Czy bezpiecznie jest trzymać krypto na giełdzie?

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Trzymanie kryptowalut na scentralizowanej giełdzie jest całkowicie niebezpieczne dla długoterminowych inwestycji, ponieważ oddajesz pełną kontrolę nad swoimi kluczami prywatnymi zewnętrznej firmie. W przypadku ataku hakerskiego, defraudacji środków przez zarząd lub bankructwa platformy, tracisz dostęp do swoich aktywów i stajesz się zwykłym wierzycielem w wieloletnim procesie upadłościowym. Prawda jest zresztą absolutnie taka, że giełda służy wyłącznie do wymiany walut, a nie do ich magazynowania. Zostawiasz tam tylko tyle kapitału, ile akurat potrzebujesz do bieżącego handlu na sesji.

Kiedy zakładasz konto na platformie transakcyjnej, w rzeczywistości nie kupujesz kryptowalut na własność w sensie technicznym. Widzisz po prostu cyfry na ekranie, które stanowią obietnicę giełdy, że w momencie zlecenia wypłaty, firma ta wyśle ci odpowiednią ilość Bitcoina lub Ethereum. Dopóki tokeny leżą na portfelu gorącym (hot wallet) należącym do operatora, to on posiada tzw. seed phrase. Ty masz jedynie login i hasło do interfejsu webowego. Złamano tu fundamentalną zasadę całego tego rynku. Nie twoje klucze, nie twoje monety. To bez mała najgorsza opcja z wszystkich dostępnych dla kogoś, kto myśli o trzymaniu cyfrowego złota latami.

Dlaczego trzymanie kryptowalut na giełdzie to ryzyko utraty środków?

Oddajesz własność w zamian za wygodę. Scentralizowane giełdy kryptowalut (CEX) to instytucje prywatne, które w przeciwieństwie do tradycyjnych banków nie podlegają pod państwowe fundusze gwarancyjne. Jeśli polski bank upadnie, państwo odda ci środki do określonej kwoty. Jeśli zbankrutuje giełda krypto, nie dostaniesz nic. Przekonały się o tym miliony użytkowników, kiedy z rynku wyparowały takie platformy jak Mt. Gox, Celsius, BlockFi czy całkiem niedawno FTX. Upadek FTX pokazał dobitnie, że miliardy dolarów zniknęły bo zarząd grał pieniędzmi klientów na rynku futures i pompował własne, bezwartościowe tokeny. To nie była wyrafinowana kradzież z użyciem superkomputerów. To był zwykły brak nadzoru nad Excelem w biurze rachunkowym.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek, przeglądając logi z prób integracji API do jednego z mniejszych europejskich brokerów. Zauważyliśmy u nas w zespole, że ich portfele gorące nie miały nawet podstawowego sprzętowego limitu wypłat, co skończyło się wyciekiem środków w weekend u ich klientów. Zmieniliśmy te zasady na robocie, ucinając dostęp do zewnętrznych skryptów. Uświadomiło mi to, jak amatorsko zbudowana jest wciąż infrastruktura podmiotów, które obracają setkami milionów dolarów.

Zagrożenia dla twojego konta giełdowego dzielą się na dwa twarde wektory:

• Wektory wewnętrzne platformy: Defraudacja, brak pokrycia w rezerwach (Proof of Reserves), błędy w kodzie smart kontraktów giełdy, nagłe zamrożenie wypłat z powodu nacisków regulatorów. To sytuacje, na które jako użytkownik detaliczny nie masz absolutnie żadnego wpływu. Giełda po prostu wyłącza przycisk “Wypłać” i zostajesz z niczym.
• Wektory zewnętrzne wymierzone w ciebie: Ataki phishingowe, przejęcie sesji przeglądarki przez złośliwe oprogramowanie, ataki typu SIM swap na twój numer telefonu. Hackerzy nie muszą łamać zabezpieczeń giełdy. Wystarczy, że złamią ciebie. Zmęczą cię fałszywymi mailami, aż w końcu sam oddasz im kody autoryzacyjne.
• Błędy ludzkie przy transferach: Pomyłki przy kopiowaniu adresów portfeli, wybór złej sieci (np. wysłanie tokenów ERC-20 po sieci BSC). Giełdy rzadko pomagają w odzyskaniu tak utraconych środków. Support odpowiada po trzech tygodniach formułką z bota.
• Blokady AML/KYC: Algorytm oflaguje twoją transakcję jako podejrzaną i zamrozi konto na sześć miesięcy, żądając przedstawienia zaświadczeń o zarobkach z ostatnich dziesięciu lat. Twój kapitał jest uwięziony, a ty nie masz z kim o tym porozmawiać, bo linia telefoniczna nie istnieje.

Co się stanie z moim Bitcoinem, jeśli giełda kryptowalut ogłosi upadłość?

Z prawnego punktu widzenia przestajesz być właścicielem swoich kryptowalut. Twoje Bitcoiny stają się częścią ogólnej masy upadłościowej firmy. Wchodzisz w tryby powolnej, brutalnej machiny sądowej. Jesteś na samym końcu łańcucha pokarmowego.

Procedura upadłościowa wygląda w praktyce tak, że najpierw spłacane są koszty postępowania sądowego, wynagrodzenia syndyków i prawników. Następnie zaspokajani są wierzyciele zabezpieczeni, czyli duże fundusze i banki, które pożyczały giełdzie pieniądze pod zastaw. Ty, jako użytkownik detaliczny, jesteś wierzycielem niezabezpieczonym. Dostaniesz ułamki centów za każdego dolara, którego miałeś na platformie. I to po pięciu, siedmiu, a czasem dziesięciu latach oczekiwania. Klienci Mt. Gox czekali dekadę na zwrot części swoich środków, a w międzyczasie wartość Bitcoina zmieniła się drastycznie. Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku, że obecne procedury prawne ulegną jakiemukolwiek przyspieszeniu w Europie.

P O L E C A M Y:

Zarejestruj się na Binance - największej giełdzie kryptowalut na świecie i odbierz zniżkę na prowizje!

Odbierz zniżkę

Musisz zrozumieć jedno. Zostawiając krypto na koncie giełdowym udzielasz im darmowej, niezabezpieczonej pożyczki. Ryzykujesz utratę stu procent kapitału za zerowe odsetki. Brak tu jakiejkolwiek asymetrii ryzyka do zysku.

Czy weryfikacja dwuetapowa chroni przed kradzieżą Bitcoina?

Weryfikacja dwuetapowa (2FA) nie chroni cię przed niczym, jeśli firma zarządzająca giełdą upadnie. Chroni cię wyłącznie przed sytuacją, w której ktoś obcy próbuje zalogować się na twoje konto z innego komputera. A i to robi w sposób bardzo niedoskonały, jeśli korzystasz z najsłabszej formy 2FA, czyli kodów SMS.

Kody SMS to technologia przestarzała. Atakujący wykonują tzw. SIM swapping. Dzwonią do twojego operatora komórkowego, podają się za ciebie, zgłaszają zgubienie karty SIM i proszą o wydanie duplikatu (lub przeniesienie numeru na kartę eSIM). Operator wydaje im twój numer. Od tego momentu wszystkie kody SMS z giełdy trafiają bezpośrednio na telefon hakera. Resetują twoje hasło w kilka minut i wyprowadzają środki na miksery kryptowalutowe.

Jeśli już musisz trzymać jakiekolwiek środki na giełdzie, by tam handlować, zablokuj autoryzację SMS. Przejdź na aplikacje typu Google Authenticator lub Authy (TOTP – Time-based One-Time Password). Generują one kody lokalnie na twoim urządzeniu, bez udziału sieci komórkowej. Najlepszym i najbezpieczniejszym rozwiązaniem jest jednak fizyczny klucz sprzętowy, taki jak YubiKey. Wymaga on fizycznego wpięcia do portu USB i dotknięcia przycisku, by zatwierdzić wypłatę. Zdalny haker z drugiego końca świata nie ma fizycznego dostępu do twojego biurka, więc nie ukradnie ci środków. To takie proste.

Kiedy trzymanie krypto na platformie transakcyjnej ma sens?

Prawie nigdy, z wyjątkiem dwóch konkretnych sytuacji technicznych. Pierwsza z nich to day trading. Jeśli aktywnie handlujesz, otwierasz i zamykasz pozycje każdego dnia, łapiesz wahania kursów i używasz dźwigni finansowej, musisz mieć kapitał na platformie. Opłaty sieciowe (gas fees) za ciągłe przesyłanie tokenów między portfelem sprzętowym a giełdą zjadłyby cały twój zysk, a opóźnienia w potwierdzeniach transakcji na blockchainie uniemożliwiłyby wejście w rynek po odpowiedniej cenie.

Druga sytuacja to proces wychodzenia do walut tradycyjnych (fiat). Kiedy chcesz spieniężyć zyski, przesyłasz kryptowaluty ze swojego zimnego portfela na giełdę, sprzedajesz za dolary lub złotówki i natychmiast zlecasz przelew na swoje prywatne konto bankowe. Operacja trwa godzinę. Giełda pełni tu funkcję kantoru, którym z definicji jest.

Zasada jest brutalnie prosta. Trzymaj na giełdzie bez mała tylko ten ułamek kapitału, którym aktualnie grasz. Jeżeli wartość twoich kryptowalut na koncie giełdowym przekracza kwotę, po stracie której nie mógłbyś spać spokojnie w nocy, to znak, że najwyższy czas przeprowadzić ewakuację środków na self-custody.

Sprzętowy portfel a giełda – co wybrać do długoterminowego inwestowania?

Wybór jest tylko jeden. Zimny portfel sprzętowy (cold wallet). To fizyczne urządzenie, przypominające pendrive, które izoluje twoje klucze prywatne od środowiska podłączonego do internetu. Najpopularniejsze modele na rynku to Ledger, Trezor, BitBox oraz Coldcard. Urządzenia te przechowują twój klucz i podpisują transakcje lokalnie wewnątrz bezpiecznego chipu (Secure Element).

Nawet jeśli twój komputer jest zainfekowany wirusami, trojanami i keyloggerami, portfel sprzętowy zatrzyma atak. Kiedy zlecasz wysłanie Bitcoina, aplikacja na komputerze tworzy niesygnowaną transakcję i wysyła ją kablem USB do portfela. Portfel wyświetla na swoim małym ekraniku adres docelowy i kwotę. Ty sprawdzasz to wzrokowo i klikasz fizyczny przycisk. Dopiero wtedy urządzenie podpisuje transakcję kluczem prywatnym i odsyła do komputera sam podpis kryptograficzny. Klucz prywatny nigdy, pod żadnym pozorem, nie opuszcza urządzenia.

Kiedyś w biurze znajomy narzekał, że interfejsy giełd są coraz gorsze. Prawda jest taka, że giełdy celowo utrudniają wypłaty z systemu. Kiedy logowałem się wczoraj na jedno z moich kont korporacyjnych, żeby zrzucić trochę środków do skarbca offline, musiałem przeklikać cztery ekrany z jaskrawymi ostrzeżeniami o ryzyku, wypełnić ankietę i wpisać kody z maila i aplikacji. To nie jest troska o bezpieczeństwo. To celowe wprowadzanie tarcia na interfejsie. Chcą, żebyś zrezygnował z transferu i zostawił kapitał u nich, by mogli nim rzucać pod zastaw pożyczek w tle na rynku DeFi. Zwykła patologia projektowania UX pod zatrzymanie płynności.

Co to jest seed phrase i dlaczego musisz go chronić?

Podczas pierwszego uruchomienia portfela sprzętowego, urządzenie wygeneruje dla ciebie ciąg 12 lub 24 angielskich słów. To jest tak zwany seed phrase (fraza odzyskiwania). Te słowa to matematyczna reprezentacja twojego klucza prywatnego. To jest twój ostateczny backup. Jeśli zgubisz portfel sprzętowy, ulegnie on zniszczeniu, albo go ukradną, nie tracisz środków. Kupujesz nowe urządzenie, wpisujesz te 24 słowa i odzyskujesz pełen dostęp do swoich kryptowalut na blockchainie.

Z seed phrase wiąże się jednak jedna bezwzględna zasada. Nigdy nie wpisujesz tych słów na klawiaturze komputera. Nigdy nie robisz im zdjęcia telefonem. Nigdy nie zapisujesz ich w notatniku w chmurze Google Drive czy iCloud. Zapisujesz je długopisem na kartce papieru lub wybijasz w metalowej płytce (tzw. steel wallet) i chowasz w sejfie lub skrytce bankowej. Kto posiada twoje 24 słowa, posiada twoje krypto. Nie ma tu procedury odzyskiwania hasła przez support. Zgubisz słowa i zapomnisz PINu do urządzenia? Pieniądze przepadają na zawsze w czeluściach blockchaina.

Jak sprawdzić, czy wybrana giełda kryptowalut nie oszukuje klientów?

Po upadku FTX branża próbowała ratować swój wizerunek, wprowadzając mechanizm Proof of Reserves (PoR). Polega to na publikowaniu kryptograficznych dowodów, że giełda faktycznie posiada na swoich adresach blockchainowych tyle kryptowalut, ile sumarycznie mają na swoich kontach wszyscy użytkownicy platformy. Wykorzystuje się do tego drzewa Merkle’a (Merkle Trees), pozwalające każdemu klientowi sprawdzić, czy saldo jego konta zostało uwzględnione w ogólnym bilansie firmy bez ujawniania danych innych osób.

Brzmi dobrze na papierze. W rzeczywistości Proof of Reserves to często teatr bezpieczeństwa. PoR pokazuje tylko aktywa giełdy. Nie pokazuje jej pasywów (długów). Giełda może mieć w portfelach miliard dolarów w Bitcoinie i pokazywać to dumnie w audycie, ale jednocześnie może zalegać inwestorom i bankom dwa miliardy dolarów. Dopóki nie połączymy kryptograficznego dowodu rezerw z pełnym, tradycyjnym audytem finansowym zobowiązań, wyciągi z blockchaina są tylko częścią obrazu.

P O L E C A M Y:

Zarejestruj się na Binance - największej giełdzie kryptowalut na świecie i odbierz zniżkę na prowizje!

Odbierz zniżkę

W Europie sytuację próbuje uporządkować dyrektywa MiCA (Markets in Crypto-Assets). Narzuca ona na dostawców usług związanych z aktywami krypto (CASP) surowe wymogi kapitałowe, konieczność rozdzielania funduszy klientów od funduszy operacyjnych firmy oraz odpowiedzialność zarządu za utratę środków z powodu awarii IT. To krok w dobrą stronę. Zmusza firmy do zachowywania się bardziej jak instytucje płatnicze. Wciąż jednak regulacje nie chronią przed gwałtownym załamaniem płynności rynkowej, wywołanym masową ucieczką kapitału w czasie bessy.

Kup portfel sprzętowy. Zamknij ten artykuł i zamów urządzenie prosto od producenta, nigdy z serwisów aukcyjnych, by uniknąć sprzętu ze zmanipulowanym oprogramowaniem. Przelej tam swoje główne oszczędności krypto. Zostaw na platformie handlowej tylko drobne na bieżące opłaty i transakcje. ODDAJESZ kontrolę obcym ludziom, wierząc w ładne logotypy i kampanie marketingowe, a powinieneś wierzyć wyłącznie w matematykę i kryptografię na swoim własnym biurku.

Najczęściej zadawane pytania (FAQ)

• Czy trzymanie kryptowalut na giełdzie jest bezpieczne?
  Nie jest bezpieczne dla długoterminowego przechowywania. Giełdy są podatne na ataki hakerskie, bankructwa i błędy zarządzania. Trzymając tam środki, nie posiadasz kluczy prywatnych do swoich kryptowalut.
• Co to jest zimny portfel (cold wallet)?
  To fizyczne urządzenie elektroniczne (np. Ledger, Trezor) przechowujące klucze prywatne offline. Chroni to środki przed hakerami i złośliwym oprogramowaniem z internetu.
• Czy giełda kryptowalut może po prostu zniknąć z moimi pieniędzmi?
  Tak. Historia rynku kryptowalut zna wiele przypadków nagłych upadków platform (np. FTX, Mt. Gox). W przypadku bankructwa użytkownicy detaliczni stają się wierzycielami niezabezpieczonymi i często tracą większość lub całość kapitału.
• Jak zabezpieczyć konto na giełdzie krypto?
  Należy wyłączyć autoryzację SMS i używać fizycznych kluczy zabezpieczających (np. YubiKey) lub aplikacji generujących kody czasowe (Google Authenticator). Ważne jest też whitelistingowanie adresów do wypłat.
• Co oznacza zasada Not your keys, not your coins?
  To fundament bezpieczeństwa krypto. Oznacza, że jeśli nie posiadasz samodzielnie wygenerowanego klucza prywatnego (seed phrase), a jedynie login do giełdy, to kryptowaluty technicznie do ciebie nie należą.
• Ile kryptowalut można bezpiecznie trzymać na platformie transakcyjnej?
  Tylko tyle, ile jest potrzebne do bieżącego, aktywnego handlu lub przy chęci natychmiastowej wypłaty na waluty fiducjarne (np. złotówki). Całą resztę portfela należy natychmiast przenieść na portfele sprzętowe.

Źródła i bibliografia

1. Komisja Nadzoru Finansowego – https://www.knf.gov.pl
2. Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA) – https://www.esma.europa.eu
3. Ministerstwo Finansów – https://www.gov.pl/web/finanse
4. Cert Polska – https://cert.pl
5. Urząd Ochrony Konkurencji i Konsumentów – https://uokik.gov.pl

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji