Instytucjonalne przechowywanie kryptowalut: Jak banki bezpiecznie przechowują aktywa cyfrowe w 2026 r.

Instytucjonalne przechowywanie kryptowalut nie jest już wyłącznie specjalistyczną usługą oferowaną przez firmy z branży kryptowalut. Duże banki oferują, budują lub współpracują w zakresie przechowywania aktywów cyfrowych, ponieważ zarządzający aktywami, korporacje, fundusze i inne instytucje coraz częściej oczekują kontroli operacyjnej, zarządzania, raportowania i odpowiedzialności prawnej, których oczekują już od tradycyjnego przechowywania papierów wartościowych.

Ważne jest, że „bezpieczne przechowywanie” nie oznacza, że ​​bank umieszcza Bitcoiny lub Ethereum w fizycznym sejfie. Aktywa kryptograficzne pozostają zarejestrowane w ich blockchainie. Depozytariusz chroni możliwość autoryzacji transakcji: klucze kryptograficzne, systemy podpisów, zasady dostępu, procedury odzyskiwania oraz zapisy określające, kto może przenosić aktywa.

Co tak naprawdę posiada bank, kiedy „przechowuje” kryptowaluty?

Depozytariusz bankowy zazwyczaj nie przejmuje fizycznego posiadania kryptowaluty, ponieważ nie istnieje żaden fizyczny instrument, który mógłby nią dysponować. Amerykański Urząd Kontrolera Waluty (Office of the Comptroller of the Currency) wyjaśnił to rozróżnienie w swoim Liście Interpretacyjnym nr 1170 z 2020 r .: aktywa cyfrowe istnieją w blockchainie lub rozproszonym rejestrze, a kontrola jest sprawowana za pomocą kluczy kryptograficznych. W praktyce depozyt oznacza ochronę kluczy lub innych uprawnień do podpisywania, które mogą przenosić te aktywa.

To rozróżnienie ma znaczenie, ponieważ główne scenariusze strat różnią się od tradycyjnych kradzieży skarbców. Depozytor musi bronić się przed kradzieżą danych uwierzytelniających, zhakowanymi urządzeniami podpisującymi, złośliwymi intruzami, lukami w zabezpieczeniach oprogramowania, błędnymi zatwierdzeniami transakcji, utratą kluczy, zmianami protokołów, cyberatakami i błędami operacyjnymi.

Działanie dla instytucji: poproś potencjalnego depozytariusza o dokładne opisanie tego, co kontroluje. Czy przechowuje kompletne klucze prywatne, korzysta z podpisywania rozproszonego, korzysta z usług poddepozytariusza, czy łączy kilka metod? „Depozyt bankowy” nie jest sam w sobie architekturą techniczną.

Czy bankowe przechowywanie kryptowalut oznacza, że ​​to bank jest ich właścicielem?

Niekoniecznie. Przechowywanie i własność to odrębne pojęcia. Prawidłowo skonstruowana umowa o przechowywaniu jest zaprojektowana tak, aby aktywa klienta pozostały przypisane do niego, a nie stały się zasobem handlowym banku.

Ten podział jest szczególnie wyraźny w Rozporządzeniu Unii Europejskiej w sprawie Rynków Kryptowalut. Zgodnie z ustawą MiCA , dostawcy przechowujący kryptoaktywa dla klientów muszą prowadzić ewidencję pozycji, ustanowić politykę depozytową, oddzielić aktywa klientów od ich własnych aktywów oraz podjąć kroki w celu prawnego i operacyjnego oddzielenia kryptoaktywów klientów od majątku dostawcy. Ustawa MiCA wymaga również procedur zwrotu aktywów lub dostępu do nich klientom.

Komitet Bazylejski również odróżnia wydzieloną działalność depozytową od zwykłego zajmowania przez bank kierunkowej pozycji w kryptowalutach. Aktualny standard dotyczący kryptoaktywów, obowiązujący od 1 stycznia 2026 r ., wskazuje, że usługi depozytowe obejmujące wydzielone aktywa klientów zasadniczo nie generują takiego samego ryzyka kredytowego, rynkowego ani płynnościowego, jak posiadanie kryptowalut, chociaż nadal wiążą się ze znacznym ryzykiem operacyjnym.

Działanie dla instytucji: sprawdź umowę o powiernictwie, a nie tylko stronę produktu. Sprawdź, pod czyim nazwiskiem zarejestrowane są aktywa, czy aktywa klienta są oddzielone od aktywów domu, co się dzieje w przypadku niewypłacalności oraz czy powiernik może pożyczać, zastawiać, rehipotekować lub w inny sposób wykorzystywać aktywa.

Co sprawia, że ​​warstwa klucza prywatnego ma charakter instytucjonalny?

Nie ma jednego, zatwierdzonego projektu stosowanego przez każdy bank. Dokładne wdrożenia często celowo nie są upubliczniane. Jednak silne systemy instytucjonalne zazwyczaj starają się wyeliminować możliwość, że jeden pracownik, jeden laptop lub jedno naruszone dane uwierzytelniające mogą samodzielnie przenieść aktywa klienta.

Mechanizmy kontroli mogą obejmować sprzętowe moduły bezpieczeństwa, rozproszone systemy generowania lub podpisywania kluczy, zatwierdzenia wieloosobowe, oddzielne role administratora i transakcji, ściśle kontrolowane środowiska podpisywania, dozwolone adresy docelowe, limity transakcji, segmentację sieci oraz sprzęt kryptograficzny odporny na manipulację. Niektóre instytucje dzielą również uprawnienia do podpisywania między różne lokalizacje lub systemy, aby awaria pojedynczej lokalizacji nie spowodowała utraty dostępu.

Gdy bank lub jego dostawca technologii opiera się na modułach kryptograficznych, uznane standardy bezpieczeństwa mogą dostarczyć cennych dowodów. Na przykład, NIST FIPS 140-3 definiuje wymagania dla modułów kryptograficznych, obejmujące uwierzytelnianie, bezpieczeństwo fizyczne, zarządzanie wrażliwymi parametrami bezpieczeństwa, autotesty, bezpieczeństwo oprogramowania oraz zapewnienie cyklu życia. Sama walidacja FIPS nie dowodzi bezpieczeństwa całej platformy powierniczej, ale jest istotnym elementem kontroli, który należy ocenić.

Działanie dla instytucji: zapytaj, które części stosu podpisów są niezależnie weryfikowane, które komponenty mogą uzyskać dostęp do kluczowych materiałów oraz czy pojedynczy administrator może zmieniać zasady transakcji lub odzyskiwać klucze bez niezależnej ścieżki zatwierdzania.

Czy przechowywanie w chłodni jest wystarczające?

Przechowywanie na zimno (cold storage) pozostaje ważną formą obrony, ponieważ przechowywanie kluczy podpisu offline zmniejsza ryzyko ataku ze strony zdalnych atakujących. Pierwotne wytyczne OCC dotyczące przechowywania kryptowalut opisywały zimne portfele jako przechowywanie offline i przeciwstawiały je gorącym portfelom podłączonym do internetu. Jednak „zimny” nie oznacza automatycznie „bezpieczny”.

Klucz offline nadal może zostać zgubiony, niewłaściwie obsłużony, skopiowany, ujawniony podczas odzyskiwania lub wykorzystany przez upoważnioną osobę z wewnątrz. Instytucje muszą również przetwarzać wypłaty, zdarzenia stakingowe, forki, migracje i inne operacje specyficzne dla blockchaina. To tworzy kompromis między głębokim bezpieczeństwem offline a dostępnością operacyjną.

Wiele modeli instytucjonalnych wykorzystuje zatem poziomy. Wysoce ograniczona warstwa zimna może chronić większość długoterminowych zasobów, podczas gdy mniejsze salda operacyjne korzystają z kontrolowanych środowisk podpisu online lub częściowo online. Dokładny skład zależy od częstotliwości wypłat, obsługiwanych aktywów, zobowiązań dotyczących poziomu usług oraz tolerancji na ryzyko.

Działanie dla instytucji: nie zatrzymuj się na pytaniu „Czy korzystasz z zimnego przechowywania?”. Zapytaj, jaki procent aktywów może być online, kto może przenosić aktywa między poziomami, jak obsługiwane są awaryjne pobrania danych i jakie środki kontroli obowiązują, gdy klucz przechodzi ze statusu kopii zapasowej lub odzyskiwania do aktywnego użytkowania.

W jaki sposób banki ograniczają kradzieże informacji poufnych i błędne przelewy?

Transakcje kryptowalutowe mogą być trudne lub niemożliwe do cofnięcia po ostatecznym rozliczeniu, dlatego zapobieganie jest ważniejsze niż naprawa. Instytucjonalne zarządzanie transakcjami w dużej mierze zależy zatem od podziału obowiązków i zarządzania transakcjami.

Dobrze zaprojektowany proces może wymagać wielu zatwierdzeń od różnych ról, ograniczać miejsca docelowe do wstępnie zatwierdzonych adresów, opóźniać nietypowo duże przelewy, egzekwować limity transakcji, wymagać weryfikacji poza pasmem (out-of-band) oraz oznaczać działania wykraczające poza standardową politykę klienta. Wewnętrzne rejestry powinny być również uzgadniane z zapisami blockchain, aby możliwe było szybkie wykrywanie rozbieżności.

Komitet Bazylejski traktuje awarie ludzi, systemów i procesów jako ryzyko operacyjne. Jego ramy kryptoaktywów na rok 2026 jednoznacznie uznają utratę prywatnego klucza kryptograficznego przez bank za przykład straty operacyjnej i wymagają od banków zaangażowanych w działalność kryptograficzną oceny ryzyka technologicznego, cybernetycznego, outsourcingu, oszustw, danych i odporności.

Działanie dla instytucji: poproś o omówienie cyklu wypłaty środków, od zlecenia klienta do transmisji w blockchainie. Kluczowe pytanie brzmi, czy atakujący, który włamie się na jedno konto lub jednego pracownika, może przekształcić to w nieodwracalny przelew.

Co się dzieje, gdy bank korzysta z usług subpowiernika?

Usługa depozytowa pod marką banku nie zawsze oznacza, że ​​każda operacja kryptograficzna jest wykonywana w infrastrukturze należącej do banku. Banki mogą korzystać z wyspecjalizowanych dostawców technologii lub subdepozytariuszy do zarządzania kluczami, realizacji transakcji, łączności blockchain lub wsparcia specyficznego dla aktywów.

W Stanach Zjednoczonych OCC wyjaśniło tę kwestię w maju 2025 r. Pismo interpretacyjne nr 1184 potwierdziło, że banki krajowe i federalne kasy oszczędnościowe mogą zlecać na zewnątrz dozwolone działania związane z kryptoaktywami, w tym usługi powiernicze i egzekucyjne, pod warunkiem odpowiedniego zarządzania ryzykiem stron trzecich. Bank pozostaje odpowiedzialny za prowadzenie tej działalności w sposób bezpieczny i rzetelny oraz zgodnie z obowiązującym prawem.

Podpowierzenie może poprawić kompetencje specjalistów, ale stwarza również ryzyko koncentracji, zależności, przerw w działaniu, umów i odzyskiwania. Instytucja powinna wiedzieć, który podmiot faktycznie kontroluje infrastrukturę podpisów i który podmiot będzie odpowiedzialny w przypadku straty.

Działanie dla instytucji: uzyskanie kompletnej mapy zależności. Zidentyfikuj bank, dostawcę technologii, subdepozytariusza, giełdę lub system płynności, dostawców węzłów blockchain, witryny odzyskiwania danych po awarii oraz wszelkie usługi w chmurze lub usługi bezpieczeństwa, które mają kluczowe znaczenie dla wypłat.

Jakie zmiany regulacyjne ułatwiły opiekę bankową w Stanach Zjednoczonych?

Polityka USA uległa istotnej zmianie w 2025 roku. W marcu 2025 roku OCC ponownie potwierdziło, że przechowywanie kryptowalut jest dozwoloną działalnością dla banków krajowych i federalnych kas oszczędnościowo-kredytowych, a także zniosło wymóg wcześniejszego braku sprzeciwu ze strony nadzoru. Również w marcu FDIC zniosła wymóg wcześniejszego powiadomienia i stwierdziła, że ​​instytucje nadzorowane przez FDIC mogą angażować się w dozwolone działania związane z kryptowalutami bez uprzedniej zgody FDIC, pod warunkiem odpowiedniego zarządzania związanym z tym ryzykiem.

Odrębnie, Biuletyn Rachunkowości Pracowników Komisji Papierów Wartościowych i Giełd (SEC) nr 122 , z dniem 30 stycznia 2025 r., uchylił wytyczne dotyczące rachunkowości zabezpieczającej kryptowaluty zawarte w Biuletynie Rachunkowości Pracowników (SAB) nr 121. Ta zmiana w rachunkowości usunęła istotną zmianę w bilansie, która komplikowała niektóre modele biznesowe w zakresie powiernictwa. Sama zmiana nie upoważniała banku do przechowywania wszystkich aktywów kryptograficznych ani nie uchylała przepisów bankowych, dotyczących papierów wartościowych, towarów, sankcji ani przepisów stanowych.

Działanie dla instytucji: ocena uprawnień regulacyjnych na poziomie podmiotu i jurysdykcji. Bank globalny może być upoważniony do świadczenia usług za pośrednictwem jednej spółki zależnej lub kraju, ale nie innego.

Które banki już oferują instytucjonalne przechowywanie kryptowalut?

Kilka dużych banków udokumentowało publicznie swoje rzeczywiste usługi powiernicze, zamiast ograniczać się do ogłaszania projektów badawczych.

W październiku 2022 roku BNY ogłosił, że jego platforma Digital Asset Custody jest już dostępna w Stanach Zjednoczonych , początkowo umożliwiając wybranym klientom przechowywanie i transferowanie bitcoinów i etheru. Historyczne znaczenie tego wydarzenia polega na tym, że globalnie ważny systemowo bank przeszedł z etapu planowania do etapu rzeczywistych operacji przechowywania aktywów cyfrowych.

Standard Chartered uruchomił usługę depozytu aktywów cyfrowych w Zjednoczonych Emiratach Arabskich we wrześniu 2024 roku , początkowo obsługując Bitcoina i Ethereum, a pierwszym klientem, który został wybrany, był Brevan Howard Digital. W styczniu 2025 roku bank ogłosił również utworzenie luksemburskiego podmiotu świadczącego usługi depozytu aktywów cyfrowych w UE po wdrożeniu MiCA.

Przykłady te pokazują, że instytucjonalne przechowywanie środków staje się częścią głównej infrastruktury finansowej, ale nie należy ich odczytywać jako dowodu na to, że każdy bank obsługuje te same aktywa, jurysdykcje, szybkość rozliczeń, funkcje stakingu czy technologie portfeli.

Działanie dla instytucji: potwierdź aktualną listę obsługiwanych aktywów i podmiot prawny bezpośrednio w banku przed wdrożeniem. Zakres produktu może się zmieniać szybciej niż ogólne materiały marketingowe banku.

Czy ubezpieczenie może zastąpić kontrolę bezpieczeństwa?

Nie. Ubezpieczenie może być przydatne, ale nie gwarantuje zwrotu każdej straty kryptowaluty. Ochrona ubezpieczeniowa może obejmować tylko określone portfele, przyczyny straty, scenariusze kradzieży wewnętrznej lub miejsca przechowywania. Polisy mogą obejmować franszyzy, wyłączenia, podlimity i limity łączne wspólne dla wszystkich klientów.

Klienci instytucjonalni powinni również rozróżnić zasoby bilansowe depozytariusza, ubezpieczenia osób trzecich, odszkodowania umowne oraz wszelkie ustawowe zabezpieczenia klienta. Nie należy zakładać, że tradycyjne ubezpieczenie depozytów obejmuje aktywa kryptograficzne tylko dlatego, że usługodawcą jest bank.

Działanie dla instytucji: poproś o podsumowanie ubezpieczenia i odpowiedni zapis umowny. Porównaj maksymalną kwotę ubezpieczenia z wartością, którą planujesz powierzyć depozytowi, i zidentyfikuj zdarzenia, które są wyraźnie wyłączone z ubezpieczenia.

Co powinna zweryfikować instytucja przed wyborem depozytariusza bankowego?

Co jest nadal niepewne?

Kierunek prawny i nadzorczy jest bardziej przejrzysty niż kilka lat temu, ale instytucjonalne przechowywanie kryptowalut nie jest w pełni ujednolicone. Banki nie ujawniają całej architektury bezpieczeństwa, jurysdykcje stosują różne przepisy dotyczące niewypłacalności i prawa własności, a protokoły blockchain ciągle się zmieniają. Nowe usługi, takie jak staking, depozyty tokenizowane, rozliczenia stablecoinów i tokenizowane papiery wartościowe, mogą również wiązać się z ryzykiem, które nie mieści się w prostym modelu „zimnego portfela”.

Nie ma również podstaw, by twierdzić, że depozytariusz bankowy jest automatycznie bezpieczniejszy niż każdy wyspecjalizowany depozytariusz kryptowalut. Banki oferują dojrzałe ramy zarządzania, zgodności, audytu i zarządzania ryzykiem operacyjnym, podczas gdy depozytariusze kryptowalut mogą mieć głębsze doświadczenie z konkretnymi technologiami blockchain. Lepszy wybór zależy od aktywów instytucji, częstotliwości transakcji, wymogów prawnych, potrzeb w zakresie odzyskiwania danych oraz tolerancji na koncentrację na podmiotach trzecich.

Działania dla instytucji: traktuj wybór depozytariusza jako proces due diligence, a nie decyzję o marce. Bezpieczeństwo powinno być potwierdzone poprzez architekturę, zarządzanie, zabezpieczenia umowne, testy operacyjne, status regulacyjny i dowody kontroli.

Podsumowanie

Banki zwiększają bezpieczeństwo depozytów kryptowalut, stosując tradycyjne metody depozytu do innych aktywów technicznych: segregując własność klientów, wzmacniając systemy podpisów kryptograficznych, ograniczając uprawnienia do autoryzacji przelewów, korzystając z offline lub ściśle kontrolowanych środowisk kluczowych, monitorując podmioty zewnętrzne, uzgadniając zapisy blockchain i planując odzyskiwanie. Organy regulacyjne coraz częściej zezwalają na te usługi, ale nadal oczekują od banków, że będą traktować technologie i ryzyka operacyjne specyficzne dla kryptowalut z taką samą powagą, jak w przypadku innej krytycznej infrastruktury finansowej.

Dla klienta instytucjonalnego najprzydatniejszym pytaniem nie jest: „Czy ten bank oferuje przechowywanie kryptowalut?”, lecz: „W jaki sposób moje aktywa są kontrolowane, segregowane, odzyskiwane i chronione w razie problemów?”. Jakość odpowiedzi jest lepszym wskaźnikiem bezpieczeństwa przechowywania niż sama nazwa banku.