Solana'da Basım ve Dondurma Yetkisi (Mint ve Freeze Authority) Nedir?

Solana'daki her token bir mint hesabı (mint account) ile başlar: token programının tuttuğu ve tokenin kendisini tanımlayan küçük bir kayıt. Bu kayıttaki iki alan, bir tokenin güvenliği hakkında herhangi bir whitepaper'dan daha fazlasını söyler. Basım yetkisi (mint authority) yeni token oluşturabilir, dondurma yetkisi (freeze authority) ise herhangi bir token sahibinin bakiyesini kilitleyebilir. Token tarayıcılarının, cüzdanların ve DEX'lerin ilk kontrol ettiği, deneyimli bir alıcının da ilk baktığı şey bunlardır.

Aşağıda şunları bulacaksınız: her yetkinin gerçekte neler yapabildiği, bir tokenin başka hangi yetkilere sahip olabileceği, bir yetkiyi elde tutmanın ne zaman meşru, ne zaman tehlike işareti olduğu, herhangi bir tokeni kendiniz nasıl kontrol edebileceğiniz ve ChainTx.Tools'un Solana için Token Oluştur aracıyla yetkileri nasıl iptal edebileceğiniz.

#Kısa cevap

İptal etmek geri dönüşü olmayan bir adımdır. Solana'nın belgelerine göre bir yetkiyi None olarak ayarlamak o rolü kalıcı olarak kaldırır. Onu kimse geri getiremez: ne tokenin yaratıcısı ne de token programı.

#Mint hesabı neleri saklar

Solana'da bir token ayrı bir akıllı sözleşme değildir. Klasik tokenlerin tamamı tek bir ortak program olan SPL Token tarafından, daha yeni olanlar ise Token-2022 tarafından yönetilir. Bir tokeni benzersiz kılan, onun mint hesabıdır. Klasik programda bu hesap 82 bayt uzunluğundadır ve beş alan içerir: mint_authority, supply, decimals, bir is_initialized bayrağı ve freeze_authority (Solana belgeleri). Her iki yetki de isteğe bağlıdır: Alan ya bir adres içerir ya da boştur. Token-2022 bu düzeni korur ve arkasına, her birinin kendi yetkileri olan uzantılar (extensions) ekler.

Bir yetki yalnızca bir açık anahtardır. Arkasında sıradan bir cüzdan, bir multisig veya bir programdan türetilmiş adres (PDA) olabilir: Özel anahtarı olmayan ve yalnızca belirli bir programın, kodunda yazılı kurallara göre adına imza atabildiği bir adres. Dolayısıyla soru yalnızca bir yetkinin var olup olmadığı değil, onu kimin elinde tuttuğudur.

#Basım yetkisi: yeni tokenleri kim oluşturabilir

Basım yetkisi MintTo çağrısıyla herhangi bir hesaba istediği sayıda token oluşturabilir. Token programı hiçbir üst sınır koymaz; bu yüzden yetki var olduğu sürece bir web sitesinde yazan "maksimum arz" hiçbir şey ifade etmez. Arz ancak alan boş olduğunda gerçekten sabittir ve Solana Explorer bu durumda onu Fixed Supply olarak etiketler. Bir memecoin için aktif bir basım yetkisi, var olan en ciddi risktir: Sahibi ya da sahibinin anahtarını çalan herhangi biri milyarlarca token basabilir, bunları havuza satabilir ve birkaç işlemde fiyatı sıfıra indirebilir.

Yine de Solana'daki en büyük tokenlerden bazıları basım yetkisini haklı nedenlerle elinde tutar:

• USDC. Circle, müşteriler dolar yatırdığında yeni USDC basar, geri ödemede ise bunları yakar. Bu yazının yazıldığı sırada USDC'nin basım yetkisi tek bir cüzdan değil, token programının kendisine ait, 4 imzacıdan 2'sinin onayını gerektiren (2-of-4) bir multisig hesabıdır.
• Likit staking tokenleri. JitoSOL'un basım yetkisi, SPL Stake Pool programının bir PDA'sıdır. Yeni JitoSOL yalnızca biri havuza SOL yatırdığında basılır ve kimse onu elle basamaz.
• Arzı yayımlanmış bir takvime göre artan ödül ve emisyon tokenleri; bu takvimi ideal olarak bir program uygular ya da yetki bir multisig'de tutulur.

Bunu BONK ve JUP ile karşılaştırın: Her ikisinin de basım yetkisi None olarak ayarlanmıştır, dolayısıyla arzları asla artamaz.

#Dondurma yetkisi: token sahiplerinin tokenlerini kim kilitleyebilir

Dondurma yetkisi, kendi mint'ine ait herhangi bir token hesabında FreezeAccount, kilidi açmak için de ThawAccount çağrısı yapabilir. Dondurma mint üzerinde değil, token hesapları üzerinde çalışır. Dondurulmuş bir hesap bakiyesini korur, ancak çözülene kadar token alamaz, transfer edemez veya yakamaz. Dondurma yetkisi iptal edildiğinde, o mint'e ait hesaplar bir daha asla dondurulamaz.

"Herhangi bir token hesabı" gerçekten herhangi biri demektir: Bir token sahibinin cüzdanı, bir borsanın para yatırma hesabı, hatta bir likidite havuzunun kasası (vault). Bu da dondurma yetkisini klasik bir dolandırıcılığın temeli haline getirir: Alıcılar satın alabilir, ancak hesapları dondurulduğu için satamazlar ve yaratıcı havuzu boşaltır. Solflare, etkin bir dondurma yetkisini olası bir dolandırıcılığın güçlü bir göstergesi olarak nitelendirir.

Meşru kullanım alanı yasal uyumluluktur (compliance). Circle, USDC koşullarında yasa dışı faaliyetlerle ilişkili belirli USDC adreslerini "engelleme" hakkını saklı tutar ve Solana'da bunun aracı dondurma yetkisidir. USDC'de bu yetki de token programının 2-of-4 multisig hesabındadır. USDT ve PayPal'ın PYUSD'si de dondurma yetkisini elinde tutar. Düzenlemeye tabi bir stablecoin için bu beklenen bir durumdur; bir memecoin'de ise var olması için hiçbir neden yoktur.

Token-2022'de Default Account State uzantısı da her yeni token hesabının, dondurma yetkisi onu çözene kadar dondurulmuş olarak başlamasını sağlayabilir.

#Meta veri güncelleme yetkisi

Bir cüzdanda gördüğünüz ad, sembol ve logo yukarıdaki mint alanlarında saklanmaz. Bunlar, kendine ait bir yetkisi olan meta verilerde bulunur.

Klasik SPL tokenleri Metaplex Token Metadata programını kullanır. Mint'in yanındaki ayrı bir hesap; adı (en fazla 32 karakter), sembolü (en fazla 10), logo ve bağlantıları içeren bir JSON dosyasının URI'sini, bir güncelleme yetkisini (update authority) ve bir isMutable bayrağını tutar (Solana belgeleri). isMutable değerini false yapmak kesindir: Metaplex'e göre bir token değiştirilemez hale geldiğinde artık güncellenemez.

Token-2022 tokenleri meta verileri genellikle iki uzantı kullanarak mint'in içinde tutar. Metadata Pointer'ın meta verileri başka bir adrese yönlendirebilen bir yetkisi, Token Metadata'nın ise alanları değiştirebilen bir güncelleme yetkisi vardır. Bu yetkinin kaldırılması meta verileri değiştirilemez hale getirir.

Değiştirilebilir meta veriler, sahibinin tokeni yeniden adlandırmasına, trend olan bir tokenin logosunu kopyalamasına veya web sitesi bağlantısını bir oltalama (phishing) sitesiyle değiştirmesine olanak tanır. Tarayıcılar bunu daha hafif bir risk olarak görür: RugCheck "Mutable metadata" durumunu tehlike değil uyarı olarak gösterir, Phantom'un token sayfaları da bir tokenin değiştirilebilir olup olmadığını belirtir. Yine de bunun gerçek bir bedeli vardır: Meta veriler değiştirilemez hale geldiğinde bozuk bir logo URL'si asla düzeltilemez. Önce JSON dosyasının ve görselin kalıcı bir depolamada durduğundan ve birkaç cüzdanda doğru göründüğünden emin olun.

#Token-2022 uzantı yetkileri

Token-2022 uzantıları bir tokene yeni yetenekler kazandırır ve her biri kendi yetkisiyle gelir. Bu yazının yazıldığı sırada programın AuthorityType listesinde 18 kayıt bulunuyor. Alıcıların en çok önemsedikleri şunlardır:

Ayrıntılar, Solana'nın transfer ücretleri ve permanent delegate belgelerinde yer alıyor.

Token-2022 tabanlı bir stablecoin olan PayPal USD (PYUSD) bunu pratikte gösteriyor. Bu yazının yazıldığı sırada mint'inde basım ve dondurma yetkisinin yanı sıra bir permanent delegate, bir transfer ücreti yapılandırması (ücret %0 olarak ayarlı), program atanmamış bir transfer hook, gizli transferler (confidential transfers), bir metadata pointer, bir meta veri güncelleme yetkisi ve bir mint kapatma yetkisi bulunuyor. Düzenlemeye tabi bir ihraççı için bu, bilinçli olarak kurulmuş bir uyumluluk araç setidir. Bir memecoin'de ise aynı liste bir dizi tehlike işareti olarak okunurdu.

#Bir yetkiyi elde tutmak ne zaman meşrudur

Projeniz gerçekten bir yetkiye ihtiyaç duyuyorsa, onu tarayıcıdaki bir cüzdanda değil Squads gibi bir multisig'de tutun, neden var olduğunu ve kimin elinde olduğunu açıkça duyurun ve ihtiyacınız olmayan her şeyi iptal edin.

#Token tarayıcıları, cüzdanlar ve DEX'ler aktif yetkilere nasıl yaklaşıyor

• RugCheck, "Mint Authority still enabled" ve "Freeze Authority still enabled" durumlarını tehlike düzeyinde risk, "Mutable metadata" durumunu ise uyarı olarak gösterir. Tanınmış stablecoin'ler ayrı ele alınıyor gibi görünüyor ve bu işaretler olmadan listeleniyor.
• Jupiter. Tokens API, mintAuthorityDisabled: false ve freezeAuthorityDisabled: false değerlerinin risk olarak işaretlendiği bir audit nesnesi döndürür (Jupiter belgeleri).
• Phantom. Token sayfaları, bir tokenin değiştirilebilir (mutable) veya ek basıma açık (mintable) olup olmadığını ve en büyük sahiplerin payını gösterir (Phantom).
• DEX'ler. Meteora DLMM, dondurulabilir mint'leri inceleme olmadan kabul etmez (Meteora belgeleri). Orca Whirlpools, dondurma yetkisi olan mint'ler için bir token badge şartı arar ve yasal uyumluluk gibi açık bir neden olmadıkça bu yetkinin devre dışı bırakılmasını önerir (Orca belgeleri).

#Bir tokenin yetkilerini kendiniz nasıl kontrol edebilirsiniz

1. Solscan. solscan.io/token/MINT_ADDRESS adresini açın. Tokenin profil özetinde güncelleme, basım ve dondurma yetkisini listeleyen bir Authority alanı vardır; iptal edilmiş bir yetki "N/A" olarak görünür (Solscan rehberi).
2. Solana Explorer. Basım yetkisi yoksa arz "Fixed Supply" olarak etiketlenir; Mint Authority ve Freeze Authority satırları ise yalnızca bu yetkiler ayarlıysa görünür. Token-2022 mint'lerinde sayfa ayrıca Transfer Fee Authority ve Permanent Delegate gibi uzantı yetkilerini de listeler.
3. RugCheck. Mint adresini rugcheck.xyz sitesine yapıştırın ve yukarıdaki işaretlere bakın.
4. ChainTx.Tools. Solana için Token Oluştur aracımızın Set/Update Authority sekmesinde bir mint adresi yapıştırın ve Load token düğmesine tıklayın. Sekme mint'i ve Metaplex meta verilerini doğrudan zincirden okur ve cüzdan bağlamanıza gerek kalmadan mevcut basım, dondurma ve güncelleme yetkisini gösterir.

#ChainTx.Tools'ta yetkiler nasıl iptal edilir

Oluşturma sırasında. Solana için Token Oluştur aracında "Basım yetkisi" ve "Dondurma yetkisi" seçenekleri varsayılan olarak kapalıdır; bu da her ikisinin de iptal edildiği anlamına gelir ("kapalı = sabit arz", "kapalı = dondurulamaz"). Token-2022'de dondurma yetkisi hiç ayarlanmaz, basım yetkisi ise arzın tamamı basıldıktan hemen sonra aynı işlem içinde iptal edilir; SPL tokenlerinde de her şey tek bir işlemde yapılır. Pump.fun türüyle başlatılan coin'ler, Pump.fun programının tasarımı gereği bu iki yetkinin hiçbirine sahip değildir.

Mevcut bir token için Set/Update Authority sekmesini kullanın:

1. Yetkiyi şu anda elinde tutan cüzdanı bağlayın.
2. Mint adresini yapıştırın ve Load token düğmesine tıklayın.
3. Basım ve dondurma yetkisi için Keep (koru), Transfer (devret; örneğin bir multisig'e) veya Revoke (iptal et) seçeneğini seçin. Metaplex meta verileri için üçüncü seçenek Make immutable (değiştirilemez yap) olur.
4. Apply changes düğmesine tıklayın ve onaylayın. Basım ve dondurma değişiklikleri tek bir işleme, meta veri değişikliği ise ayrı bir işleme girer.

Sekme hem SPL Token hem de Token-2022 mint'leriyle çalışır, ancak yalnızca bağlı cüzdanınızın elinde tuttuğu yetkiler için; diğer her şey "Not controlled by your wallet" olarak işaretlenir.

#Sık yapılan hatalar

1. Arz kesinleşmeden yetkiyi iptal etmek. İptalden sonra tek bir token bile ekleyemezsiniz, bu yüzden önce tüm miktarı basın.
2. Yetkiyi iptal etmek yerine "ölü" bir adrese devretmek. Mint'i okuyan herkes alanda bir adres görür ve kimsenin onu kontrol etmediğini kanıtlamak, boş bir alan göstermekten çok daha zordur.
3. Token-2022 yetkilerini unutmak. Bir ücret yapılandırma yetkisi veya bir permanent delegate hâlâ aktifse, iptal edilmiş basım ve dondurma yetkileri işe yaramaz.
4. İptal edilmiş yetkilerin bir tokeni güvenli kıldığına inanmak. Bunlar iki belirli riski ortadan kaldırır. Kilitlenmemiş likidite, belirli ellerde toplanmış arz ve içeriden kişilerin (insider) cüzdanları ayrıca kontrol edilmesi gereken konulardır.

#Özet

Basım yetkisi arzın artıp artamayacağını, dondurma yetkisi token sahiplerinin bakiyelerinin kilitlenip kilitlenemeyeceğini, meta veri ve Token-2022 yetkileri ise tokenin kimliğinin ve transfer kurallarının sonradan değişip değişemeyeceğini belirler. Memecoin'ler için standart basittir: Basım ve dondurma yetkisini iptal edin, meta verileri kesinleşince kilitleyin ve güçlü yetkilere sahip uzantılardan kaçının. Stablecoin'ler ve likit staking tokenleri bazı yetkileri tasarım gereği elinde tutar, ancak bunları multisig'lerde veya programlarda saklar. Bir token satın almadan veya başlatmadan önce bu alanları kendiniz kontrol edin: Solscan'de, RugCheck'te veya Set/Update Authority sekmemizde yalnızca bir dakikanızı alır.