasız kaldı, audit ödemelerini geciktirdi, yazılımcı ekibini kaybetti ve sonuç olarak düzgün bir ülkeye redomiciliation (şirket merkezini taşıma) sürecinden geçmek zorunda kaldı (ağır cezalar ve tüm harçların tekrar ödenmesiyle birlikte). "Danışman komisyonculara" ödenen paralar ve operasyonun durması nedeniyle yaşanan toplam zarar 350.000 doların üzerinde.
2026'da Düzgün Bir Proje Ne Yapmalı?
"Beleş" peşinde koşmayı bırakın. KYC olmadan üç günde kripto lisansı vaat eden muz cumhuriyetlerini ve ada ülkelerini kafanızdan silin.
Fiat çıkışı olan, gerçek ve çalışan bir projeye ihtiyacınız varsa bastırın parasını; katı da olsa şeffaf ve saygın ülkelere gidin:
- BAE (VARA / ADGM): Pahalı. Uzun sürer. Ama tıkır tıkır çalışır. Düzgün bir AML sisteminiz varsa bankalar sorun çıkarmaz.
- İsviçre (FINMA): Klasik. Pahalıdır ama taştan sağlam bir itibar kazandırır.
- Singapur (MAS): Uyum süreci (compliance) serttir ama oyunun kuralları bellidir.
- AB (MiCA çerçevesinde): Kolay yolları unutun. CASP (Crypto-Asset Service Provider) statüsü almak gerçek bir fiziki varlık (substance), nitelikli bir yönetim kurulu ve sermaye gerektirir. Ama karşılığında tüm Avrupa pazarının kapısını açar.
Bütçeniz kısıtlıysa Hong Kong tarafına veya El Salvador'daki dürüst servis sağlayıcılarına bakın (ancak sadece şirket tescili satın alarak değil, yerel mevzuata harfiyen uyarak).
Ve en önemlisi: Önce fiat ve compliance mimarisi inşa edilir, ardından buna uygun tüzel kişilik seçilir. Tersi değil.
