Gdje burza drži vaše kriptovalute i što se događa kad je hakirana?

Kad kupite kriptovalute na burzi, vaše stanje izgleda kao kovanice u ladici s vašim imenom. Ali nije tako, a to je važno kad nešto pođe po zlu. Napadači su 29. listopada 2026. iz Binanceovih internetskih „vrućih” novčanika odnijeli oko 6,3 milijarde $, prema navodima burze, koja je obustavila isplate do postupnog ponovnog pokretanja 1. studenoga. Evo kako funkcionira skrbnička pohrana.

Ključne točke: gdje burza drži vaše kriptovalute?

• Ključeve drži burza; vaše stanje njezin je zapis o tome što je vaše.
• Dio sredstava ostaje u internetskim „vrućim” novčanicima za isplate, koji su izloženiji napadima.
• Dokaz o rezervama snimka je stanja, a ne revizija. Fondovi poput SAFU-a rezerve su tvrtke, a ne pravno jamstvo.
• U EU-u pravila Uredbe MiCA o odvajanju i odgovornosti primjenjuju se samo na tvrtke s odobrenjem.
• Vlastita pohrana i pohrana kod tvrtke nose različite rizike; ni jedno ni drugo nije bez rizika.

Što znači da burza „drži” vaše kriptovalute?

Novčanik ne pohranjuje kovanice. Američka Komisija za vrijednosne papire i burze (SEC) kaže da novčanici „pohranjuju ‚privatne ključeve’ ili lozinke za vašu kriptoimovinu”. Privatni ključ je poput lozinke za premještanje kovanica. Izgubite li ga, pristup je zauvijek izgubljen.

Na burzi tim ključevima umjesto vas upravlja tvrtka: to je skrbnička pohrana (custody). Vaše stanje njezin je zapis o tome što je vaše, pokriven kovanicama čije ključeve ona kontrolira. Ako skrbnik „bude hakiran, prestane s radom ili bankrotira, mogli biste izgubiti pristup”, upozorava SEC. Ovo vam je novo? Počnite s osnovama kriptovaluta.

Što su vrući i hladni novčanici?

Zamislite trgovinu. Blagajna sprijeda drži ono što je potrebno za taj dan; trezor straga drži ostatak i do njega se sporije dolazi.

Vrući novčanik (hot wallet) je blagajna: spojen na internet, praktičan, ali izložen kibernetičkim prijetnjama. Hladni novčanik (cold wallet) je trezor: obično uređaj izvan mreže, primjerice USB stick, ili čak papir. SEC kaže da su hladni novčanici manje praktični, ali općenito bolje zaštićeni od kibernetičkih prijetnji. Uređaji se, međutim, mogu izgubiti, oštetiti ili biti ukradeni.

Mnoge burze navode da većinu kovanica klijenata drže izvan mreže, a radni saldo na internetu za isplate. Čak i mali internetski udio velike burze može značiti milijarde. Naš tečaj pohrana kriptovaluta obrađuje oboje.

Kako burze čuvaju ključeve?

Najveći je rizik da jedna osoba ili jedan stroj drži ključ za sve. Dvije česte tehnike raspodjeljuju tu moć:

• Multisig (više potpisa, multi-signature): transakcija zahtijeva nekoliko ključeva, primjerice 2 od 3, poput kutije koja se otvara tek kad dvoje od troje nositelja ključeva okrene svoje ključeve.
• MPC (višestrano računanje, multi-party computation, ili kriptografija praga): jedan ključ podijeljen je između nekoliko strana ili strojeva, tako da ga ni jedna nema cijelog.

Ti alati čuvaju ključ, ali ne i postupak odobravanja oko njega. U hakerskom napadu na Bybit 2025., u kojem je ispražnjen hladni novčanik s više potpisa, napadači su kompromitirali ljude i sustave oko novčanika, a ne kriptografiju, navodi analitička tvrtka Elliptic. Zato „multisig” ili „MPC” čitajte kao „nitko ne može sam premjestiti sredstva”, a ne kao „hakerski napadi su nemogući”. Više u našem uvodu u sigurnost.

Što je dokaz o rezervama i što ne pokazuje?

Dokaz o rezervama (proof of reserves, PoR) izvješće je burze o kriptovalutama koje drži u odnosu na stanja klijenata. Neka vam omogućuju da provjerite je li vaše stanje uključeno te dokazuju da rezerve pokrivaju stanja barem u omjeru jedan prema jedan, a da ne otkrivaju ničije stanje.

Zaposlenici američkog regulatora revizije PCAOB kažu da takva izvješća obuhvaćaju „određeni trenutak”, vjerojatno ne obuhvaćaju dugove tvrtke i ne daju nikakvo jamstvo o tome što se poslije događa s imovinom. „Angažmani PoR nisu revizije”, napisali su. To je bankovni izvadak za jednu sekundu. Vrući novčanik ispražnjen 29. listopada bio je naveden u Binanceovu izvješću od 1. listopada, izvijestio je CoinDesk.

Što je fond nalik osiguranju, poput SAFU-a?

SAFU je Binanceov fond za hitne slučajeve. Binance ga opisuje kao rezervu osnovanu u srpnju 2018. za ekstremne slučajeve poput sigurnosnih proboja, koja se financira postotkom naknada za trgovanje.

Takav fond pripada samoj tvrtki: ona odlučuje hoće li ga i kako upotrijebiti, u granicama onoga što si može priuštiti. Nijedan javni sustav ne jamči za kriptovalute. MiCA nalaže da informativni dokumenti izdavatelja navode da kriptoimovina nije obuhvaćena sustavima osiguranja depozita ni sustavima zaštite ulagatelja u EU-u, a američki osiguravatelj depozita FDIC kaže da se njegovo osiguranje ne odnosi na kriptovalute.

Što pravo EU-a zahtijeva od licenciranih tvrtki?

MiCA, pravilnik EU-a za kriptovalute, obuhvaća licencirane tvrtke koje drže kriptovalute klijenata ili ključeve do njih. Tekst Uredbe MiCA među ostalim zahtijeva:

• Čuvanje (članak 70.): „primjerene aranžmane za zaštitu prava vlasništva klijenata”, posebno u slučaju nesolventnosti, i zabranu upotrebe kriptoimovine klijenata za vlastiti račun tvrtke.
• Odvajanje (članak 75.): kriptoimovina klijenata drži se odvojeno od vlastite kriptoimovine tvrtke, uključujući na blockchainu, i izvan dosega vjerovnika tvrtke ako ona propadne.
• Odgovornost (članak 75.): tvrtka odgovara za kriptoimovinu izgubljenu u incidentu koji joj se može pripisati, ograničeno na njezinu tržišnu vrijednost u trenutku gubitka, ali ne i za događaje za koje dokaže da su se dogodili neovisno o njezinu poslovanju.

Kvaka je u tome što to vrijedi samo za tvrtke s odobrenjem. ESMA, nadzorno tijelo EU-a za tržišta, kaže da klijenti pružatelja bez odobrenja „nemaju koristi od zaštitnih mjera iz Uredbe MiCA, uključujući zaštitu imovine klijenata”, i vodi javni registar tvrtki s odobrenjem. Odobrenje ne isključuje hakerske napade, ali vam govori koja pravila vrijede. Više u tečaju pravila za kriptovalute u EU-u.

Vlastita pohrana ili tvrtka: koji su kompromisi?

Vlastita pohrana znači da sami držite svoje ključeve. Nijedna opcija ne uklanja rizik.

• Vlastita pohrana: isključiva kontrola i isključiva odgovornost. Hakerski napad na burzu ili njezin stečaj ne pogađaju izravno vaše kovanice. No izgubite li i novčanik i njegovu frazu za oporavak (seed phrase, riječi kojima se novčanik vraća), gubitak je obično trajan. Postavljanje može zahtijevati nešto znanja, a pravila Uredbe MiCA o skrbništvu ne primjenjuju se.
• Tvrtka: oporavak računa obično je moguć, a skrbnik s odobrenjem u EU-u mora poštovati pravila Uredbe MiCA o odvajanju i odgovornosti. No ovisite o njegovoj sigurnosti, praksama i sposobnosti da pokrije gubitak, a isplate mogu biti obustavljene.
• U oba slučaja: phishing i zlonamjerni softver na vašem uređaju i dalje su rizik.

Koje navike pomažu?

• Nikad ne dijelite svoje privatne ključeve ni frazu za oporavak, kaže SEC.
• Koristite jake lozinke i dvofaktorsku autentifikaciju (2FA), drugu provjeru uz lozinku. Američka agencija za kibernetičku sigurnost CISA poziva na verzije „otporne na phishing”.
• Razmislite o popisu dopuštenih adresa za isplate (allowlist) ako je ponuđen: isplate idu samo na adrese koje ste unaprijed odobrili.
• Nakon velikih vijesti očekujte phishing. Lažne poruke o „odšteti” brzo se pojavljuju, ponekad uz stvarne promocije, pa provjeravajte samo u službenoj aplikaciji ili na službenim mrežnim stranicama, nikad putem poveznice iz poruke.
• Budite oprezni s ponudama za „povrat” sredstava. FBI-jev centar IC3 naziva ih „varkom kojom se ponovno oštećuju oni koji su već izgubili novac”.

Što zaključiti

Na burzi su vaše kriptovalute stanje pokriveno ključevima koje kontrolira netko drugi, a napadi često pogađaju ljude i sustave oko tih ključeva. Dokaz o rezervama pokazuje jedan trenutak, fondovi za hitne slučajeve stvar su izbora, a obveze iz prava EU-a vrijede samo kod tvrtki s odobrenjem.

Što možete učiniti sada

• Naučite prepoznati lažne poruke o povratu novca i odšteti u tečaju o prepoznavanju prijevara.
• Pitanja o novčanicima i ključevima donesite na naše radionice.

Pitanja čitatelja

Ako moja burza bude hakirana, hoću li dobiti natrag svoje kriptovalute?

Ovisi. Burza može pokriti gubitke iz vlastitih sredstava, ali to je njezin izbor. Zamrznuta ukradena sredstva (koja je blokirao izdavatelj tokena) ne vraćaju se automatski; povrat može trajati mjesecima ili godinama. U EU-u skrbnik s odobrenjem odgovara za gubitke koji mu se mogu pripisati.

Je li hladni novčanik otporan na hakerske napade?

Nije. Općenito je manje izložen internetskim napadima, ali uređaj se može izgubiti, oštetiti ili biti ukraden.

Dokazuje li dokaz o rezervama da burza ima dovoljno novca?

Ne sam po sebi: pokazuje imovinu u jednom trenutku, a dugove tvrtke vjerojatno ne.

Cijene kriptovaluta mogu naglo rasti i padati, pa možete izgubiti dio ili sav novac koji ste uložili. Kriptovalute nisu obuhvaćene zaštitom depozita. Ovaj članak je edukativni sadržaj, a ne financijski savjet.