Bir uyum programı tüm kontrollerden ve denetimlerden başarıyla geçebilir ve yine de göremediği bir riski barındırabilir. İç içe geçmiş servislerin analizi tam da bu sonuca götürüyor: bunlar, düzenlenmiş kripto para borsalarındaki hesaplar üzerinden çalışan, fiilen bu borsaların itibarını ve mevzuata uygunluğunu kullanan, ama borsanın hiç doğrulamadığı ve kabul etmediği kendi müşterilerine hizmet veren üçüncü taraf platformlardır.
Son sekiz yılda, iç içe geçmiş servislerle bağlantılı yaklaşık 8 milyar dolarlık ciro tespit edildi. Bu işlemler çok sayıda farklı kuruluş üzerinden geçti: toplamda 2,275,270 işlem ve bu işlemlerin hesaplarında gerçekleştiği 39 borsa kaydedildi. Bu kuruluşlar arasında tamamen yasal anlık kripto para değişim servisleri var, ama yaptırımlı platformlar ve İranlı ödeme işlemcileri de bulunuyor. Hesapların bulunduğu borsa açısından, bunların işlemleri neredeyse aynı görünebilir. Herhangi bir sanal varlık hizmet sağlayıcısı için asıl sorun tam da budur: sıradan borsa düzeyindeki izleme baştan beri bu tür akışları ayırt etmek için tasarlanmamıştır.
İç içe geçmiş servis nedir ve sıradan izleme onu neden görmez
İç içe geçmiş servis; kendi blok zinciri altyapısını kurmak yerine daha büyük bir borsanın altyapısı üzerinde, onun hesaplarını kullanarak çalışan bir kripto para borsası, aracı kurum, tezgah üstü (OTC) değişim servisi veya ödeme işlemcisidir. Böyle bir operatör, büyük platformun likiditesine, ödeme kanallarına ve mevzuat altyapısına erişim kazanır ve ardından bunları kendi müşterilerine hizmet vermek için kullanır. Bu sırada büyük borsanın kendisi, bu müşterilerin kim olduğunu hiç bilmiyor olabilir.
İç içe servis riskinin temelinde yatan işlem kaynağını belirleme sorunu tam da burada ortaya çıkar. Blok zincirinde, bir iç içe operatör tarafından başlatılan her işlem, nihayetinde büyük borsaya ait kripto cüzdan adresleriyle bağlantılıdır. Bu yüzden, bir işlemin kaynağını yalnızca blok zincirinden belirleyen herhangi bir araç, bu etkinliği borsanın kendi etkinliği olarak yorumlayabilir. Lisanslı bir borsadan gelen sıradan bir yatırma gibi görünen bir transfer, aslında Lübnan'da KYC prosedürü olmayan bir döviz bürosunda ya da fonları büyük platformun yatırma adresleri üzerinden geçiren İran'daki bir aracıda başlamış olabilir.
Sonuçta yapısal bir «kör nokta» ortaya çıkar. Uyum ekibi, tanınan lisanslı bir karşı taraftan gelen bir işlemi düşük riskli sayıyorsa, fonların gerçek kaynağının kendi düzenlenmiş varlığı olmayan, daha yüksek riskli bir yargı alanından bir iç içe operatör olduğunu görmesini sağlayacak bir mekanizması olmayabilir. Travel Rule ve Avrupa MiCA düzenlemesinin gereklilikleri karşısında bu boşluk artık yalnızca teorik bir sorun sayılamaz. Bu, bir seviye daha derine bakılmadan tam olarak yerine getirilemeyecek bir mevzuat yükümlülüğü hâline gelir.
Bu risk ne kadar yoğunlaşmış durumda?
İç içe servis işlemlerinin hacmi son derece dengesiz dağılmıştır. Tek bir büyük uluslararası borsa, tek başına 6.97 milyar dolar, yani bu tür işlemlerin tespit edilen tüm hacminin %87.4'ünü işledi.
Bu tablo, iç içe operatörlerin platformları yalnızca en yüksek işlem hacmine sahip oldukları için seçmediği varsayımıyla örtüşür. Onları çeken şey; derin likidite, geniş desteklenen token yelpazesi ve işlemlerinin kontrollerden geçmesine olanak tanıyacağı varsayılan müşteri kabul prosedürleridir. Herhangi bir sanal varlık hizmet sağlayıcısı (VASP) için buradaki ana çıkarım şudur: bir borsanın büyümesine ve meşru müşteriler çekmesine yardımcı olan aynı özellikler -ölçek ve erişilebilirlik- aynı zamanda genel işlem akışında erimek isteyen operatörleri de çeker.
Yoğunlaşma, tek tek kuruluşlar düzeyinde de görülür. NS-01 ve NS-02 olarak adlandırılan ve ikisi de yasal olan iki iç içe servis, birlikte 5.48 milyar dolar, yani tespit edilen tüm hacmin %68.8'ini oluşturuyor. İç içe servislerin bu ölçekteki yasal etkinliği bile, borsanın onların işlemlerini kendi müşterilerinin işlemlerinden ayırt edebilmesi gerektiği anlamına gelir. Yasal bir değişim servisini gözden kaçırmaya yol açan aynı «kör nokta», aynı anda yaptırımlı bir kuruluşu da gizleyebilir.
İç içe servis akışlarının içinde aslında ne saklı?
İç içe servislerle ilişkili riskler, olası senaryoların tüm yelpazesini kapsar ve herhangi bir kripto para borsası için özellikle üç sonuç önemlidir.
İkincisi, daha yüksek riskli yargı alanlarından gelen işlemler az sayıda alıcı platformda yoğunlaşabilir. İran'la bağlantılı iç içe servisler, 17 farklı kuruluş üzerinden toplam yaklaşık $239M hacim oluşturuyor. Bu akışın büyük kısmı tek bir borsadan geçiyor (bu borsaya yaklaşık $103M, yani bu kümenin tamamının %43'ü düşüyor). En büyük hacim NS-05'e denk geliyor: $55.8M, onu $39.1M ile NS-06 izliyor. Bu borsa, yaptırımlı borsaların ana listelerinde yer almıyor, ancak İranlı ödeme işlemcilerinin tercih ettiği platform olma rolü, OFAC gereklilikleri açısından bariz bir risk yaratıyor.
Bunlar, veri kümesine yapay olarak eklenmiş nadir istisnalar değildir. Bu tür işlemler, herhangi bir kripto para borsasının her gün işlediği aynı sıradan işlem akışının içine gizlenmiştir.
İç içe operatörler blok zincirinde nasıl görünür?
Kullanılan token türü ve cüzdan davranışı, borsalara bu tür işlemleri izleyebilecekleri somut işaretler verir. Bitcoin, iç içe işlem hacminin %39.2'sini oluşturur: yaklaşık 3.13 milyar dolar. Bu, yüksek değerli ama görece seyrek transferlere karşılık gelir; bu da tezgah üstü ticaret platformları ve büyük hacimlerle çalışan aracılar için tipiktir.
Hacim bakımından bir sonraki USDT'dir: %25.9, yani 2.06 milyar dolar. Aynı zamanda onunla yapılan işlem sayısı çok daha yüksektir. Bu tablo, USDT'nin Tron ağında düşük maliyetli ve yüksek frekanslı sınır ötesi ödemeler için kullanılmasıyla örtüşür.
Bu fark tek başına bile bir iç içe servisi tespit etmek için bir sinyal olabilir. İç içe bir OTC masası ile iç içe bir perakende ödeme işlemcisi, blok zincirinde farklı karakteristik izler bırakır: birincisi büyük tutarlar ve az sayıda işlem gösterir; ikincisi ise tersine, daha sık ve daha küçük işlemler. Bu farklı operatör türlerini birbirine bağlayan ortak davranışsal işaret; tek bir hesaptan geçen büyük fon hacmi, belirli karşı taraflarla istikrarlı bağlantılar ve ara cüzdan dizileridir. Kuruluş düzeyindeki izlemenin tespit etmeye olanak tanıdığı şey tam da bu özelliklerdir.
Sanal varlık hizmet sağlayıcıları ne yapmalı?
Analizin ana sonucu oldukça açık: borsanın kendi düzeyindeki kontroller iç içe operatörleri güvenilir biçimde tespit etmeye olanak tanımaz; bu yüzden alıcı platformların, tespit mekanizmalarını doğrudan tek tek kuruluşlar düzeyinde hayata geçirmesi gerekir. Hem uyum statüsünü korumak hem de işini büyütmeye devam etmek isteyen VASP'ler için özellikle üç yön önemlidir.
Öncelikle, ayrı bir iç içe servis tespit programı oluşturmak gerekir. Bunun için, yalnızca blok zincirindeki işlemleri analiz etmekle kalmayıp potansiyel bir operatörle doğrudan etkileşimleri de doğrulayabilen ve belirli kuruluşla bağlantıyı kurabilen blok zinciri analitiği kullanılmalıdır. Doğrudan etkileşim, analistlerin şüphelenilen servisle bir işlem yapması ve ardından fonların gerçekte nereye gittiğini izlemesi anlamına gelir. İç içe bir bağlantının varlığını, dolaylı işaretlere dayanarak sadece varsaymak yerine doğrulamaya olanak tanıyan yaklaşım tam da budur.
Ayrıca, iç içe servis işaretleri taşıyan hesaplara güçlendirilmiş müşteri incelemesi uygulanmalıdır. Az sayıda işlemle birlikte büyük işlem hacimleri, aynı karşı taraflarla istikrarlı bağlantılar ve ara cüzdan dizileri, etrafında uyarıların otomatikleştirilmesinin mantıklı olduğu işaretlerdir. Bu tür kalıpların erken tespiti, sıradan müşteriler için gereksiz engeller yaratmadan potansiyel riski hızla değerlendirmeye olanak tanır.
Son olarak, zorunlu bildirim getirilmelidir. İç içe servis olarak kullanılan hesaplar, faaliyetlerinin bu niteliğini kendileri bildirmek ve kendi müşterilerinin KYC prosedürleri hakkında bilgi vermek zorundadır. Aksi hâlde onlarla iş birliği sonlandırılmalıdır. Bu tür resmi bir kural, görünmez riski kontrol edilebilir ve yönetilebilir bir riske dönüştürür.
Sorun, aynı anda birden çok platform üzerinden çalışan operatörler söz konusu olduğunda daha da ciddileşir. Bazı kuruluşlar aynı anda birkaç kripto para borsasında hesap kullanır; bu yüzden tek bir platform onların faaliyetinin tam resmine sahip değildir. İşte bu yüzden, bir iç içe operatörün faaliyetini tam olarak anlamak için, tek bir analitik katmanın sağladığı farklı borsalar arası görünürlük gereklidir.
