Hướng dẫn thực hiện hợp đồng thông minh dành cho người phát hành Stablecoin tại Hồng Kông

Phần 1 Cơ sở hạ tầng và chiến lược tuân thủ

1. Lựa chọn sổ cái phân tán nền tảng

Đề xuất ưu tiên sử dụng các blockchain công cộng trưởng thành và có độ an toàn cao như Ethereum, Arbitrum. Các mạng lưới này nhờ vào độ bền đã được thử nghiệm theo thời gian, mạng lưới nút xác minh lớn và sự giám sát công khai liên tục, có những lợi thế tự nhiên. Chi phí tấn công cao của chúng có thể phản hồi trực tiếp mối quan tâm của cơ quan quản lý đối với việc chống lại cuộc tấn công 51% và đảm bảo tính cuối cùng của giao dịch.

Nếu xem xét việc áp dụng chuỗi liên minh hoặc các loại sổ cái phân phối khác, cần thực hiện một phân tích so sánh nghiêm ngặt và có thể định lượng, để chứng minh rằng tiêu chuẩn an toàn của nó không thấp hơn, thậm chí còn tốt hơn chuỗi công cộng mainstream.

Báo cáo đánh giá rủi ro phải bao quát toàn diện khả năng chống lại các cuộc tấn công phổ biến, loại thuật toán đồng thuận, cũng như các rủi ro liên quan đến lỗi mã, lỗ hổng, khai thác lỗ hổng và các mối đe dọa khác, đồng thời phân tích chi tiết cách mà những rủi ro này có thể ảnh hưởng tiềm tàng đến việc phát hành, đổi lại và hoạt động hàng ngày của Stablecoin. Tài liệu này là tài liệu quan trọng để chứng minh tính thận trọng trong việc lựa chọn công nghệ đối với các cơ quan quản lý.

2. Tiêu chuẩn token cốt lõi và mở rộng chức năng quản lý

Đề nghị sử dụng ERC-20 làm tiêu chuẩn cơ sở, để đảm bảo sự đồng nhất của token và khả năng tương tác trong hệ sinh thái rộng lớn hơn.

Phải tích hợp các mô-đun chức năng sau đây để đáp ứng yêu cầu quy định:

• Pausable: được sử dụng để thực hiện chức năng tạm dừng và khôi phục toàn cầu cho tất cả các hoạt động của token, đây là công cụ cốt lõi để ứng phó với các sự kiện an ninh nghiêm trọng.
• Mintable: dùng để thực hiện việc phát hành có giấy phép, yêu cầu thông qua quy trình kiểm soát để đúc token mới và đảm bảo rằng số lượng token phát hành tương ứng chính xác với tài sản dự trữ tiền pháp định đầy đủ.
• Burnable: Cung cấp chức năng tiêu hủy token. Trong việc triển khai cụ thể, chức năng này sẽ được kiểm soát quyền hạn chặt chẽ, thay vì cho phép bất kỳ người dùng nào tự ý tiêu hủy.
• Freezable: dùng để tạm ngưng chức năng chuyển token của các tài khoản cụ thể ( nếu liên quan đến giao dịch nghi ngờ ).
• Whitelist: được sử dụng để thực hiện các biện pháp an ninh bổ sung, chỉ cho phép các địa chỉ đã được thẩm định và phê duyệt tham gia vào các hoạt động cốt lõi ( như nhận token mới được phát hành ).
• Danh sách đen: được sử dụng để thực hiện lệnh cấm giao dịch đối với các địa chỉ liên quan đến hoạt động bất hợp pháp ( như rửa tiền, gian lận ), cấm gửi/nhận token. Quản lý danh sách đen cần phối hợp với hệ thống AML/CFT, giám sát giao dịch nghi ngờ theo thời gian thực.
• AccessControl: Đây là cơ sở để thực hiện hệ thống quản lý quyền truy cập tinh vi, dựa trên vai trò. Tất cả các chức năng quản lý phải được kiểm soát quyền thông qua mô-đun này để đáp ứng yêu cầu phân tách trách nhiệm.

3. Mô hình tuân thủ chính: Lựa chọn danh sách đen và danh sách trắng

Đề xuất sử dụng chế độ danh sách đen làm phương án khuyến nghị mặc định:

• Ưu điểm: có tính ứng dụng cao hơn, có khả năng tương tác liền mạch với hệ sinh thái tài chính phi tập trung (DeFi) rộng lớn, mang đến cho người dùng ngưỡng sử dụng thấp hơn và trải nghiệm mượt mà hơn.
• Nhược điểm: Sự tuân thủ phụ thuộc mạnh mẽ vào khả năng phân tích giám sát ngoài chuỗi mạnh mẽ và theo thời gian thực, để kịp thời phát hiện và chặn các địa chỉ bất hợp pháp.
• Cách thực hiện: Trong hàm chuyển tiền của hợp đồng thông minh, thêm kiểm tra logic, đảm bảo rằng địa chỉ của bên gửi (from) và bên nhận (to) đều không nằm trong danh sách đen.

Phần hai Hợp đồng thông minh thực hiện

1. Thiết kế hệ thống kiểm soát truy cập tinh vi

Cần xác định một loạt các vai trò rõ ràng và phân công các vai trò này cho các thực thể hoặc nhân viên khác nhau, được kiểm soát bởi ví đa chữ ký, để thực hiện phân tách trách nhiệm, giảm thiểu điểm thất bại đơn lẻ hoặc rủi ro thao túng thông đồng. Mỗi vai trò chỉ nên giới hạn trong các chức năng cụ thể, tất cả các hoạt động cần có sự ủy quyền đa chữ ký và đảm bảo không có nhân viên đơn lẻ nào cùng nắm giữ nhiều vai trò có rủi ro cao. Tất cả các hoạt động cần được ghi lại và chấp nhận kiểm toán bên thứ ba hàng năm, việc phân bổ quyền hạn được giám sát bởi quản trị viên hoặc hội đồng quản trị.

Định nghĩa vai trò:

• MINTER_ROLE: chịu trách nhiệm xử lý hoạt động phát hành Stablecoin (mint)
• BURNER_ROLE: chịu trách nhiệm xử lý việc tiêu hủy Stablecoin ( burn )
• PAUSER_ROLE: chịu trách nhiệm tạm dừng (pause) Stablecoin hoạt động
• RESUME_ROLE: chịu trách nhiệm khôi phục (resume) hoạt động của Stablecoin
• FREEZER_ROLE: Chịu trách nhiệm đông lạnh (freeze) và gỡ đông lạnh (remove freeze) các hoạt động liên quan đến ví hoặc mã thông báo cụ thể.
• WHITELISTER_ROLE: chịu trách nhiệm quản lý danh sách trắng (whitelist)
• BLACKLISTER_ROLE: chịu trách nhiệm quản lý黑名单(blacklist) và loại bỏ黑名单(remove blacklist)
• UPGRADER_ROLE: Nếu áp dụng mô hình có thể nâng cấp, chịu trách nhiệm nâng cấp (upgrade) hợp đồng thông minh

2. phát hành ( coin ) cơ chế

Kiểm tra trước: Trước khi thực hiện việc phát hành coin, phải kiểm tra xem địa chỉ mục tiêu to có nằm trong danh sách đen hoặc trạng thái bị đóng băng không.

Quy trình thao tác:

1. Thẩm định ngoài chuỗi: Khách hàng hoàn thành tất cả các quy trình xác thực danh tính khách hàng ngoài chuỗi (KYC) và thẩm định khách hàng (CDD).
2. Nhận tiền: Khách hàng sẽ chuyển số tiền tương đương bằng tiền pháp định vào tài khoản ngân hàng do nhà phát hành chỉ định.
3. Xác minh nội bộ: Hệ thống nội bộ của người phát hành xác nhận đã nhận được tiền và cập nhật sổ sách kế toán của tài sản dự trữ tương ứng.
4. Thực hiện trên chuỗi: Nhóm vận hành tạo và ký một giao dịch đa chữ ký, gọi hàm phát hành token của hợp đồng thông minh, gửi stablecoin mới phát hành đến địa chỉ ví đã được khách hàng đăng ký và xác thực trước.

3. Hoàn lại ( cơ chế tiêu hủy )

Chuẩn bị rút: Người dùng trước tiên cần chuyển đổi các đồng tiền muốn rút về địa chỉ chỉ định do nhà phát hành kiểm soát.

Quy trình thao tác:

1. Yêu cầu ngoài chuỗi: Người dùng gửi một yêu cầu hoàn lại ngoài chuỗi thông qua nền tảng của bên phát hành. Trước khi xử lý yêu cầu, bên phát hành phải thực hiện kiểm tra thẩm định khách hàng thích hợp (CDD).
2. Xác thực hệ thống: Hệ thống của nhà phát hành xác thực tính hợp lệ của yêu cầu xác thực và kiểm tra xem người dùng đã hoàn thành thao tác chuyển token tương ứng trên chuỗi hay chưa.
3. Thanh toán bằng tiền pháp định: Nhà phát hành sẽ chuyển tiền pháp định tương đương vào tài khoản ngân hàng đã được người dùng đăng ký và xác minh trước.
4. Hủy bỏ trên chuỗi: Sau khi xác nhận việc chuyển tiền pháp thành công, ví đa chữ ký sở hữu BURNER_ROLE sẽ gọi hàm hủy bỏ, hủy bỏ số lượng mã thông báo tương ứng từ địa chỉ đã chỉ định.

4. Thực hiện kiểm soát khẩn cấp: tạm ngừng và đóng băng

Chức năng tạm dừng: chỉ được gọi bởi ví đa chữ ký nắm giữ PAUSER_ROLE, dùng để toàn cầu tạm dừng chức năng hợp đồng. Các điều kiện kích hoạt bao gồm phát hiện sự kiện bất thường ( như tấn công mạng hoặc tài sản dự trữ không khớp ), cần sự phê duyệt của hội đồng quản trị hoặc ban lãnh đạo cấp cao. Chức năng phục hồi được xử lý bởi RESUME_ROLE độc lập, nhằm đạt được phân tách trách nhiệm.

Chức năng đóng băng: được gọi bởi ví đa chữ ký nắm giữ FREEZER_ROLE, dùng để hạn chế chuyển khoản đối với địa chỉ cụ thể. Các điều kiện kích hoạt bao gồm hoạt động khả nghi ( như cảnh báo AML hoặc lệnh của tòa án ), cần xác thực ngoài chuỗi trước khi thực hiện. Giải phóng đóng băng được xử lý bởi cùng một vai trò, nhưng cần xác minh kiểm toán bổ sung, phát hành thông báo liên quan, để ngăn chặn lạm dụng.

5. Cơ chế lọc địa chỉ và danh sách đen

• Hàm thực hiện: Thực hiện chức năng thêm vào danh sách đen, xóa bỏ danh sách đen, và chỉ được gọi bởi ví đa chữ ký nắm giữ BLACKLISTER_ROLE.
• Giới hạn chuyển khoản: Cấm chuyển/nhận token từ địa chỉ có trong danh sách đen.
• Quy trình thao tác: Công cụ phân tích phát ra cảnh báo, kích hoạt kiểm tra tuân thủ nội bộ, sau khi đội ngũ tuân thủ xác nhận, giao dịch thêm vào danh sách đen sẽ được khởi xướng bởi ví đa ký BLACKLISTER_ROLE.

6. khả năng nâng cấp của hợp đồng thông minh

• Mô hình đại lý: Đối với hợp đồng thông minh loại EVM, có thể áp dụng mô hình đại lý ERC-1967 đã trưởng thành để đạt được khả năng nâng cấp.
• Kiểm soát quyền: Hàm nâng cấp chỉ có thể được gọi bởi ví đa chữ ký nắm giữ UPGRADER_ROLE.
• Quy trình quản lý thay đổi: Theo yêu cầu của cơ quan quản lý, trước khi đề xuất bất kỳ nâng cấp nào, phải hoàn thành một quy trình quản lý thay đổi nghiêm ngặt, bao gồm việc thực hiện kiểm toán an ninh toàn diện và độc lập bởi bên thứ ba đối với hợp đồng logic mới.

7. Nhật ký sự kiện trên chuỗi để phân tích và báo cáo

Ngoài các yêu cầu chuyển nhượng theo tiêu chuẩn ERC-20 (Transfer), sự kiện ủy quyền (Approval), hợp đồng phải định nghĩa và phát ra các sự kiện tùy chỉnh cho tất cả các hành động quản lý và thay đổi trạng thái:

• Phát hành/Thiêu ( Minted/Burned ) sự kiện
• Tạm dừng/hồi phục(Đã tạm dừng/Hồi phục)sự kiện
• Thêm/Xóa vào danh sách đen ( BlacklistAdded/BlacklistRemoved ) sự kiện
• Thêm/Xóa trắng (WhitelistAdded/WhitelistRemoved) sự kiện
• Địa chỉ bị đóng băng/giải phóng ( AddressFrozen/AddressUnfrozen ) sự kiện
• Thay đổi vai trò đặc quyền ( RoleGranted/RoleRevoked ) sự kiện
• nâng cấp hợp đồng ( Upgraded ) sự kiện

Phần Ba An Ninh Vận Hành và Quản Lý Vòng Đời

1. Kiến trúc quản lý khóa an toàn

• Tạo khóa: phải được thực hiện thông qua một "lễ nghi khóa" có tài liệu ghi chép chi tiết (key ceremony), trong một môi trường an toàn vật lý, hoàn toàn tách biệt với mạng bên ngoài.
• Lưu trữ khóa: Tất cả các vai trò quản lý phải được kiểm soát bởi ví đa chữ ký. Các khóa riêng mà những người ký trong ví đa chữ ký sử dụng phải được lưu trữ trong HSM hoặc ví phần cứng an toàn khác. Đối với các vai trò quan trọng nhất, khóa tương ứng phải được lưu trữ trong hệ thống cách ly, tách biệt hoàn toàn với bất kỳ môi trường trực tuyến nào.
• Sử dụng khóa: phải thực thi chính sách ký nhiều chữ ký. Đối với việc ký giao dịch liên quan đến "khóa riêng quan trọng", có thể cần sự hiện diện của các nhân viên liên quan để thực hiện.
• Sao lưu và phục hồi: Việc sao lưu phân mảnh khóa hoặc cụm từ ghi nhớ phải được lưu trữ tại nhiều vị trí an toàn và phân tán về địa lý trong khu vực Hong Kong ( hoặc tại các địa điểm được cơ quan quản lý phê duyệt ), và phải được bao bọc chống giả mạo.

2. Quy trình triển khai hoàn chỉnh và giám sát thời gian thực

Trước khi triển khai chính thức, phải lập và thực hiện nghiêm ngặt một "danh sách kiểm tra trước khi triển khai":

• Kiểm tra toàn diện: đảm bảo tỷ lệ bao phủ kiểm tra đơn vị trên 95%, tỷ lệ bao phủ mã nguồn chính 100%, đảm bảo xuất báo cáo tỷ lệ bao phủ kiểm tra đơn vị.
• Kiểm toán độc lập: hoàn thành ít nhất một, tốt nhất là hai báo cáo kiểm toán an ninh độc lập do các công ty kiểm toán có uy tín cung cấp.
• Đóng băng mã: Sau khi hoàn thành kiểm toán, đóng băng mã cho đến khi lên sóng, không thực hiện bất kỳ thay đổi nào đối với mã.
• Kiểm tra hồi quy: Trước khi triển khai chính thức, thực hiện kiểm tra đơn vị và tiến hành kiểm tra hồi quy.
• Phê duyệt tuân thủ: nhận được sự phê duyệt chính thức từ đội ngũ tuân thủ nội bộ, xác nhận logic hợp đồng đáp ứng tất cả các yêu cầu quy định liên quan.
• Diễn tập triển khai: Chuẩn bị kịch bản triển khai chi tiết và thực hiện diễn tập triển khai hoàn chỉnh trên một mạng thử nghiệm hoàn toàn nhất quán với môi trường mạng chính.
• Ủy quyền triển khai: được thực hiện bởi ví được ủy quyền để thực hiện thao tác triển khai cuối cùng.

Sau khi hoàn thành việc triển khai, cần thực hiện các biện pháp giám sát thích hợp để kịp thời thực hiện các biện pháp giảm thiểu đối với việc sử dụng các vai trò đặc quyền và các mối đe dọa mới xuất hiện:

• Giám sát hoạt động trên chuỗi: Giám sát việc sử dụng vai trò quản lý, kịp thời phát hiện các tình huống không được ủy quyền.
• Giám sát thông tin đe dọa: Cần phát hiện kịp thời những mối đe dọa mới xuất hiện và phân tích thông tin đe dọa để có thể thực hiện các biện pháp giảm thiểu kịp thời.

3. Cung cấp hỗ trợ kỹ thuật cho sự liên tục kinh doanh và kế hoạch thoát

Lập kế hoạch thoát khỏi kinh doanh: Kế hoạch bao gồm các tình huống có thể dẫn đến việc kết thúc có trật tự và bao gồm các biện pháp giám sát thực tế xảy ra hoặc có khả năng xảy ra của những tình huống này.

Quy trình rút tiền trên chuỗi:

• Cần tạm ngừng hợp đồng thông minh để dừng tất cả hành vi chuyển token, nhằm đảm bảo tối đa hóa lợi nhuận thanh lý tài sản dự trữ, tối thiểu hóa tác động đến sự ổn định tổng thể của thị trường.
• Dựa vào chức năng đổi lại và chức năng danh sách trắng, hỗ trợ người nắm giữ Stablecoin nộp đơn xin đổi lại.