En başta ülke kodu ve banka numarası

<?php  
$iban='TR420011100000000072995938';

function stars($iban)
{
    $times=strlen(trim(substr($iban,4,18)));
    $star='';
    for ($i=0; $i <$times ; $i++) { 
        $star.='*';
    }
    return $star;
}

$result=str_replace(substr($iban, 4,18), stars($iban), $iban);
echo $result;

Sadece ülke kodu

<?php  
$iban='TR420011100000000072995938';

function stars($iban)
{
    $times=strlen(trim(substr($iban,2,20)));
    $star='';
    for ($i=0; $i <$times ; $i++) { 
        $star.='*';
    }
    return $star;
}

$result=str_replace(substr($iban, 2,20), stars($iban), $iban);
echo $result;

Numaralarla oynayarak işlem yapabilirsiniz. IBAN'da TR42 0011 1000 0000 0072 9959 38 şeklinde boşluklar varsa boşlukları da sildirtebilirsiniz öncesinde.