Hong Kong Para Otoritesi, stabilcoin akıllı sözleşmelerinin uygulanmasına yönelik bir kılavuz yayınladı; uyumluluk ve güvenliğe odaklanıyor.

Metin

İstikrarlı Coin Yönetmeliği'nin resmi olarak kabul edilmesiyle birlikte, Hong Kong Finansal Yönetim Otoritesi 26 Mayıs 2025 tarihinde "Lisanslı İstikrarlı Coin İhraççıları için Düzenleyici Rehber (Taslak)"ı yayınladı. Bu rehber, yerel istikrarlı coin ekosisteminin istikrarlı, güvenli ve uyumlu bir şekilde çalışmasını sağlamak amacıyla hazırlandı. Rehber, lisanslı istikrarlı coin ihraççılarının sürekli olarak uyması gereken düzenleyici gereklilikleri ve operasyon standartlarını detaylı bir şekilde listelemektedir.

Son zamanlarda, giderek daha fazla kurum güvenlik ekiplerine akıllı sözleşmelerin uyumlu bir şekilde uygulanması konusunda danışmaktadır. Yayımcıların uyumlu akıllı sözleşme sistemlerini daha iyi anlamalarına ve uygulamalarına yardımcı olmak için, Hong Kong stabilcoin yayıncılarına yönelik "Akıllı Sözleşme Uygulama Rehberi"ni özel olarak yayınladık. Bu rehber, Hong Kong stabilcoin ekosisteminin sağlıklı gelişimini desteklemek için net bir teknik yol ve pratik öneriler sunmaktadır.

Birinci Kısım Altyapı ve Uyum Stratejileri

Bu bölüm, stabilcoin sisteminin yüksek düzey mimarisinin temellerini atmayı amaçlamaktadır; bu mimari kararlar, Hong Kong Finansal Yönetim Otoritesi çerçevesindeki en temel gereksinimlerden tamamen etkilenmektedir. Burada yapılan seçimler, tüm uygulama yolunu belirleyecek ve tasarımın en başından itibaren uyumluluğun teknik yığın içine derinlemesine yerleştirilmesini sağlayacaktır.

1. Temel dağıtık defterin seçimi

Regülasyon Talimatı

Lisans sahibinin kullandığı temel dağıtık defter teknolojisinin (DLT) sağlamlığını değerlendirmesi gerekmektedir. Bu değerlendirme, güvenlik altyapısını, yaygın saldırılara (örneğin, %51 saldırısı) karşı dayanıklılığı, işlem sonluluğunu garanti etme yeteneğini ve konsensüs algoritmasının güvenilirliğini kapsamaktadır.

Teknik Analiz

Bu sadece basit bir teknik tercih değil, aynı zamanda temel bir uyum görevidir. Temel blockchain seçimi, resmi bir durum tespiti sürecinden geçmelidir ve değerlendirme süreci detaylı bir şekilde kaydedilmelidir, böylece düzenleyici inceleme sırasında yeterli gerekçe sunulabilir. Temel defterin seçim süreci aslında tüm stabilcoin sisteminin güvenliği ve istikrarı için bir zemin hazırlamaktadır.

Hong Kong Para Otoritesi'nin defterin sağlamlığına yaptığı vurgu, aslında ihraççılara, pazarda doğrulanmamış, aşırı merkezileşmiş veya güvenliği şüpheli olan yeni blockchain'leri kullanmaktan kaçınmaları yönünde bir uyarıdır. Güvenliğini ve istikrarını kanıtlama sorumluluğu tamamen ihraççılar tarafından üstlenilmektedir. Eğer ihraççı, güvenliği yaygın olarak doğrulanmamış bir zincir seçerse, ek telafi edici kontrol önlemleri tasarlayıp uygulamak zorundadır.

Uygulama Kılavuzu

• Olgun kamu blok zincirlerini öncelikli olarak seçin: Ethereum, Arbitrum gibi olgun ve yüksek güvenlik özelliklerine sahip kamu blok zincirlerini öncelikli olarak kullanmanız önerilir. Bu tür ağlar, kanıtlanmış dayanıklılıkları, büyük doğrulayıcı düğüm ağı ve sürekli kamu denetimi sayesinde doğal bir avantaja sahiptir. Yüksek saldırı maliyetleri (ekonomik güvenlik) doğrudan 51% saldırılarına karşı koyma ve işlemlerin nihai güvenliğini sağlama konusundaki düzenleyici endişelere yanıt verebilir.

• Alternatiflerin titiz değerlendirmesi: Eğer bir konsorsiyum zinciri veya diğer türde dağıtık defterlerin benimsenmesi düşünülüyorsa, güvenlik standartlarının en azından ana akım kamu zincirleri kadar güvenli olduğunu, hatta daha iyi olduğunu kanıtlamak için titiz ve ölçülebilir bir karşılaştırma analizi, örneğin güvenlik denetimi yapılmalıdır.

• Risk Değerlendirme Belgesi: Değerlendirme raporu, yaygın saldırılara karşı dayanıklılığını, konsensüs algoritması türünü ve kod kusurları, açıklar, kötüye kullanımlar ve diğer tehditlerle ilgili riskleri kapsamlı bir şekilde ele almalı ve bu risklerin stabilcoin'in ihraç, geri alım ve günlük operasyonlar üzerindeki potansiyel etkilerini nasıl etkileyebileceğini ayrıntılı bir şekilde analiz etmelidir. Bu belge, düzenleyici kurumlara teknoloji seçiminde ihtiyatın kanıtı olarak kritik bir belgedir.

2. Temel Token Standartları ve Regülasyon Fonksiyonu Genişletmesi

Regülasyon Talimatı

Regülasyon belgeleri belirli bir token standardını (örneğin ERC-20) belirtmemektedir. Ancak, belgeler, (mint), (burn), (upgrade), (pause), (resume), (freeze), (blacklist), (whitelist) gibi bir dizi temel yönetim işlevinin uygulanmasını zorunlu kılmaktadır.

Teknik Yorumlama

Hong Kong Merkez Bankası aslında ERC-20 standardından çok daha öte bir işlevselliğe sahip olan "denetim artırılmış" token standardını tanımladı. Bu standart, yalnızca temel token dolaşım işlevlerini değil, aynı zamanda operasyon güvenliğini, yetki kontrolünü ve risk izlenebilirliğini de vurgulamaktadır. Uygunluk gereksinimlerini karşılarken güvenliği en üst düzeye çıkarmanın en verimli ve en güvenilir geliştirme yolu, geniş çapta denetlenmiş, topluluk tarafından tanınan standart kütüphanelerin (örneğin OpenZeppelin) kullanılmasını ve bu temele dayalı olarak işlev genişletmelerinin yapılmasını içermektedir.

Uygulama Kılavuzu

• Temel standart: Tokenlerin homojenliğini ve daha geniş bir ekosistem içindeki birlikte çalışabilirliğini sağlamak için temel standart olarak ERC-20 kullanılır.

• Fonksiyon genişletmesi: Düzenleyici gereklilikleri karşılamak için aşağıdaki fonksiyon modüllerinin entegre edilmesi gerekmektedir:

  • Pausable: Tüm token etkinliklerinin global duraklatma ve geri yükleme işlevini gerçekleştirmek için kullanılır, bu da önemli güvenlik olaylarına karşı temel bir araçtır.

  • Mintable: Lisanslı émisyoncuların kontrol edilen süreçler aracılığıyla yeni tokenler mintlemesi ve token arzının tam yedek para rezerv varlıklarına kesinlikle karşılık gelmesini sağlamak için kullanılır.

  • Yakılabilir: Tokenlerin imha edilmesi fonksiyonunu sağlar. Bu işlevin belirli bir uygulamasında, bu özellik rastgele kullanıcıların imha etmesine izin vermek yerine sıkı yetki kontrollerine tabi olacaktır.

• Freezable: Şüpheli işlemlerle ilgili olarak belirli hesapların token transfer işlevini duraklatmak için kullanılır.

  • Beyaz Liste: Ek güvenlik önlemleri uygulamak için kullanılır, yalnızca yeterlilik araştırması ve onaylanan adreslerin temel işlemlere (örneğin yeni basılan tokenleri almak) katılmasına izin verir.

  • Kara Liste: Yasadışı faaliyetlerle (örneğin, kara para aklama, dolandırıcılık) ilişkili adreslere işlem yasağı uygulamak için kullanılır, bu adreslerin token göndermesi/alması yasaktır. Kara liste yönetimi, AML/CFT sistemi ile entegre olmalı ve şüpheli işlemleri gerçek zamanlı izlemelidir.

  • Erişim Kontrolü: Bu, ayrıntılı, rol tabanlı bir izin yönetim sisteminin temelidir. Tüm yönetim işlevleri, görev ayrımının gereksinimlerini karşılamak için bu modül aracılığıyla izin kontrolünden geçmelidir.

3. Ana uyum modeli: Kara liste ve beyaz liste seçimi

Regülasyon Talimatı

Sürekli izleme, kara para aklama/terörizmin finansmanıyla mücadele ( AML/CFT ) ile ilgili danışma belgesi, "yaptırım uygulanması gereken veya yasa dışı faaliyetlerle ilişkili olduğu tespit edilen cüzdan adreslerini kara listeye alma" veya "stabilcoin sahiplerinin cüzdan adreslerine beyaz liste uygulama ya da kapalı devre modeli kullanma" gibi çeşitli önlemler önermektedir.

Teknik Analiz

Bu, tüm sistem mimarisindeki en kritik karar noktasıdır; doğrudan stabilcoin'in açıklığı, uygulanabilirliği ve uyumlu işlemlerin karmaşıklığını belirler.

• Kara liste modu: "varsayılan açık" bir mod. Tüm adresler varsayılan olarak serbest ticaret yapabilir, yalnızca açıkça tanımlanmış ve zincire kara liste olarak eklenmiş adresler kısıtlanacaktır.

• Beyaz liste modu: "varsayılan kapalı" bir kapalı döngü modudur. Herhangi bir adres, ancak ihraç eden tarafından açık bir şekilde yapılan uygun araştırma ve onay sonrasında ve zincir üzerindeki beyaz listeye eklenmedikçe, token tutamaz veya alamaz.

Beyaz liste modu AML (kara para aklamayı önleme) kontrol yeteneği sağlasa da, geniş bir kullanım amacı güden bir stabil koin için sıkı bir beyaz liste sistemi, stabil koinin yalnızca önceden denetlenen katılımcılar arasında dolaşmasını sağlar; bu da onu esnek bir dijital para birimi yerine kapalı bir banka defteri sistemi haline getirir.

Bu nedenle, düzenleyiciler tarafından açıkça belirtilen kara liste modeli ile düzenleyicilerin talep ettiği güçlü çevrimdışı analiz araçlarının birleşimi, daha dengeli bir çözüm oluşturur. Bu çözüm, düzenleyici gereksinimleri karşılamakla kalmaz, aynı zamanda varlıkların kullanılabilirliğini de korur.

Sistem tasarımında, gelecekteki düzenlemelerin sıkılaşması veya iş modeli değişiklikleri durumunda pürüzsüz bir geçiş veya beyaz liste moduna geçiş sağlamak için yükseltilebilir ya da her iki modun aynı anda uygulanabilir şekilde inşa edilebilir.

Uygulama Kılavuzu

• Kara liste modu (varsayılan öneri planı):

  • Avantajları: Daha yüksek bir kullanılabilirliğe sahip, geniş bir merkeziyetsiz finans (DeFi) ekosistemi ile sorunsuz bir şekilde birlikte çalışabilir, kullanıcılara daha düşük bir kullanım eşiği ve daha akıcı bir deneyim sunar.

  • Dezavantajlar: Uyumluluk, yasa dışı adresleri zamanında tespit edip engelleyebilmek için güçlü, gerçek zamanlı bir zincir dışı izleme analiz yeteneğine yüksek derecede bağımlıdır.

  • Uygulama Yöntemi: Akıllı sözleşmenin transfer fonksiyonunda, işlem göndereninin (from) ve alıcısının (to) adreslerinin kara listeye alınmadığından emin olmak için bir mantık kontrolü eklenmiştir.

• Beyaz liste modu

  • Avantajlar: En yüksek AML/CFT kontrol seviyesini sağlar, önceden önlem alır, sonradan düzeltmek yerine.

  • Dezavantajlar: Stabilcoin'in evrenselliği ve benimsenmesini büyük ölçüde sınırlandırmakta, beyaz liste yönetimi için büyük bir operasyonel maliyet getirmekte ve bunu yaygın olarak kabul gören bir ticaret aracı haline getirmeyi zorlaştırmaktadır.

  • Uygulama Yöntemi: Akıllı sözleşmenin transfer fonksiyonuna mantık kontrolü eklenmeli, işlem göndereninin (from) ve alıcının (to) adreslerinin beyaz listede bulunması zorunlu olmalıdır. İşlemlerin kolaylığını artırmak için özel bir Web kullanıcı yönetim sistemi geliştirilmesi önerilir.

İkinci Kısım Akıllı Sözleşme Uygulaması

Bu bölüm, akıllı sözleşmenin temel işlevleri için karmaşık düzenleyici gereksinimleri somut kod düzeyindeki mantığa, güvenlik modlarına ve operasyon protokollerine dönüştüren ayrıntılı bir plan sunmaktadır.

1. Ayrıntılı bir erişim kontrol sistemi tasarımı

Regülasyon Talimatı

Yüksek riskli işlemlerin tasarımı, "herhangi bir tarafın tek taraflı olarak ilgili işlemleri gerçekleştirmesini önlemek için (örneğin, çoklu imza protokolleri aracılığıyla)" olmalıdır. Farklı işlemlerin sorumlulukları yeterince ayrılmalıdır.

Teknik Yorumlama

Bu, güçlü ve rol tabanlı bir erişim kontrol sisteminin (RBAC) zorunlu olduğu anlamına gelir. Herhangi bir biçimdeki tekil "sahip" veya "yönetici" özel anahtarı uyumsuzdur.

Uygulama Kılavuzu

Belirli bir dizi net rol tanımlanmalı ve bu roller, görevlerin ayrımını sağlamak, tek bir hata noktasını veya komplocu manipülasyon riskini en aza indirmek için çoklu imza cüzdanları tarafından kontrol edilen farklı varlıklara veya çalışanlara atanmalıdır. Her rol, yalnızca belirli işlevlerle sınırlı olmalı, tüm işlemler çoklu imza yetkilendirmesine tabi olmalı ve hiçbir çalışan aynı anda birden fazla yüksek riskli rolü üstlenmemelidir. Tüm işlemler kaydedilmeli ve yıllık üçüncü taraf denetimine tabi tutulmalıdır; yetki dağılımı yöneticiler veya yönetim kurulu tarafından denetlenmelidir.

• MINTER_ROLE: Stabilcoinlerin mint( işlemlerini yönetmekle sorumludur, bunun içinde geçerli bir ihraç talebi alındıktan sonra token birimlerinin oluşturulması ve minting ile rezerv varlık havuzundaki ilgili artışın eşleşmesini sağlamaktadır.

• BURNER_ROLE: Stabilcoinlerin imhasından sorumludur )burn( işlemleri, geçerli bir geri ödeme talebi alındıktan sonra token birimlerini imha etmeyi içerir.

• PAUSER_ROLE: ) stabilcoin işlemlerini durdurmaktan sorumludur, örneğin güvenlik tehdidi gibi anormal olaylar tespit edildiğinde transferleri, basımları veya geri alımları geçici olarak durdurma.

• RESUME_ROLE: (resume) stabil paranın işlemlerini geri yüklemekten sorumlu, örneğin duraklatma olayları çözüldükten sonra transferleri, basımı veya geri alımı yeniden etkinleştirmek.

• FREEZER_ROLE: Belirli cüzdan veya token'ların (freeze) ve (remove freeze) işlemlerini dondurmak ve dondurmayı kaldırmakla sorumludur; örneğin, şüpheli faaliyetler (örneğin, kara para aklama riski) tespit edildiğinde varlıkları geçici olarak dondurmak.

• WHITELISTER_ROLE: Beyaz listeyi (whitelist) yönetmekten sorumludur, bu da izin verilen cüzdan adreslerini eklemeyi veya kaldırmayı içerir, örneğin madenciliği yalnızca beyaz liste adresleriyle sınırlamak.

• BLACKLISTER_ROLE: Kara listeyi yönetmekle sorumludur (blacklist) ve kara listeden çıkarmak (remove blacklist), örneğin şüpheli cüzdanları kara listeye alarak transferleri engellemek.

• UPGRADER_ROLE: Eğer yükseltilebilir bir model kullanılıyorsa, (upgrade) akıllı sözleşmesini yükseltmekle sorumlu, örneğin sözleşme kodunu güncelleyerek açıkları düzeltmek veya işlev eklemek.

Tablo 1: Rol Tabanlı Erişim Kontrol Matrisi ( RBAC Matrisi )

Aşağıdaki tablo, geliştiriciler ve denetçiler için her ayrıcalıklı işlemi gerekli rol ve kontrol türüne açık bir şekilde eşleyen net ve anlaşılır bir standart sunmaktadır.

| İşlem | Gerekli Rol | Kontrol Türü | |------|----------|----------| | Mint (Mint) | MINTER_ROLE | Çoklu İmza | | İmha (Burn) | BURNER_ROLE | Çoklu İmza | | Duraklat | (Pause) | PAUSER_ROLE | Çoklu İmza | | ('ı YenileResume) | ROLÜ YENİLE | Çoklu İmza | | Dondur (Freeze) | FREEZER_ROLE | Çoklu İmza | | Donanımı Kaldır (Unfreeze) | FREEZER_ROLE | Çoklu İmza | | Beyaz Liste Ekle (Whitelist) | WHITELISTER_ROLE | Çoklu İmza | | Beyaz listeden çıkar (Beyaz listesinden çıkar) | BEYAZ_LISTELEYEN_