Przechowywanie kryptoaktywów przez CASP: odpowiedzialność według MiCA

Co oznacza custody w świecie kryptoaktywów

Przechowywanie i administrowanie kryptoaktywami w imieniu klientów nie ogranicza się do trzymania tokenów na wspólnym adresie blockchain. Usługa może obejmować zarządzanie środkami dostępu, obsługę transakcji i rejestr pozycji konkretnego klienta. Główne znaczenie ma rzeczywista rola dostawcy: czy kontroluje aktywa lub klucze oraz jakie obowiązki przyjął. Nie każda aplikacja wyświetlająca saldo jest usługą custody w rozumieniu MiCA.

Art. 75 wymaga określonej umowy

CASP powinien zawrzeć z klientem umowę określającą m.in. strony, charakter usługi, politykę przechowywania, kanały komunikacji i uwierzytelnianie, zabezpieczenia oraz opłaty i prawo właściwe. Ogólnikowe zaakceptowanie regulaminu bez przejrzystej informacji o zasadach custody może nie spełniać ustawowych oczekiwań. Klient powinien wiedzieć, kto może inicjować transfer, co się dzieje po utracie dostępu i w jaki sposób może zażądać zwrotu aktywów.

Rejestr pozycji klienta

Dostawca musi prowadzić rejestr pozycji przypisanych klientom i właściwie dokumentować ruch aktywów. W przypadku sporów o saldo istotna jest zgodność tego rejestru z rzeczywistymi transakcjami oraz historia dyspozycji użytkownika. Sam zapis na jednym adresie blockchain nie musi umożliwiać automatycznego odtworzenia praw poszczególnych klientów w rozwiązaniu zbiorczym. Warto zbadać wewnętrzne procedury uzgadniania stanów i identyfikacji właściciela pozycji.

Polityka przechowywania i zabezpieczenia techniczne

CASP musi ustanowić politykę custody obejmującą środki mające ograniczać utratę aktywów lub dostępu wskutek oszustw, cyberzagrożeń i zaniedbań. W praktyce znaczenie mają architektura portfeli, zarządzanie kluczami, wieloosobowa autoryzacja, kopie bezpieczeństwa i monitoring podejrzanych wypłat. Dostawca powinien posiadać procedury pozwalające odzyskać sprawność usługi po incydencie. Klient ma prawo oczekiwać odpowiednich informacji o zasadach ochrony, w granicach przewidzianych regulacją.

Segregacja aktywów klientów

MiCA wymaga oddzielenia aktywów przechowywanych na rzecz klientów od własnych aktywów CASP oraz odpowiedniej identyfikacji środków dostępu. Art. 75 wiąże ochronę klientów także z sytuacją niewypłacalności dostawcy, w zakresie wynikającym z właściwego prawa. Nie należy jednak utożsamiać segregacji księgowej z gwarancją, że w żadnym scenariuszu wystąpią komplikacje przy odzyskiwaniu aktywów. Znaczenie mają rzeczywiste procedury i prawo właściwe.

Oświadczenia o saldzie i operacjach

CASP powinien dostarczać klientowi okresowe informacje o pozycjach, co najmniej co trzy miesiące, oraz na wniosek klienta, zgodnie z art. 75. Zestawienie ma przedstawiać m.in. rodzaj aktywów, saldo, wartość i ruchy w danym okresie. Klient powinien zachowywać własne potwierdzenia transakcji, ponieważ historia wewnętrznego rachunku i dane blockchain mogą różnić się sposobem prezentacji. W sporze trzeba zestawić obie warstwy dokumentacji.

Utrata aktywów i odpowiedzialność dostawcy

Art. 75 przewiduje odpowiedzialność CASP za utratę aktywów lub środków dostępu wskutek incydentu, który można mu przypisać, z ustawowym limitem odnoszącym się do wartości rynkowej utraconych aktywów w chwili utraty. Nie każde niepowodzenie transakcji, spadek kursu lub problem techniczny niezależny od dostawcy oznacza automatyczną odpowiedzialność. Kluczowe jest ustalenie przyczyny zdarzenia, naruszonych obowiązków i realnego zakresu szkody.

Podwykonawcy custody

Jeżeli dostawca korzysta z innych CASP do przechowywania aktywów, MiCA określa warunki korzystania z takich usług i obowiązki informacyjne wobec klientów. Warto ustalić, gdzie w praktyce znajdują się środki dostępu, kto autoryzuje wypłaty i jak wygląda procedura zakończenia współpracy z podwykonawcą. Sam outsourcing nie powinien powodować nieprzejrzystości łańcucha odpowiedzialności. Umowa powinna jasno określać ryzyka i sposób realizacji dyspozycji klienta.

Procedura reklamacyjna i dowody utraty

W razie utraty tokenów klient powinien zabezpieczyć historię zleceń, identyfikatory transakcji, wiadomości z platformy i własne dane o logowaniu, bez ujawniania haseł i kluczy osobom postronnym. Reklamacja powinna wyjaśniać, dlaczego zdarzenie można powiązać z usługą CASP oraz jaki jest zakres szkody. W zależności od okoliczności znaczenie mają też kwestie cyberprzestępczości, odpowiedzialności umownej i współpracy z organami ścigania.

Jak wybrać dostawcę custody

Przed powierzaniem znaczących wartości należy zbadać status prawny dostawcy, zakres świadczonych usług, model zabezpieczeń, zasady segregacji, rozliczenia kosztów i warunki awaryjnego dostępu do aktywów. Informacja o autoryzacji w państwie UE i faktycznym zakresie zezwolenia jest istotniejsza niż obietnice reklamowe o „bankowym bezpieczeństwie”. MiCA reguluje określone usługi, ale nie zapewnia klientowi zwrotu dowolnej straty inwestycyjnej.

Powiązane publikacje

White paper kryptoaktywów MiCA · Travel Rule i portfele self-hosted

Czy MiCA chroni przed utratą wartości tokenu?

MiCA reguluje określone obowiązki dostawców usług kryptoaktywowych, ale nie jest systemem gwarantującym stałą wartość tokenów ani zwrot każdej straty inwestycyjnej. Trzeba oddzielić ryzyko rynkowe od utraty aktywów przypisywalnej incydentowi po stronie dostawcy custody. Jeżeli kurs aktywa spadł przy prawidłowym przechowywaniu, nie oznacza to automatycznie naruszenia art. 75. Inaczej ocenia się nieautoryzowaną utratę tokenów z portfela pozostającego pod kontrolą CASP.

Czy dostawca może mieszać aktywa klienta ze swoimi?

Art. 75 wymaga odpowiedniej segregacji aktywów przechowywanych w imieniu klientów od własnych środków dostawcy oraz identyfikacji dostępu. Rozwiązania techniczne mogą być bardziej złożone niż odrębny portfel blockchain dla każdej osoby, ale organizacja musi zapewniać zgodność z normami prawnymi i własną polityką custody. W razie niewypłacalności kluczowe jest prawidłowe wykazanie praw klientów. Nie wystarczy marketingowy opis „własność użytkownika”, jeśli ewidencja i organizacja środków nie potwierdzają takiego stanu.

Kto odpowiada za utratę prywatnych kluczy?

Ocena zależy od tego, kto miał faktyczną kontrolę nad środkami dostępu, jakie były warunki usługi i skąd wynikał incydent. Gdy kluczami zarządzał CASP, istotne są obowiązki z art. 75 i przypisanie utraty dostawcy. Gdy użytkownik samodzielnie zarządza kluczami poza usługą custody, sytuacja prawna i ryzyka mogą być inne. Nie można z góry rozstrzygać odpowiedzialności wyłącznie na podstawie nazwy aplikacji lub faktu, że portfel miał funkcję odzyskiwania dostępu.

Jak udokumentować nieautoryzowaną wypłatę?

Należy zabezpieczyć historię rachunku, identyfikatory transakcji, adresy blockchain, logi dostępów udostępnione przez dostawcę i zgłoszenia incydentu. Szczególnie ważne jest precyzyjne wskazanie, czy transfer został zlecony przez klienta, przeprowadzony przez osobę nieuprawnioną, czy wynikał z wewnętrznej awarii platformy. Materiał może wymagać niezależnej analizy technicznej. Klient nie powinien przy tym ujawniać nikomu frazy seed ani klucza prywatnego w celu rzekomego „odzyskania” aktywów.