Hong Kong için stabilcoin üreticileri için akıllı sözleşmeler uygulama kılavuzu

Stablecoin düzenlemesinin resmi olarak geçmesiyle birlikte, Hong Kong Finansal Yönetim Otoritesi 26 Mayıs 2025'te "Lisanslı Stablecoin Üreticileri için Düzenleyici Rehber (Taslak)" yayınladı. Bu rehber, yerel stablecoin ekosisteminin istikrarını, güvenliğini ve uyumlu çalışmasını sağlamayı amaçlamaktadır. Rehber, lisanslı stablecoin üreticilerinin sürekli olarak uyması gereken düzenleyici gereklilikleri ve operasyon standartlarını ayrıntılı olarak belirtmektedir.

Son zamanlarda, giderek daha fazla kurum, akıllı sözleşmelerin uyumlu uygulanması konusunda güvenlik ekibine danışıyor. Üreticilerin uyumlu akıllı sözleşme sistemini daha iyi anlamalarına ve uygulamalarına yardımcı olmak için, Hong Kong'daki stablecoin üreticilerine yönelik akıllı sözleşme uygulama kılavuzunu özel olarak yayınladık; bu kılavuz, Hong Kong'daki stablecoin ekosisteminin sağlıklı gelişimini desteklemek için net bir teknik yol ve pratik öneriler sunmaktadır.

Birinci Kısım Altyapı ve Uyum Stratejileri

Bu bölüm, stabilcoin sisteminin yüksek düzeydeki mimarisinin temelini atmayı amaçlamaktadır. Bu mimari kararlar, Hong Kong Finansal Yönetim Otoritesi çerçevesinin en temel gereksinimleri tarafından tamamen yönlendirilmektedir. Burada yapılan seçimler, uygulama yolunu belirleyecek ve tasarımın başından itibaren uyumluluğun teknik yığın içinde derinlemesine yerleştirilmesini sağlayacaktır.

1. Temel dağıtık defterin seçimi

Regülasyon Talimatı

Lisanslı kişiler, kullandıkları temel dağıtık defter teknolojisi (DLT)'in sağlamlığını değerlendirmelidir. Bu değerlendirme, güvenlik altyapısını, yaygın saldırılara (örneğin %51 saldırısı) karşı dayanıklılığı, işlem kesinliği garantisini ve konsensüs algoritmasının güvenilirliğini kapsar.

Teknik Yorumlama

Bu, basit bir teknik tercih seçimi değil, bir temel uyum görevidir. Alt blockchain'in seçimi, resmi bir detaylı incelemeden geçmeli ve tüm değerlendirme süreci, düzenleyici denetim sırasında yeterli gerekçe sağlamak için ayrıntılı olarak kaydedilmelidir. Alt defterin seçim süreci, aslında tüm stablecoin sisteminin güvenliği ve istikrarı için bir ton belirler.

Hong Kong Merkez Bankası'nın defterin sağlamlığına olan vurgusu, aslında ihraççıları, piyasa tarafından doğrulanmamış, merkeziyetçi düzeyi yüksek veya güvenliği şüpheli olan yeni ortaya çıkan blok zincirlerini kullanmaktan kaçınmaları konusunda uyarıyor. Güvenliğini ve istikrarını kanıtlama sorumluluğu tamamen ihraççının üzerindedir. Eğer ihraççı, güvenliği yaygın olarak doğrulanmamış bir zincir seçerse, ek tazminat kontrol önlemleri tasarlamak ve uygulamak zorundadır.

Uygulama Kılavuzu

• Olgun halka açık blok zincirlerini tercih edin: Ethereum, Arbitrum gibi olgun ve yüksek güvenliğe sahip halka açık blok zincirlerinin kullanılmasını öneriyoruz. Bu tür ağlar, uzun süredir test edilmiş dayanıklılığı, geniş doğrulayıcı düğüm ağı ve sürekli kamu denetimi sayesinde doğal bir avantaja sahiptir. Yüksek saldırı maliyetleri (ekonomik güvenlik) doğrudan düzenleyicilerin %51 saldırılarına karşı koyma ve işlem nihaiğini güvence altına alma konusundaki endişelerine yanıt verebilir.

• Alternatif çözümlerin titiz değerlendirmesi: Bir konsorsiyum zinciri veya diğer türde bir dağıtık defter kullanmayı düşünüyorsanız, güvenlik standartlarının ana akım kamusal zincirlerden daha düşük olmadığını veya hatta daha iyi olduğunu kanıtlamak için titiz ve ölçülebilir bir karşılaştırma analizi, örneğin güvenlik denetimi yapılmalıdır.

• Risk değerlendirme belgesi: Değerlendirme raporu, yaygın saldırılara karşı dayanıklılık yeteneğini, konsensüs algoritması türünü ve kod hataları, güvenlik açıkları, kötüye kullanımlar ve diğer tehditlerle ilgili riskleri kapsamlı bir şekilde ele almalıdır ve bu risklerin stabilcoin'in üretim, geri alım ve günlük operasyonları üzerindeki potansiyel etkilerini nasıl etkilediğini detaylı bir şekilde analiz etmelidir. Bu belge, düzenleyici kuruluşlara teknik seçim ihtiyatını kanıtlamak için kritik bir belgedir.

2. Çekirdek token standardı ve düzenleyici işlev genişlemesi

Regülasyon Talimatı

Regülasyon belgeleri belirli bir token standardını (örneğin ERC-20) belirtmemektedir. Bununla birlikte, belgeler bir dizi temel yönetim işlevinin gerçekleştirilmesini zorunlu kılmaktadır; bunlar arasında üretim (mint), yakma (burn), yükseltme (upgrade), durdurma (pause), yeniden başlatma (resume), dondurma (freeze), kara liste (blacklist), beyaz liste (whitelist) gibi işlemler bulunmaktadır.

Teknik Yorumu

Hong Kong Para Otoritesi aslında ERC-20 standardından çok daha fazla işlevselliğe sahip olan "regülasyon artırıcı" token standardını tanımlamıştır. Bu standart sadece temel token dolaşım işlevselliğini sağlamakla kalmaz, aynı zamanda operasyon güvenliği, yetki kontrolü ve risk izlenebilirliğini de vurgular. Uygunluk gereksinimlerini karşılarken güvenliği maksimize etmek için en verimli ve en güvenilir geliştirme yolu, geniş çapta denetlenmiş, topluluk tarafından tanınan standart kütüphanelerin (örneğin OpenZeppelin) kullanılması ve bu temel üzerinde işlev genişletmesidir.

Uygulama Kılavuzu

• Temel standart: Tokenlerin homojenliğini ve daha geniş ekosistem içindeki birlikte çalışabilirliğini sağlamak için ERC-20'yi temel standart olarak kullanır.

• Fonksiyon genişletmesi: Düzenleyici gereklilikleri karşılamak için aşağıdaki fonksiyon modüllerinin entegre edilmesi gerekmektedir:

  • Durdurulabilir: Tüm token etkinliklerini küresel olarak durdurma ve yeniden başlatma işlevini uygulamak için kullanılır, bu da büyük güvenlik olaylarına yanıt vermek için temel bir araçtır.

  • Mintable: Lisanslı émissyoncuların kontrol edilen süreçler aracılığıyla yeni token'lar üretmesini sağlamak ve token üretim miktarının yeterli fiat rezerv varlıklarıyla sıkı bir şekilde karşılık gelmesini sağlamak için kullanılır.

  • Yakılabilir: Token'ları yok etme işlevini sağlar. Belirli bir uygulamada, bu işlev sıkı yetki kontrollerine tabi olacaktır, rastgele kullanıcıların yok etmesine izin verilmeyecektir.

  • Dondurulabilir: Şüpheli işlemlerle ilgili olarak belirli hesapların token transfer işlevini durdurmak için kullanılır.

  • Beyaz liste: Ek güvenlik önlemleri uygulamak için kullanılır, yalnızca durum tespiti ve onaylanmış adreslerin temel işlemlere (yeni üretilen coin'leri almak gibi) katılmasına izin verir.

  • Kara Liste: Yasadışı faaliyetlerle (örneğin, kara para aklama, dolandırıcılık) ilişkili adreslerin işlem yasağı uygulanması için kullanılır, bu adreslerin token göndermesi/alması yasaktır. Kara liste yönetimi, AML/CFT sistemi ile entegre olmalı ve şüpheli işlemleri gerçek zamanlı olarak izlemelidir.

  • AccessControl: Bu, ayrıntılı ve role dayalı bir izin yönetim sisteminin temelini oluşturur. Tüm yönetim işlevleri, görev ayrımının gereksinimlerini karşılamak için bu modül aracılığıyla izin kontrolü yapılmalıdır.

3. Ana uyum modeli: kara liste ve beyaz liste seçimi

Regülasyon Talimatı

Sürekli izleme ile ilgili, kara para aklama/teröristlerin finansmanının önlenmesi ( AML/CFT ) konulu danışmanlık belgesi çeşitli önlemler önermiştir. Bunlar arasında "yaptırıma tabi olduğu veya yasadışı faaliyetlerle ilişkili olduğu tanımlanan cüzdan adreslerinin kara listeye alınması" veya daha sıkı "stablecoin sahiplerinin cüzdan adresleri için beyaz liste uygulaması veya kapalı devre modeli" gibi önlemler bulunmaktadır.

Teknik Yorumlama

Bu, tüm sistem mimarisindeki en kritik karar noktasıdır; bu, stablecoin'in açıklığı, kullanılabilirliği ve uyumlu işlemlerin karmaşıklığını doğrudan belirler.

• Kara liste modu: "varsayılan açık" bir mod. Tüm adresler varsayılan olarak serbest ticaret yapabilir, yalnızca açıkça tanımlanan ve zincir üzerindeki kara listeye eklenen adresler kısıtlanacaktır.

• Beyaz liste modu: "varsayılan kapalı" bir kapalı döngü modudur. Herhangi bir adres, üretici tarafından açıkça yapılmış bir due diligence ve onay olmadan ve zincir üzerindeki beyaz listeye eklenmeden, tokenları tutamaz veya alamaz.

Beyaz liste modu AML (kara para aklamaya karşı) kontrol yetenekleri sağlasa da, geniş bir kullanım için tasarlanmış bir stablecoin açısından katı bir beyaz liste sistemi, stablecoin'in yalnızca önceden incelemeden geçmiş katılımcılar arasında dolaşabileceği anlamına gelir; bu da onu esnek bir dijital para birimi yerine kapalı bir banka defteri sistemi gibi gösterir.

Bu nedenle, düzenleyici tarafından açıkça belirtilen kara liste modeli ile düzenleyicinin talep ettiği güçlü zincir dışı analiz araçlarının bir araya gelmesi, daha dengeli bir çözüm oluşturur. Bu, hem düzenleyici gereksinimleri karşılamakta hem de varlıkların kullanılabilirliğini korumaktadır.

Sistem, gelecekte düzenlemelerin sıkılaşması veya iş modeli değişiklikleri durumunda sorunsuz bir geçiş yapabilmesi için ölçeklenebilir olarak tasarlanabilir veya aynı anda iki modda çalışabilir.

Uygulama Kılavuzu

• Kara liste modu (varsayılan öneri):

  • Avantajları: Daha yüksek kullanılabilirliğe sahip olup, geniş merkeziyetsiz finans ( DeFi ) ekosistemiyle sorunsuz bir şekilde etkileşim kurarak kullanıcılara daha düşük kullanım eşiği ve daha akıcı bir deneyim sunar.

  • Dezavantajlar: Uyumluluk, yasa dışı adresleri zamanında tespit edip engelleyebilmek için güçlü, gerçek zamanlı zincir dışı izleme analiz yeteneklerine yüksek derecede bağımlıdır.

  • Uygulama Yöntemi: Akıllı sözleşmelerin transfer fonksiyonunda, işlem göndericisi (from) ve alıcısı (to) adreslerinin kara listede yer almadığını kontrol eden mantık eklenmelidir.

• Beyaz liste modu

  • Avantajlar: En yüksek seviyede AML/CFT kontrolleri sunarak, sonradan düzeltme yerine önceden önlem almayı sağlamaktadır.

  • Dezavantajlar: Stabilcoinlerin evrenselliğini ve benimsenme oranını büyük ölçüde sınırlayarak, beyaz liste yönetiminin büyük operasyonel maliyetlerini beraberinde getiriyor ve bunun, yaygın olarak kabul gören bir ticaret aracı haline gelmesini zorlaştırabilir.

  • Uygulama Yöntemi: Akıllı sözleşmelerin transfer fonksiyonunda, işlem gönderen (from) ve alıcı (to) adreslerinin beyaz listede bulunmasını talep eden mantık kontrolleri eklenmelidir. İşlemleri gerçekleştirmek için özel bir Web kullanıcı arka plan sistemi geliştirilmesi önerilir, böylece işlemlerin kolaylığı artırılabilir.

İkinci Kısım Akıllı Sözleşmelerin Gerçekleştirilmesi

Bu bölüm, akıllı sözleşmelerin temel işlevleri için ayrıntılı bir plan sunmakta, karmaşık düzenleme gereksinimlerini somut kod düzeyindeki mantığa, güvenlik modlarına ve operasyon protokollerine dönüştürmektedir.

1. Ayrıntılı bir erişim kontrol sistemi tasarlamak

Regülasyon Talimatı

Yüksek riskli işlemlerin tasarımı, "herhangi bir tarafın tek taraflı olarak ilgili işlemleri gerçekleştirmesini engellemelidir (örneğin, çoklu imza protokolü aracılığıyla)". Farklı işlemlerin sorumlulukları yeterince ayrılmalıdır.

Teknik Yorumlama

Bu, güçlü ve role dayalı bir erişim kontrol sisteminin (RBAC) zorunlu olduğu anlamına gelir. Herhangi bir formda tek bir "sahip" veya "yönetici" özel anahtarı, uyumsuzdur.

Uygulama Kılavuzu

Belirli bir dizi net rol tanımlanmalı ve bu roller, çoklu imza cüzdanları tarafından kontrol edilen farklı varlıklara veya çalışanlara atanmalıdır; bu, görev ayrımını sağlamak ve tek bir arıza noktasının veya komplo manipülasyonunun riskini en aza indirmek içindir. Her rol yalnızca belirli işlevlerle sınırlı olmalı, tüm işlemler çoklu imza yetkilendirmesi gerektirmeli ve hiçbir çalışan aynı anda birden fazla yüksek riskli rolde bulunmamalıdır. Tüm işlemler kaydedilmeli ve yıllık üçüncü taraf denetimine tabi tutulmalıdır; yetki dağılımı yönetici veya yönetim kurulu tarafından denetlenmelidir.

• MINTER_ROLE: Stabilcoinlerin üretimi ile ilgili işlemleri yürütmekle sorumludur (mint), geçerli üretim talepleri alındıktan sonra token birimleri oluşturmayı ve üretimin rezerv varlık havuzunun karşılık gelen artışıyla eşleşmesini sağlamayı içerir.

• BURNER_ROLE: Stabilcoinlerin yok edilmesi (burn) işlemlerini gerçekleştirmekle sorumludur, geçerli bir geri alma talebi aldığında token birimlerini yok etmek de dahil.

• PAUSER_ROLE: (pause) stabilcoin işlemlerini durdurmaktan sorumludur; örneğin, güvenlik tehdidi gibi anormal olaylar tespit edildiğinde, transferleri, üretimi veya geri alma işlemlerini geçici olarak durdurur.

• RESUME_ROLE: (resume) stabilcoin işlemlerinin geri yüklenmesinden sorumludur, örneğin duraklatma olayı çözüldükten sonra transferleri, üretimi veya geri alımı yeniden etkinleştirmek.

• FREEZER_ROLE: (freeze) ve (remove freeze) belirli cüzdan veya token'ların işlemlerini dondurmak ve dondurmayı kaldırmakla sorumludur; örneğin, şüpheli faaliyetler (örneğin, kara para aklama riski) tespit edildiğinde varlıkları geçici olarak dondurmak.

• WHITELISTER_ROLE: Beyaz listeyi (whitelist) yönetmekten sorumludur, bu da izin verilen cüzdan adreslerini eklemek veya kaldırmak anlamına gelir, örneğin, madeni para üretimini yalnızca beyaz liste adresleriyle sınırlamak.

• BLACKLISTER_ROLE: Kara listeyi yönetmekle sorumlu (blacklist) ve kara listedeki öğeleri kaldırmak (remove blacklist), örneğin şüpheli cüzdanları kara listeye alarak transferleri engellemek.

• UPGRADER_ROLE: Eğer yükseltilebilir bir model benimsenirse, (upgrade) akıllı sözleşmelerinin yükseltilmesinden sorumludur, örneğin, sözleşme kodunu güncelleyerek hataları düzeltmek veya işlevsellik eklemek.

Rol tabanlı erişim kontrol matrisinin ( RBAC Matrisinin )

Aşağıdaki tablo, her ayrıcalıklı işlemi gerekli rol ve kontrol türüne açık bir şekilde eşleştiren, geliştiriciler ve denetçiler için net ve sezgisel bir standart sunmaktadır.

| İşlem | Gerekli Rol | Kontrol Türü | |------|----------|----------| | üretim | MINTER_ROLE | çoklu imza | | yok etme | BURNER_ROLE | çoklu imza | | Duraklat | PAUSER_ROLE | Çoklu İmza | | Geri Yükle | RESUME_ROLE | Çoklu İmza | | Donmuş | FREEZER_ROLE | Çoklu İmza | | Çözümleme | FREEZER_ROLE | Çoklu İmza | | Beyaz liste ekle | WHITELISTER_ROLE | Çoklu imza | | Beyaz listeyi kaldır | WHITELISTER_ROLE | Çoklu