Kje borza hrani vaše kriptovalute in kaj se zgodi, ko vanjo vdrejo?

Ko kriptovalute kupite na borzi, je vaše stanje videti kot kovanci v predalu z vašim imenom. A ni tako, in to je pomembno, ko gre kaj narobe. Napadalci so 29. oktobra 2026 po navedbah borze Binance iz njenih spletnih „vročih“ denarnic odnesli približno 6,3 milijarde $, borza pa je dvige ustavila do postopnega ponovnega zagona 1. novembra. Tu je, kako deluje skrbniška hramba.

Ključne točke: kje borza hrani vaše kriptovalute?

• Ključe ima borza; vaše stanje je njen zapis o tem, kaj je vaše.
• Del sredstev za dvige ostane v spletnih „vročih“ denarnicah, ki so bolj izpostavljene napadom.
• Dokazilo o rezervah je posnetek stanja, ne revizija. Skladi, kot je SAFU, so rezerve podjetja, ne pravno jamstvo.
• V EU pravila uredbe MiCA o ločevanju in odgovornosti veljajo le za podjetja z dovoljenjem.
• Lastna hramba in hramba pri podjetju prinašata različna tveganja; nobena ni brez tveganja.

Kaj pomeni, da borza „hrani“ vaše kriptovalute?

Denarnica ne hrani kovancev. Ameriška komisija za vrednostne papirje in borzo (SEC) pravi, da denarnice „hranijo ‚zasebne ključe‘ ali gesla za vaša kriptosredstva“. Zasebni ključ je kot geslo za premikanje kovancev. Če ga izgubite, je dostop izgubljen za vedno.

Na borzi te ključe za vas upravlja podjetje: to je skrbniška hramba (custody). Vaše stanje je njegov zapis o tem, kaj je vaše, krit s kovanci, katerih ključe nadzoruje. Če skrbnik „utrpi vdor, preneha delovati ali gre v stečaj, lahko izgubite dostop“, opozarja SEC. Ste novi v tem? Začnite z osnovami kriptovalut.

Kaj sta vroča in hladna denarnica?

Pomislite na trgovino. Blagajna spredaj hrani toliko, kolikor je potrebno za dan; trezor zadaj hrani preostanek in do njega pridete počasneje.

Vroča denarnica (hot wallet) je blagajna: povezana z internetom, priročna, a izpostavljena kibernetskim grožnjam. Hladna denarnica (cold wallet) je trezor: običajno naprava brez povezave, na primer ključek USB, ali celo papir. SEC pravi, da so hladne denarnice manj priročne, a na splošno bolje zaščitene pred kibernetskimi grožnjami. Naprave pa se lahko izgubijo, poškodujejo ali so ukradene.

Mnoge borze navajajo, da večino kovancev strank hranijo brez povezave, delovno stanje za dvige pa na spletu. Že majhen spletni delež velike borze lahko pomeni milijarde. Naš tečaj o hrambi kriptovalut pojasni oboje.

Kako borze varujejo ključe?

Največje tveganje je, da ima ena oseba ali en stroj ključ do vsega. Dve pogosti tehniki to moč porazdelita:

• Multisig (več podpisov, multi-signature): transakcija potrebuje več ključev, na primer 2 od 3, kot skrinjica, ki se odpre le, ko dva od treh imetnikov ključev obrneta svoj ključ.
• MPC (večstranski izračun, multi-party computation, ali pragovna kriptografija): en ključ je razdeljen med več strani ali strojev, tako da ga nobena od njih nima celega.

Ta orodja varujejo ključ, ne pa postopka odobritev okoli njega. Pri vdoru v Bybit leta 2025, v katerem je bila izpraznjena hladna denarnica z več podpisi, so napadalci ogrozili ljudi in sisteme okoli denarnic, ne kriptografije, navaja analitično podjetje Elliptic. Zato „multisig“ ali „MPC“ berite kot „nihče ne more sam premakniti sredstev“, ne kot „vdori so nemogoči“. Več v našem uvodu v varnost.

Kaj je dokazilo o rezervah in česa ne pokaže?

Dokazilo o rezervah (proof of reserves, PoR) je poročilo borze o kriptovalutah, ki jih ima, v primerjavi s stanji strank. Nekatera vam omogočajo preveriti, ali je bilo vaše stanje vključeno, in dokazujejo, da rezerve krijejo stanja najmanj v razmerju ena proti ena, ne da bi razkrila stanje kogar koli.

Uslužbenci ameriškega regulatorja revizije PCAOB pravijo, da taka poročila zajemajo „določen trenutek“, verjetno ne upoštevajo dolgov podjetja in ne dajejo nobenega zagotovila o tem, kaj se s sredstvi zgodi pozneje. „Preverjanja PoR niso revizije,“ so zapisali. To je bančni izpisek za eno sekundo. Vroča denarnica, izpraznjena 29. oktobra, je bila po poročanju CoinDeska navedena v Binancovem poročilu z dne 1. oktobra.

Kaj je sklad v slogu zavarovanja, kot je SAFU?

SAFU je Binancov sklad za nujne primere. Binance ga opisuje kot rezervo, ustanovljeno julija 2018 za skrajne primere, kot so varnostni vdori, ki se financira iz deleža provizij za trgovanje.

Tak sklad je last podjetja: to se odloči, ali in kako ga bo uporabilo, v mejah tega, kar si lahko privošči. Nobena javna shema ne jamči za kriptovalute. MiCA zahteva, da informativni dokumenti izdajateljev navajajo, da kriptosredstva niso zajeta v sistemih jamstva za vloge ali sistemih odškodnin za vlagatelje v EU, ameriški zavarovatelj vlog FDIC pa pravi, da njegovo zavarovanje ne velja za kriptovalute.

Kaj pravo EU zahteva od podjetij z licenco?

MiCA, pravilnik EU za kriptovalute, zajema podjetja z licenco, ki hranijo kriptovalute strank ali ključe do njih. Besedilo uredbe MiCA med drugim zahteva:

• Zaščita (člen 70): „ustrezne ureditve za zaščito lastniških pravic strank“, zlasti v primeru insolventnosti, in nobene uporabe kriptosredstev strank za lastni račun podjetja.
• Ločevanje (člen 75): kriptosredstva strank se hranijo ločeno od lastnih kriptosredstev podjetja, tudi v verigi blokov, in so zunaj dosega upnikov podjetja, če to propade.
• Odgovornost (člen 75): podjetje odgovarja za kriptosredstva, izgubljena zaradi incidenta, ki ga je mogoče pripisati njemu, omejeno na njihovo tržno vrednost v času izgube, ne pa za dogodke, za katere dokaže, da so se zgodili neodvisno od njegovega poslovanja.

Past pa je: to velja le za podjetja z dovoljenjem. ESMA, nadzornik trgov EU, pravi, da stranke ponudnikov brez dovoljenja „niso deležne zaščitnih ukrepov iz uredbe MiCA, vključno z zaščito sredstev strank“, in vodi javni register podjetij z dovoljenjem. Dovoljenje ne izključuje vdorov, pove pa vam, katera pravila veljajo. Več v tečaju pravila za kriptovalute v EU.

Lastna hramba ali podjetje: kakšne so prednosti in slabosti?

Lastna hramba pomeni, da imate svoje ključe sami. Nobena možnost ne odpravi tveganja.

• Lastna hramba: izključni nadzor in izključna odgovornost. Vdor v borzo ali njen stečaj vaših kovancev neposredno ne prizadene. Če pa izgubite tako denarnico kot njeno obnovitveno frazo (seed phrase, besede, s katerimi jo obnovite), je izguba običajno trajna. Nastavitev lahko zahteva nekaj znanja, pravila uredbe MiCA o skrbniški hrambi pa ne veljajo.
• Podjetje: obnovitev računa je običajno mogoča, skrbnik z dovoljenjem v EU pa mora upoštevati pravila uredbe MiCA o ločevanju in odgovornosti. A odvisni ste od njegove varnosti, praks in zmožnosti, da krije izgubo, dvigi pa so lahko začasno ustavljeni.
• V obeh primerih: lažno predstavljanje (phishing) in zlonamerna programska oprema na vaši napravi ostajata tveganje.

Katere navade pomagajo?

• Nikoli ne delite svojih zasebnih ključev ali obnovitvene fraze, pravi SEC.
• Uporabljajte močna gesla in dvofaktorsko preverjanje pristnosti (2FA), drugo preverjanje poleg gesla. Ameriška agencija za kibernetsko varnost CISA priporoča različice, „odporne proti lažnemu predstavljanju“.
• Razmislite o seznamu dovoljenih naslovov za dvige (allowlist), če je na voljo: dvigi gredo le na naslove, ki ste jih vnaprej odobrili.
• Po velikih novicah pričakujte poskuse lažnega predstavljanja. Lažna sporočila o „odškodnini“ se pojavijo hitro, včasih ob resničnih promocijah, zato preverjajte le v uradni aplikaciji ali na uradni spletni strani, nikoli prek povezave v sporočilu.
• Bodite previdni pri ponudbah za „vračilo“ denarja. Center IC3 pri FBI jih imenuje „zvijača, s katero znova oškodujejo tiste, ki so denar že izgubili“.

Kaj si zapomniti

Na borzi so vaše kriptovalute stanje, ki ga krijejo ključi, ki jih nadzoruje nekdo drug, napadi pa pogosto zadenejo ljudi in sisteme okoli teh ključev. Dokazilo o rezervah pokaže en trenutek, skladi za nujne primere so stvar izbire, obveznosti po pravu EU pa veljajo le pri podjetjih z dovoljenjem.

Kaj lahko storite zdaj

• Kako prepoznati lažna sporočila o vračilu denarja in odškodnini, se naučite v tečaju o prepoznavanju prevar.
• Vprašanja o denarnicah in ključih prinesite na naše delavnice.

Vprašanja bralcev

Če vdrejo v mojo borzo, ali mi bodo kriptovalute vrnjene?

Odvisno. Borza lahko izgube krije iz lastnih sredstev, vendar je to njena odločitev. Zamrznjena ukradena sredstva (ki jih blokira izdajatelj žetona) se ne vrnejo samodejno; vračilo lahko traja mesece ali leta. V EU skrbnik z dovoljenjem odgovarja za izgube, ki jih je mogoče pripisati njemu.

Ali je hladna denarnica odporna proti vdorom?

Ne. Na splošno je manj izpostavljena spletnim napadom, vendar se naprava lahko izgubi, poškoduje ali je ukradena.

Ali dokazilo o rezervah dokazuje, da ima borza dovolj denarja?

Samo po sebi ne: pokaže sredstva v enem trenutku, dolgov podjetja pa verjetno ne.

Cene kriptovalut lahko močno narastejo in padejo, zato lahko izgubite del ali ves denar, ki ste ga vložili. Kriptovalute niso zajete v zaščiti vlog. Ta članek je namenjen izobraževanju in ni finančno svetovanje.