Panduan Implementasi Smart Contract untuk Penerbit Stablecoin di Hong Kong

Bagian Pertama Infrastruktur Dasar dan Strategi Kepatuhan

1. Pemilihan buku besar terdistribusi dasar

Panduan Pelaksanaan

• Pilihlah rantai publik yang sudah matang: disarankan untuk memilih rantai blockchain publik yang sudah matang dan memiliki keamanan tinggi seperti Ethereum, Arbitrum, dll.
• Evaluasi ketat terhadap alternatif: Jika mempertimbangkan untuk menggunakan blockchain konsorsium atau jenis buku besar terdistribusi lainnya, perlu dilakukan analisis perbandingan yang ketat dan terukur untuk membuktikan bahwa standar keamanannya tidak lebih rendah, bahkan lebih baik daripada blockchain publik yang mainstream.
• Dokumen Penilaian Risiko: Laporan penilaian harus mencakup secara menyeluruh kemampuan untuk menahan serangan umum, jenis algoritma konsensus, serta risiko yang terkait dengan cacat kode, kerentanan, eksploitasi, dan ancaman lainnya, serta menganalisis secara rinci bagaimana risiko ini dapat mempengaruhi penerbitan, penukaran, dan operasi sehari-hari stablecoin.

2. Standar koin inti dan perluasan fungsi regulasi

Panduan Pelaksanaan

• Standar dasar: menggunakan ERC-20 sebagai standar dasar, untuk memastikan homogenitas token dan interoperabilitas di ekosistem yang lebih luas.

• Ekstensi Fungsional: Harus mengintegrasikan modul fungsi berikut untuk memenuhi persyaratan regulasi:

  • Pausable: digunakan untuk mengimplementasikan fungsi global untuk menghentikan dan mengembalikan semua aktivitas koin, ini adalah alat inti untuk menghadapi peristiwa keamanan yang signifikan.

  • Mintable: digunakan untuk mewujudkan penerbit berlisensi yang perlu mencetak koin baru melalui proses yang terkontrol, dan memastikan jumlah koin yang diterbitkan secara ketat sesuai dengan cadangan aset fiat yang memadai.

  • Burnable: menyediakan fungsi untuk menghancurkan koin. Dalam implementasi spesifik, fungsi ini akan dikendalikan dengan ketat oleh izin, bukan membiarkan pengguna sembarangan menghancurkan.

  • Freezable: digunakan untuk menghentikan fungsi transfer koin dari akun tertentu ( jika melibatkan transaksi yang mencurigakan ).

  • Whitelist: digunakan untuk menerapkan langkah-langkah keamanan tambahan, hanya memungkinkan alamat yang telah melalui uji tuntas dan disetujui untuk berpartisipasi dalam operasi inti ( seperti menerima token baru yang dicetak ).

  • Blacklist: digunakan untuk menerapkan larangan transaksi pada alamat yang terlibat dalam kegiatan ilegal ( seperti pencucian uang, penipuan ), melarang mereka mengirim/menerima koin. Manajemen blacklist perlu terintegrasi dengan sistem AML/CFT, memantau transaksi yang mencurigakan secara real-time.

  • AccessControl: Ini adalah dasar untuk sistem manajemen hak akses berbasis peran yang terperinci. Semua fungsi manajemen harus melalui modul ini untuk kontrol hak akses, guna memenuhi persyaratan pemisahan tanggung jawab.

3. Mode kepatuhan utama: pilihan daftar hitam dan daftar putih

Panduan Pelaksanaan

• Mode daftar hitam ( skema rekomendasi default ):

  • Keuntungan: Memiliki utilitas yang lebih tinggi, dapat beroperasi secara mulus dengan ekosistem keuangan terdesentralisasi yang luas (DeFi), memberikan pengguna ambang penggunaan yang lebih rendah dan pengalaman yang lebih lancar.

  • Kekurangan: Kepatuhan sangat bergantung pada kemampuan analisis pemantauan off-chain yang kuat dan real-time, untuk segera mendeteksi dan memblokir alamat ilegal.

  • Cara implementasi: dalam fungsi transfer smart contract, tambahkan pemeriksaan logika untuk memastikan bahwa alamat pengirim (from) dan penerima (to) tidak tercatat dalam daftar hitam.

• Mode daftar putih

  • Keuntungan: menyediakan tingkat tertinggi kontrol AML/CFT, mencapai pencegahan sebelumnya, bukan pemulihan setelahnya.

  • Kelemahan: sangat membatasi universalitas dan tingkat adopsi stablecoin, membawa biaya operasional yang besar untuk mengelola daftar putih, dan mungkin membuatnya sulit untuk menjadi media transaksi yang diterima secara luas.

  • Cara implementasi: dalam fungsi transfer dari smart contract, tambahkan pemeriksaan logika, yang mengharuskan alamat pengirim (from) dan penerima (to) harus ada dalam daftar putih. Disarankan untuk mengembangkan sistem backend pengguna Web khusus untuk melakukan operasi, untuk meningkatkan kenyamanan operasi.

Bagian Kedua Implementasi smart contract

1. Merancang sistem kontrol akses yang terperinci

Panduan Pelaksanaan

Harus ada serangkaian peran yang jelas didefinisikan dan peran ini dialokasikan kepada entitas atau karyawan yang berbeda yang dikendalikan oleh dompet multi-tanda tangan, untuk mencapai pemisahan tugas dan meminimalkan risiko titik kegagalan tunggal atau kolusi. Setiap peran harus dibatasi pada fungsi tertentu, semua operasi memerlukan otorisasi multi-tanda tangan, dan memastikan tidak ada karyawan tunggal yang memegang beberapa peran berisiko tinggi secara bersamaan. Semua operasi harus dicatat dalam log dan menjalani audit pihak ketiga tahunan, alokasi hak akses diawasi oleh administrator atau dewan direksi.

• MINTER_ROLE: Bertanggung jawab untuk menangani operasi minting stablecoin (mint), termasuk menciptakan unit token setelah menerima permintaan penerbitan yang sah, dan memastikan bahwa minting cocok dengan peningkatan pool aset cadangan yang sesuai.

• BURNER_ROLE: bertanggung jawab untuk menangani operasi pembakaran stablecoin (burn), termasuk menghancurkan unit koin setelah menerima permintaan penebusan yang valid.

• PAUSER_ROLE: Bertanggung jawab untuk menghentikan (pause) operasi stablecoin, seperti sementara menghentikan transfer, penerbitan, atau penebusan saat mendeteksi kejadian abnormal ( seperti ancaman keamanan ).

• RESUME_ROLE: Bertanggung jawab untuk memulihkan operasi (resume) stablecoin, seperti mengaktifkan kembali transfer, pencetakan, atau penebusan setelah peristiwa penangguhan diselesaikan.

• FREEZER_ROLE: bertanggung jawab untuk membekukan ( freeze ) dan mencabut pembekuan ( remove freeze ) operasi dompet atau koin tertentu, misalnya membekukan aset secara sementara saat mendeteksi aktivitas mencurigakan ( seperti risiko pencucian uang ).

• WHITELISTER_ROLE: bertanggung jawab untuk mengelola whitelist (whitelist), termasuk menambahkan atau menghapus alamat dompet yang diizinkan, misalnya membatasi penerbitan hanya untuk alamat dalam whitelist.

• BLACKLISTER_ROLE: bertanggung jawab untuk mengelola blacklist ( blacklist ) dan menghapus blacklist ( remove blacklist ), misalnya dengan mencantumkan dompet yang mencurigakan ke dalam blacklist untuk mencegah transfer.

• UPGRADER_ROLE: Jika menggunakan model yang dapat ditingkatkan, bertanggung jawab untuk meningkatkan (upgrade) smart contract, misalnya memperbarui kode kontrak untuk memperbaiki kerentanan atau menambahkan fitur.

2. penerbitan ( koin ) mekanisme

Panduan Pelaksanaan

Pemeriksaan awal: Fungsi harus memeriksa apakah alamat tujuan to berada dalam daftar hitam atau dalam status dibekukan sebelum melakukan penerbitan koin.

Prosedur operasi:

• Due diligence off-chain: Klien menyelesaikan semua identifikasi pelanggan off-chain yang diperlukan ( KYC ) dan proses due diligence pelanggan ( CDD ). Selain itu, peraturan AML/CFT mengharuskan bahwa untuk membangun hubungan bisnis atau melakukan transaksi sesekali di atas ambang tertentu ( seperti 8.000 HKD ), CDD harus dilaksanakan.
• Penerimaan dana: Klien akan mentransfer dana setara dengan mata uang fiat ke rekening bank yang ditentukan oleh penerbit.
• Verifikasi internal: Sistem internal penerbit mengonfirmasi penerimaan dana dan memperbarui catatan akuntansi aset cadangan.
• Eksekusi di blockchain: Tim operasional membuat dan menandatangani transaksi multi-tanda tangan, memanggil fungsi mint token dari smart contract, mengirim stablecoin yang baru dicetak ke alamat dompet yang telah terdaftar dan diverifikasi oleh pelanggan.

3. Penebusan ( mekanisme penghancuran )

Panduan Implementasi

Persiapan penebusan: Pengguna terlebih dahulu perlu memindahkan koin yang akan ditebus ke alamat yang ditentukan yang dikelola oleh penerbit.

Prosedur operasi:

• Permintaan off-chain: Pengguna mengajukan permintaan penebusan off-chain melalui platform penerbit. Sebelum memproses permintaan, penerbit harus melakukan due diligence pelanggan yang sesuai (CDD).
• Verifikasi sistem: Memvalidasi permintaan verifikasi sistem penerbit dan memeriksa apakah pengguna telah menyelesaikan operasi transfer koin yang sesuai di blockchain.
• Pembayaran fiat: Penerbit akan mentransfer sejumlah fiat yang setara ke rekening bank yang telah terdaftar dan diverifikasi oleh pengguna.
• Penghancuran di blockchain: Setelah konfirmasi transfer fiat berhasil, dompet multi-tanda tangan yang memiliki BURNER_ROLE memanggil fungsi penghancuran, untuk menghancurkan jumlah koin yang sesuai dari alamat yang ditentukan.

4. Melaksanakan kontrol darurat: menghentikan dan membekukan

Pedoman Pelaksanaan

Fungsi penangguhan: hanya dapat dipanggil oleh dompet multisignature yang memiliki PAUSER_ROLE, digunakan untuk menghentikan fungsi kontrak secara global. Kondisi pemicu termasuk deteksi kejadian abnormal ( seperti serangan jaringan atau ketidakcocokan aset cadangan ), yang memerlukan persetujuan dewan direksi atau manajemen senior. Fungsi pemulihan ditangani oleh RESUME_ROLE yang independen, untuk mencapai pemisahan tanggung jawab.

Fungsi pembekuan: dipanggil oleh dompet multisig yang memiliki FREEZER_ROLE, digunakan untuk membatasi transfer ke alamat tertentu. Kondisi pemicu termasuk aktivitas mencurigakan ( seperti peringatan AML atau perintah pengadilan ), yang harus dieksekusi setelah verifikasi off-chain. Pencabutan pembekuan ditangani oleh peran yang sama, tetapi memerlukan verifikasi audit tambahan, merilis pengumuman terkait, untuk mencegah penyalahgunaan.

5. Penyaringan alamat dan mekanisme daftar hitam

Panduan Pelaksanaan

• Implementasi fungsi: fungsi untuk menambahkan dan menghapus dari daftar hitam, dan hanya dapat dipanggil oleh dompet multi-tanda tangan yang memegang BLACKLISTER_ROLE.
• Batas transfer: Dilarang untuk alamat yang masuk dalam daftar hitam untuk mentransfer/menerima koin.
• Proses operasi: Alat analisis mengeluarkan peringatan, memicu pemeriksaan kepatuhan internal, setelah tim kepatuhan melakukan pemeriksaan dan konfirmasi, transaksi penambahan daftar hitam diprakarsai oleh dompet multisig BLACKLISTER_ROLE.

6. Keterupgradean smart contract

Panduan Pelaksanaan

• Model proxy: Untuk kontrak pintar jenis EVM, model proxy ERC-1967 yang matang dapat digunakan untuk mencapai kemampuan upgrade.
• Kontrol Akses: Fungsi upgrade hanya boleh dipanggil oleh dompet multisig yang memegang UPGRADER_ROLE.
• Proses manajemen perubahan: Sesuai dengan persyaratan regulasi, sebelum mengajukan peningkatan apa pun, harus menyelesaikan proses manajemen perubahan yang ketat, yang mencakup audit keamanan pihak ketiga yang independen dan menyeluruh terhadap kontrak logika baru.

7. Log peristiwa on-chain untuk analisis dan laporan

Panduan Implementasi

Selain persyaratan transfer standar ERC-20 (Transfer), dan otorisasi (Approval), kontrak harus mendefinisikan dan mengeluarkan acara kustom untuk semua tindakan manajemen dan perubahan status:

• Pencetakan/Pembakaran koin ( Minted/Burned ) peristiwa
• Kontrak Dijeda/Melanjutkan (Paused/Resume) peristiwa
• Tambah/Hapus dari Daftar Hitam ( BlacklistAdded/BlacklistRemoved ) peristiwa
• Penambahan/Penghapusan (WhitelistAdded/WhitelistRemoved) acara
• Pembekuan alamat/Pencabutan pembekuan ( AddressFrozen/AddressUnfrozen ) peristiwa
• Perubahan peran istimewa ( RoleGranted/RoleRevoked ) peristiwa
• Peningkatan kontrak ( Upgraded ) peristiwa

Bagian Ketiga Keamanan Operasional dan Manajemen Siklus Hidup

1. Arsitektur Manajemen Kunci Keamanan

Panduan Implementasi

• Generasi kunci: Harus dilakukan melalui "ritual kunci" yang didokumentasikan secara rinci (key ceremony), di lingkungan yang aman secara fisik dan sepenuhnya terisolasi dari jaringan luar.
• Penyimpanan kunci: Semua peran manajemen harus dikendalikan oleh dompet multisignature. Kunci privat yang digunakan oleh penandatangan dompet multisignature ini harus disimpan di HSM atau dompet perangkat keras aman lainnya. Untuk peran yang paling kritis, kunci yang sesuai harus disimpan di sistem yang terputus dari jaringan, secara fisik terpisah dari lingkungan online.
• Penggunaan kunci: strategi tanda tangan multi-tanda tangan harus diterapkan secara ketat. Untuk tanda tangan transaksi yang melibatkan "kunci pribadi penting", mungkin perlu pihak terkait hadir secara langsung.
• Cadangan dan Pemulihan: Cadangan pecahan kunci atau frasa pemulihan harus disimpan di beberapa lokasi yang aman dan secara geografis terpisah di dalam Hong Kong ( atau lokasi yang disetujui oleh regulator ), dan harus menggunakan kemasan yang tahan terhadap manipulasi.

2. Proses penerapan yang lengkap dan pemantauan runtime

Panduan Pelaksanaan

Sebelum penerapan resmi, harus disusun dan dilaksanakan dengan ketat sebuah "daftar periksa sebelum penerapan":

• Uji menyeluruh: pastikan cakupan pengujian unit di atas 95%, cakupan kode inti 100%, dan pastikan untuk menghasilkan laporan cakupan pengujian unit.
• Audit independen: menyelesaikan setidaknya satu, lebih baik dua laporan audit keamanan independen yang dikeluarkan oleh perusahaan audit yang memiliki reputasi baik.
• Pembekuan kode: Setelah audit selesai, bekukan kode hingga diluncurkan, tidak ada perubahan kode yang dilakukan.
• Pengujian regresi: Lakukan pengujian unit dan pengujian regresi sebelum penerapan resmi.
• Persetujuan kepatuhan: Mendapatkan persetujuan resmi dari tim kepatuhan internal, memastikan logika kontrak memenuhi semua persyaratan regulasi yang relevan.
• Latihan Penyebaran: Siapkan skrip penyebaran yang terperinci, dan lakukan latihan penyebaran lengkap di jaringan pengujian yang sepenuhnya konsisten dengan lingkungan jaringan utama.
• Otorisasi penyebaran: oleh dompet yang diberi otorisasi untuk menjalankan operasi penyebaran akhir.

Setelah penyebaran selesai, langkah-langkah pemantauan yang tepat harus diambil untuk segera menerapkan langkah-langkah mitigasi terhadap penggunaan peran istimewa dan ancaman baru yang muncul:

• Pemantauan aktivitas di blockchain: mengawasi peran manajemen