Hong Kong'daki stablecoin üreticileri için akıllı sözleşmeler uygulama kılavuzu

Stablecoin yönetmeliğinin resmi olarak geçmesiyle birlikte, Hong Kong Finansal Yönetim Otoritesi 26 Mayıs 2025'te "Lisanslı Stablecoin Üreticileri için Düzenleyici Rehber (Taslak)" yayınladı. Bu rehber, yerel stablecoin ekosisteminin istikrarını, güvenliğini ve uyumlu çalışmasını sağlamak amacıyla hazırlanmıştır. Rehber, lisanslı stablecoin üreticilerinin sürekli olarak uyması gereken düzenleyici gereksinimleri ve operasyonel standartları kapsamlı bir şekilde belirtmektedir.

Son zamanlarda, giderek daha fazla kurum, akıllı sözleşmelerin uyumlu uygulanması konusunda güvenlik ekiplerine danışmaktadır. Üreticilerin uyumlu akıllı sözleşme sistemlerini daha iyi anlamalarına ve uygulamalarına yardımcı olmak için, bu uygulama kılavuzunu özel olarak yayınladık; böylece Hong Kong'un stablecoin ekosisteminin sağlıklı gelişimini desteklemek için net bir teknik yol ve uygulama önerileri sunmaktayız.

Birinci Bölüm Altyapı ve Uyum Stratejileri

Bu bölüm, stabilcoin sisteminin yüksek düzeydeki mimarisinin temelini atmayı amaçlamaktadır; bu mimari kararlar tamamen Hong Kong Finansal Yönetim Otoritesi çerçevesindeki en temel gereksinimlere dayanmaktadır. Burada yapılan seçimler, tüm uygulama yolunu belirleyecek ve tasarım aşamasından itibaren uyumluluğun teknik yığın içine derinlemesine yerleştirilmesini sağlayacaktır.

1. Alt katman dağıtık defterin seçimi

düzenleyici talimat

Lisans sahipleri, kullandıkları alt yapının dağıtık defter teknolojisi (DLT) sağlamlığını değerlendirmelidir. Bu değerlendirme, güvenlik altyapısını, yaygın saldırılara (örneğin, %51 saldırıları) karşı dayanıklılığı, işlem nihaiyetini güvence altına almayı ve konsensüs algoritmasının güvenilirliğini kapsar.

Teknik yorum

Bu, basit bir teknoloji tercihi değil, temel bir uyum görevidir. Temel blockchain'in seçimi, resmi bir durum tespiti sürecinden geçmelidir ve tüm değerlendirme süreci detaylı bir şekilde kaydedilmelidir, böylece düzenleyici inceleme sırasında yeterli gerekçe sağlanabilir. Temel defterin seçim süreci, aslında tüm stablecoin sisteminin güvenliği ve istikrarı için bir ton belirlemektedir.

Hong Kong Para Otoritesi'nin defterin sağlamlığına yaptığı vurgu, aslında ihraççıları, piyasa tarafından doğrulanmamış, aşırı merkeziyetçi veya güvenliği şüpheli olan yeni ortaya çıkan blok zincirlerini kullanmaktan kaçınmaları konusunda uyarıyor. Güvenlik ve istikrarını kanıtlama sorumluluğu tamamen ihraççının üzerindedir. Eğer ihraççı, güvenliği henüz yaygın olarak doğrulanmamış bir zinciri seçerse, ek telafi edici kontrol önlemleri tasarlayıp uygulamak zorundadır.

Uygulama Kılavuzu

• Olgun kamu blok zincirlerini önceliklendirin: Ethereum, Arbitrum gibi olgun ve yüksek güvenlik sağlayan kamu blok zincirlerinin öncelikli olarak tercih edilmesi önerilir. Bu tür ağlar, uzun süreli dayanıklılığı, geniş doğrulayıcı düğüm ağı ve sürekli kamu denetimi sayesinde doğal bir avantaja sahiptir. Yüksek saldırı maliyetleri (ekonomik güvenlik) doğrudan düzenleyicilerin %51 saldırılarına karşı direniş ve işlemlerin nihai güvenliğini sağlama konusundaki endişelerine yanıt verebilir.

• Alternatif çözümlerin sıkı değerlendirilmesi: Eğer bir konsorsiyum zinciri veya diğer türde dağıtık defterlerin benimsenmesi düşünülüyorsa, güvenlik standartlarının en azından mevcut kamu zincirlerinden daha düşük olmadığını veya hatta daha üst düzeyde olduğunu kanıtlamak için titiz ve ölçülebilir bir karşılaştırma analizi, örneğin güvenlik denetimi yapılmalıdır.

• Risk değerlendirme belgesi: Değerlendirme raporu, yaygın saldırılara karşı dayanıklılık, konsensüs algoritması türü ve kod hataları, açıklar, istismarlar ve diğer tehditlerle ilgili riskleri kapsamlı bir şekilde ele almalıdır ve bu risklerin stablecoin'in üretim, geri alma ve günlük operasyonlar üzerindeki potansiyel etkilerini nasıl etkilediğini detaylı bir şekilde analiz etmelidir. Bu belge, düzenleyici kurumlara teknik seçimdeki ihtiyatı kanıtlamak için kritik bir belgedir.

2. Çekirdek coin standardı ve düzenleyici işlev genişletmesi

düzenleyici talimat

Regülasyon belgeleri belirli bir token standardını (örneğin ERC-20) belirtmemektedir. Ancak, belgeler bir dizi temel yönetim işlevinin uygulanmasını zorunlu kılmaktadır; bunlar arasında üretim (mint ), imha (burn ), yükseltme (upgrade ), durdurma (pause ), yeniden başlatma (resume ), dondurma (freeze ), kara liste (blacklist ), beyaz liste (whitelist ) gibi işlemler bulunmaktadır.

Teknolojik Yorumlama

Hong Kong Para Otoritesi, aslında ERC-20 standardından çok daha fazla işlevselliğe sahip bir "denetim artırıcı" token standardı tanımladı. Bu standart, sadece temel token dolaşım işlevlerine sahip olmayı değil, aynı zamanda operasyon güvenliği, yetki kontrolü ve risk izlenebilirliğini de vurgulamaktadır. Uyum gereksinimlerini karşılarken güvenliği en üst düzeye çıkarmanın en verimli ve en güvenli geliştirme yolu, geniş çapta denetlenmiş ve topluluk tarafından tanınan standart kütüphaneler (örneğin OpenZeppelin) kullanmak ve bunun üzerine işlevsellik genişletmektir.

Uygulama Kılavuzu

• Temel standart: Tokenlerin homojenliğini ve daha geniş bir ekosistemdeki etkileşimini sağlamak için temel standart olarak ERC-20 kullanılmaktadır.

• Fonksiyon genişletmesi: Düzenleyici gereksinimleri karşılamak için aşağıdaki modül fonksiyonları entegre edilmelidir:

  • Duraklatılabilir: Tüm token etkinliklerini küresel olarak duraklatma ve geri yükleme işlevini gerçekleştirmek için kullanılır, bu, önemli güvenlik olaylarına yanıt vermenin temel aracıdır.

  • Mintable: Lisanslı émisyoncuların kontrol edilen süreçler aracılığıyla yeni token'lar oluşturmasını sağlamak ve token'ların arzının yeterli fiat rezerv varlığı ile kesin bir şekilde karşılık geldiğinden emin olmak için kullanılır.

  • Yakılabilir: Token'ların imha edilmesini sağlayan bir işlevdir. Belirli bir uygulamada, bu işlev katı izin kontrolüne tabi olacak ve rastgele kullanıcıların kendiliğinden imha etmesine izin verilmeyecektir.

  • Dondurulabilir: Belirli hesapların token transfer işlevini duraklatmak için kullanılır (şüpheli işlemlerle ilgiliyse).

  • Whitelist：Ek güvenlik önlemleri uygulamak için, yalnızca uygunluk araştırması ve onaylanan adreslerin ana işlemlere (yeni basılan coin alma gibi) katılmasına izin verir.

  • Kara Liste: Yasadışı faaliyetlerle (örneğin, kara para aklama, dolandırıcılık) bağlantılı adreslere işlem yasağı uygulamak için kullanılır; bu adreslerin token göndermesi/alması yasaktır. Kara liste yönetimi AML/CFT sistemi ile entegre olmalı ve şüpheli işlemleri gerçek zamanlı olarak izlemelidir.

  • AccessControl: Bu, ince ayrıntılı, rol tabanlı yetki yönetim sisteminin temelini oluşturur. Tüm yönetim işlevleri, görev ayrımının gereksinimlerini karşılamak için bu modül aracılığıyla yetki kontrolünden geçmelidir.

3. Ana uyum modeli: kara liste ve beyaz liste seçimi

düzenleyici talimat

Sürekli izleme ile ilgili, kara para aklama/terörizmin finansmanının önlenmesi ( AML/CFT ) konulu danışmanlık belgesi, "yaptırıma tabi olduğu veya yasadışı faaliyetlerle bağlantılı olduğu tespit edilen cüzdan adreslerini kara listeye alma" gibi çeşitli önlemler önermektedir ya da daha katı "stablecoin sahiplerinin cüzdan adreslerine beyaz liste uygulamak veya kapalı devre modeli kullanmak" gibi.

Teknik Yorum

Bu, tüm sistem mimarisindeki en kritik karar noktasıdır. Bu, stablecoin'in açıklığı, kullanılabilirliği ve uyumlu işlemlerin karmaşıklığını doğrudan belirler.

• Kara liste modu: "varsayılan açık" bir mod. Tüm adresler varsayılan olarak serbest ticarete açıktır, yalnızca açıkça tanımlanan ve zincire eklenen kara listeye alınan adresler kısıtlanacaktır.

• Beyaz liste modu: "varsayılan kapalı" bir kapalı döngü modudur. Herhangi bir adres, üretici tarafından açık bir şekilde gerçekleştirilen bir durum tespiti ve onay olmaksızın ve zincir üzerindeki beyaz listeye eklenmedikçe token sahipliği veya alımı gerçekleştiremez.

Beyaz liste modu AML (kara para aklamaya karşı) kontrol yetenekleri sağlasa da, yaygın olarak kullanılmak üzere tasarlanmış bir stablecoin için katı bir beyaz liste rejimi, stablecoin'in yalnızca önceden denetlenen katılımcılar arasında dolaşabileceği anlamına gelir; bu da onu daha çok kapalı bir banka defteri sistemine, esnek bir dijital para birimine dönüşmekten alıkoyar.

Bu nedenle, düzenleyici tarafından açıkça belirtilen kara liste modeli ile düzenleyicinin talep ettiği güçlü zincir dışı analiz araçlarının birleşimi, daha dengeli bir çözüm oluşturur. Bu, hem düzenleyici gereklilikleri karşılamakta hem de varlıkların kullanılabilirliğini korumaktadır.

Sistem, tasarım açısından yükseltilebilir olarak inşa edilebilir veya gelecekteki düzenlemelerin sıkılaşması veya iş modeli değişiklikleri durumunda, pürüzsüz geçiş veya beyaz liste moduna geçiş sağlamak için iki modun bir arada uygulanmasına izin verecek şekilde oluşturulabilir.

Uygulama Kılavuzu

• Kara liste modu (varsayılan öneri):

  • Avantajları: Daha yüksek bir kullanılabilirliğe sahip, geniş merkeziyetsiz finans ( DeFi ) ekosistemi ile sorunsuz bir şekilde etkileşim kurabiliyor, kullanıcılara daha düşük kullanım eşiği ve daha akıcı bir deneyim sunuyor.

  • Dezavantajlar: Uyum, yasa dışı adresleri zamanında tespit edip engellemek için güçlü, gerçek zamanlı zincir dışı izleme ve analiz yeteneklerine yüksek derecede bağımlıdır.

  • Uygulama Yöntemi: Akıllı sözleşmelerin transfer fonksiyonuna mantıksal kontroller ekleyerek, işlemi gönderen taraf (from) ve alıcı taraf (to) adreslerinin kara listede yer almadığından emin olun.

• Beyaz liste modu

  • Avantajlar: En yüksek seviyede AML/CFT kontrolleri sunar, önceden önlem almayı, sonradan düzeltmek yerine gerçekleştirir.

  • Dezavantajlar: Stabilcoinlerin evrenselliğini ve benimsenme oranını büyük ölçüde kısıtlar, beyaz liste yönetimi için büyük işletme maliyetleri getirir, bu da yaygın olarak kabul edilen bir ticaret aracı haline gelmesini zorlaştırabilir.

  • Uygulama Yöntemi: Akıllı sözleşmelerin transfer fonksiyonuna, işlem gönderen (from) ve alıcı (to) adreslerinin beyaz listede bulunmasını zorunlu kılan mantık kontrolü eklenmelidir. İşlemlerin kolaylığını artırmak için özel bir Web kullanıcı arka plan sistemi geliştirilmesi önerilir.

İkinci Bölüm Akıllı Sözleşmelerin Gerçekleştirilmesi

Bu bölüm, akıllı sözleşmelerin temel işlevleri için ayrıntılı bir plan sunmakta, karmaşık düzenleyici gereklilikleri somut kod düzeyindeki mantığa, güvenlik modlarına ve operasyon protokollerine dönüştürmektedir.

1. Ayrıntılı bir erişim kontrol sistemi tasarımı

düzenleyici talimat

Yüksek riskli işlemlerin tasarımı, "herhangi bir tek tarafın ilgili işlemleri tek taraflı olarak gerçekleştirmesini engellemeli (örneğin, çoklu imza protokolü aracılığıyla)". Farklı işlemlerin sorumlulukları yeterince ayrılmalıdır.

Teknik Yorum

Bu, güçlü ve rol tabanlı bir erişim kontrol sisteminin (RBAC) zorunlu olduğu anlamına gelir. Herhangi bir biçimdeki tek bir "sahip" veya "yönetici" özel anahtarı, uyumsuzdur.

Uygulama Kılavuzu

Bir dizi net rol tanımlanmalı ve bu roller, görevlerin ayrımını sağlamak, tekil hata noktası veya komplo manipülasyonu riskini en aza indirmek için çoklu imza cüzdanlarıyla kontrol edilen farklı varlıklara veya çalışanlara atanmalıdır. Her rol yalnızca belirli işlevlerle sınırlı olmalı, tüm işlemler çoklu imza yetkilendirmesi gerektirmeli ve hiçbir çalışan aynı anda birden fazla yüksek riskli role sahip olmamalıdır. Tüm işlemler kaydedilmeli ve yıllık üçüncü taraf denetimine tabi tutulmalıdır; yetki dağılımı yöneticiler veya yönetim kurulu tarafından denetlenmelidir.

• MINTER_ROLE: Stabilcoin üretim (mint) işlemlerini yürütmekle sorumludur, geçerli üretim taleplerini aldıktan sonra token birimlerini oluşturarak ve üretimin, rezerv varlık havuzunun karşılık gelen artışıyla eşleşmesini sağlamaktadır.

• BURNER_ROLE: Stabilcoin'lerin imhasından sorumlu (burn) işlemleri, geçerli bir geri alma talebi alındıktan sonra token birimlerini imha etmeyi içerir.

• PAUSER_ROLE: (pause) stabilcoin işlemlerini durdurmaktan sorumlu, örneğin güvenlik tehdidi gibi olağanüstü olaylar tespit edildiğinde transfer, üretim veya geri alma işlemlerini geçici olarak durdurur.

• RESUME_ROLE：(resume) stablecoin işlemlerini yeniden başlatmaktan sorumludur, örneğin askıya alma olayı çözüldükten sonra transferleri, üretimi veya geri almayı yeniden etkinleştirmek.

• FREEZER_ROLE: (freeze) ve (remove freeze) belirli cüzdan veya token'lerin dondurulması ve dondurmanın kaldırılması işlemlerinden sorumludur, örneğin şüpheli faaliyetler (örneğin kara para aklama riski) tespit edildiğinde varlıkları geçici olarak dondurmak.

• WHITELISTER_ROLE: Beyaz listeyi (whitelist) yönetmekle sorumludur, bu da izin verilen cüzdan adreslerini eklemeyi veya kaldırmayı içerir, örneğin, üretimi yalnızca beyaz liste adresleriyle sınırlamak.

• BLACKLISTER_ROLE: Kara listeyi yönetmekle sorumlu (blacklist) ve kara listeden kaldırmak (remove blacklist), örneğin şüpheli cüzdanları kara listeye alarak transferleri engellemek.

• UPGRADER_ROLE: Eğer yükseltilebilir bir model kullanılıyorsa, (upgrade) akıllı sözleşmelerinin yükseltilmesinden sorumlu, örneğin, sözleşme kodunu güncelleyerek hataları düzeltmek veya işlevsellik eklemek.

Tablo 1: Rol Tabanlı Erişim Kontrol Matrisi ( RBAC Matrisi )

Aşağıdaki tablo, her ayrıcalıklı işlemi gerekli rol ve kontrol türüne açıkça haritalamak için geliştiriciler ve denetçiler tarafından kullanılacak net ve sezgisel bir standart sunmaktadır.

| İşlem | Gerekli Rol | Kontrol Türü | |------|----------|----------| | madeni para | MINTER_ROLE | çoklu imza | | İmha | BURNER_ROLE | Çoklu İmza | | duraklat | PAUSER_ROLE | çoklu imza | | Kurtarma | RESUME_ROLE | Çoklu İmza | | Dondur | FREEZER_ROLE | Çoklu İmza | | Çözme | FREEZER_ROLE | Çoklu İmza | | Beyaz Liste Ekle | WHITELISTER_ROLE | Çoklu İmza | | Beyaz Listeyi Kaldır | WHITELISTER_ROLE | Çoklu İmza | | Kara liste ekle |