Gdzie giełda trzyma twoje kryptowaluty i co się dzieje, gdy zostanie zhakowana?

Kiedy kupujesz kryptowaluty na giełdzie, twoje saldo wygląda jak monety w szufladzie podpisanej twoim nazwiskiem. Tak jednak nie jest, a ma to znaczenie, gdy coś pójdzie nie tak. 29 października 2026 roku napastnicy wyprowadzili z internetowych „gorących” portfeli Binance około 6,3 mld $, według samej giełdy, która wstrzymała wypłaty do stopniowego wznowienia 1 listopada. Oto jak działa przechowywanie powiernicze.

Najważniejsze: gdzie giełda trzyma twoje kryptowaluty?

• Klucze ma giełda; twoje saldo to jej zapis tego, co należy do ciebie.
• Część środków zostaje w internetowych „gorących” portfelach na potrzeby wypłat, a te są bardziej narażone na ataki.
• Dowód rezerw to migawka, a nie audyt. Fundusze takie jak SAFU to rezerwy firmy, a nie gwarancja prawna.
• W UE zasady MiCA dotyczące oddzielenia aktywów i odpowiedzialności obowiązują tylko firmy z zezwoleniem.
• Samodzielne przechowywanie i korzystanie z firmy niosą różne ryzyka; żadna z tych opcji nie jest wolna od ryzyka.

Co to znaczy, że giełda „trzyma” twoje kryptowaluty?

Portfel nie przechowuje monet. Amerykańska Komisja Papierów Wartościowych i Giełd (SEC) pisze, że portfele „przechowują »klucze prywatne« lub hasła do twoich kryptoaktywów”. Klucz prywatny jest jak hasło do przenoszenia monet. Jeśli go stracisz, dostęp przepada na zawsze.

Na giełdzie tymi kluczami zarządza za ciebie firma: to jest przechowywanie powiernicze (custody). Twoje saldo to jej zapis tego, co należy do ciebie, pokryty monetami, do których klucze kontroluje. Jeśli powiernik „padnie ofiarą hakerów, zakończy działalność lub zbankrutuje, możesz stracić dostęp”, ostrzega SEC. Dopiero zaczynasz? Zacznij od podstaw kryptowalut.

Czym są gorące i zimne portfele?

Pomyśl o sklepie. Kasa z przodu mieści to, czego potrzeba na dany dzień; skarbiec na zapleczu mieści resztę, a dotarcie do niego trwa dłużej.

Gorący portfel (hot wallet) to kasa: połączony z internetem, wygodny, ale narażony na cyberzagrożenia. Zimny portfel (cold wallet) to skarbiec: zwykle urządzenie offline, np. pendrive, a nawet papier. SEC nazywa zimne portfele mniej wygodnymi, ale na ogół lepiej osłoniętymi przed cyberzagrożeniami. Urządzenia można jednak zgubić lub uszkodzić, mogą też zostać skradzione.

Wiele giełd deklaruje, że większość monet klientów trzyma offline, a saldo robocze na wypłaty – online. Nawet niewielka część dużej giełdy trzymana online może oznaczać miliardy. Nasz kurs przechowywanie kryptowalut omawia oba rodzaje.

Jak giełdy strzegą kluczy?

Największe ryzyko to sytuacja, w której jedna osoba lub jedna maszyna ma klucz do wszystkiego. Dwie popularne techniki rozkładają tę władzę:

• Multisig (wiele podpisów, multi-signature): transakcja wymaga kilku kluczy, np. 2 z 3, jak skrzynka, która otwiera się dopiero wtedy, gdy dwie z trzech osób z kluczami przekręcą swoje klucze.
• MPC (obliczenia wielostronne, multi-party computation, czyli kryptografia progowa): jeden klucz jest podzielony między kilka stron lub maszyn, więc żadna z nich nie ma go w całości.

Te narzędzia strzegą klucza, a nie procesu zatwierdzania wokół niego. Przy włamaniu na Bybit w 2025 roku, w którym opróżniono zimny portfel z wieloma podpisami, napastnicy uderzyli w ludzi i systemy wokół portfeli, a nie w kryptografię, twierdzi firma analityczna Elliptic. Czytaj więc „multisig” albo „MPC” jako „nikt nie może sam przenieść środków”, a nie „włamania są niemożliwe”. Więcej w naszym wprowadzeniu do bezpieczeństwa.

Czym jest dowód rezerw i czego nie pokazuje?

Dowód rezerw (proof of reserves, PoR) to raport giełdy o kryptowalutach, które posiada, w zestawieniu z saldami klientów. Niektóre pozwalają ci sprawdzić, czy twoje saldo zostało uwzględnione, i dowodzą, że rezerwy pokrywają salda co najmniej w stosunku jeden do jednego, nie ujawniając niczyjego salda.

Pracownicy amerykańskiego regulatora audytu PCAOB mówią, że takie raporty dotyczą „konkretnego momentu w czasie”, prawdopodobnie nie uwzględniają długów firmy i nie dają żadnej pewności co do tego, co dzieje się z aktywami później. „Usługi PoR nie są audytami” – napisali. To wyciąg bankowy z jednej sekundy. Gorący portfel opróżniony 29 października figurował w raporcie Binance z 1 października, podał CoinDesk.

Czym jest fundusz na wzór ubezpieczenia, taki jak SAFU?

SAFU to fundusz awaryjny Binance. Binance opisuje go jako rezerwę utworzoną w lipcu 2018 roku na skrajne sytuacje, takie jak naruszenia bezpieczeństwa, finansowaną z określonego procentu opłat transakcyjnych.

Taki fundusz należy do samej firmy: to ona decyduje, czy i jak go użyć, w granicach tego, na co ją stać. Żaden publiczny system nie gwarantuje kryptowalut. MiCA wymaga, by dokumenty informacyjne emitentów stwierdzały, że kryptoaktywa nie są objęte unijnymi systemami gwarantowania depozytów ani systemami rekompensat dla inwestorów, a amerykański ubezpieczyciel depozytów FDIC podaje, że jego ubezpieczenie nie obejmuje kryptowalut.

Czego prawo UE wymaga od licencjonowanych firm?

MiCA, unijny zbiór zasad dotyczących kryptowalut, obejmuje licencjonowane firmy, które przechowują kryptowaluty klientów lub klucze do nich. Tekst MiCA przewiduje m.in.:

• Sprawowanie pieczy (art. 70): firma wprowadza „odpowiednie mechanizmy mające na celu zabezpieczenie praw własności klientów”, zwłaszcza na wypadek niewypłacalności, i nie wykorzystuje kryptoaktywów klientów na własny rachunek.
• Oddzielenie (art. 75): kryptoaktywa klientów są przechowywane oddzielnie od własnych kryptoaktywów firmy, także w blockchainie, i poza zasięgiem wierzycieli firmy, jeśli ta upadnie.
• Odpowiedzialność (art. 75): firma odpowiada za kryptoaktywa utracone w wyniku incydentu, który można jej przypisać, do wysokości ich wartości rynkowej w momencie utraty, ale nie za zdarzenia, o których wykaże, że miały miejsce niezależnie od jej działalności.

Haczyk: dotyczy to tylko firm z zezwoleniem. ESMA, unijny organ nadzoru rynków, podaje, że klienci dostawców bez zezwolenia „nie korzystają z zabezpieczeń MiCA, w tym z ochrony aktywów klientów”, i prowadzi publiczny rejestr firm z zezwoleniem. Zezwolenie nie wyklucza włamań, ale mówi ci, jakie zasady obowiązują. Więcej w kursie zasady dotyczące kryptowalut w UE.

Samodzielne przechowywanie czy firma: jakie są plusy i minusy?

Samodzielne przechowywanie oznacza, że sam trzymasz swoje klucze. Żadna z opcji nie usuwa ryzyka.

• Samodzielne przechowywanie: wyłączna kontrola i wyłączna odpowiedzialność. Włamanie na giełdę lub jej upadłość nie dotyka bezpośrednio twoich monet. Ale jeśli stracisz i portfel, i jego frazę odzyskiwania (seed phrase, słowa, które go przywracają), strata jest zwykle trwała. Konfiguracja może wymagać pewnej wiedzy, a zasady MiCA dotyczące przechowywania nie mają tu zastosowania.
• Firma: odzyskanie konta jest zwykle możliwe, a powiernik z zezwoleniem w UE musi przestrzegać zasad MiCA dotyczących oddzielenia aktywów i odpowiedzialności. Ale zależysz od jego zabezpieczeń, praktyk i zdolności do pokrycia straty, a wypłaty mogą zostać wstrzymane.
• W obu przypadkach: phishing i złośliwe oprogramowanie na twoim własnym urządzeniu pozostają ryzykiem.

Jakie nawyki pomagają?

• Nigdy nie udostępniaj swoich kluczy prywatnych ani frazy odzyskiwania, zaznacza SEC.
• Używaj silnych haseł i uwierzytelniania dwuskładnikowego (2FA), czyli drugiej kontroli poza hasłem. Amerykańska agencja ds. cyberbezpieczeństwa CISA wzywa do korzystania z wersji „odpornych na phishing”.
• Rozważ listę dozwolonych adresów do wypłat (allowlist), jeśli jest dostępna: wypłaty trafiają tylko na adresy zatwierdzone przez ciebie z wyprzedzeniem.
• Po głośnych wiadomościach spodziewaj się phishingu. Fałszywe wiadomości o „rekompensacie” pojawiają się szybko, czasem obok prawdziwych promocji, więc sprawdzaj informacje tylko w oficjalnej aplikacji lub na oficjalnej stronie, nigdy przez link z wiadomości.
• Uważaj na oferty „odzyskania” pieniędzy. Centrum IC3 przy FBI nazywa je „podstępem, by ponownie oszukać tych, którzy już stracili pieniądze”.

Co z tego wynika

Na giełdzie twoje kryptowaluty to saldo pokryte kluczami, które kontroluje ktoś inny, a ataki często uderzają w ludzi i systemy wokół tych kluczy. Dowód rezerw pokazuje jeden moment, fundusze awaryjne to kwestia wyboru, a obowiązki wynikające z prawa UE dotyczą tylko firm z zezwoleniem.

Co możesz zrobić teraz

• Naucz się rozpoznawać fałszywe wiadomości o zwrocie i odzyskaniu pieniędzy w kursie o rozpoznawaniu oszustw.
• Z pytaniami o portfele i klucze przyjdź na nasze warsztaty.

Pytania czytelników

Jeśli moja giełda zostanie zhakowana, czy odzyskam swoje kryptowaluty?

To zależy. Giełda może pokryć straty z własnych środków, ale to jej wybór. Zamrożone skradzione środki (zablokowane przez emitenta tokena) nie wracają automatycznie; ich odzyskanie może trwać miesiące lub lata. W UE powiernik z zezwoleniem odpowiada za straty, które można mu przypisać.

Czy zimny portfel jest odporny na włamania?

Nie. Na ogół jest mniej narażony na ataki online, ale urządzenie można zgubić lub uszkodzić, może też zostać skradzione.

Czy dowód rezerw dowodzi, że giełda ma dość pieniędzy?

Sam w sobie nie: pokazuje aktywa w jednym momencie, a długów firmy prawdopodobnie nie.

Ceny kryptowalut mogą gwałtownie rosnąć i spadać – możesz stracić część lub całość włożonych pieniędzy. Kryptowaluty nie są objęte ochroną depozytów. Ten artykuł ma charakter edukacyjny i nie stanowi porady finansowej.