Institutional custody

Wyobraźmy sobie firmę mającą 10 BTC. Jej menedżerka finansowa Jana loguje się do portalu operatora, widzi saldo i może złożyć zlecenie przelewu. To nie znaczy, że potrafi sama podpisać transakcję. Do podpisu potrzebne są klucze prywatne, czyli tajne dane pozwalające utworzyć prawidłowy podpis. Portfel pracuje z tymi kluczami; bitcoin jest zapisany w sieci, a nie wewnątrz konta do logowania. Rozpatrujemy tutaj usługę zewnętrzną. Przy self-custody organizacja sama zapewniałaby kontrolę kluczy. Praktyczna różnica ujawnia się, gdy Jana chce wysłać środki na zewnątrz. [2]

Firma musi rozumieć swoje prawa, nie tylko sposób obsługi kluczy. Powierzenie 10 BTC na przechowanie różni się od pożyczenia operatorowi 10 BTC: pożyczka rodzi obowiązek spłaty, a przechowywanie ma zachować aktywa klienta. Konkretny przykład daje nowojorski nadzór finansowy NYDFS w wytycznych z 30 września 2025 roku. W odniesieniu do objętych nimi podmiotów oczekuje zachowania interesu majątkowego klienta i takiej konstrukcji usługi, która sama nie tworzy relacji dłużnika i wierzyciela. Są to oczekiwania nadzorcze w określonej jurysdykcji. Sam napis custody na stronie nie rozstrzyga wszystkich kwestii prawnych ani nie przesądza wyniku postępowania upadłościowego, które może się rozpocząć, gdy operator nie jest w stanie wypełniać swoich zobowiązań. [1]

Operator może trzymać aktywa klientów we wspólnym portfelu, nazywanym omnibus. Jego wewnętrzna ewidencja musi wtedy rozróżniać prawa poszczególnych klientów. W osobnym przykładzie bez opłat klient A ma 6 BTC, a klient B 4 BTC, łącznie 10 BTC. Gdy A wypłaci 2 BTC, zapisy powinny pokazywać A z 4 BTC i B z 4 BTC, razem 8 BTC. Sam widok ośmiu bitcoinów w sieci nie dowodzi, do kogo należą poszczególne części. Dlatego NYDFS zajmuje się oddzieleniem aktywów klientów od majątku operatora zarówno w sieci, jak i w ewidencji wewnętrznej, z możliwością prześledzenia operacji klienta. Omnibus nie daje swobody mieszania tych aktywów ze środkami operacyjnymi bez odpowiednich zabezpieczeń. [1]

Firma może wymagać zgody 2 spośród 3 uprawnionych osób. W zwykłej procedurze Jana potrzebuje wtedy zatwierdzenia przez kolegę. Coinbase Prime jest przykładem usługi z konfigurowalnymi regułami zatwierdzania. Te uprawnienia określają, kto może wydać polecenie w aplikacji; sama liczba zgód nie pokazuje podziału kluczy prywatnych. On-chain Multisig 2-of-3 oznacza natomiast warunek podpisu egzekwowany przez reguły transakcji Bitcoin. Wymaga dwóch ważnych podpisów z ustalonego zestawu trzech kluczy. Uprawnienia firmowe i ten warunek kryptograficzny to różne warstwy. Ochrona zależy również od tego, kto może zmienić reguły zatwierdzania i jak taka zmiana jest weryfikowana. [3]

Przechowywanie kluczy offline może ograniczyć część zagrożeń internetowych. Cold Storage nie zapewni jednak zastępcy, gdy jedyna osoba zatwierdzająca zachoruje albo odejdzie z firmy. Amerykańska Komisja Papierów Wartościowych i Giełd, SEC, w biuletynie edukacyjnym rozróżnia przechowywanie online (hot) i offline (cold), przypominając też o fizycznej utracie lub uszkodzeniu urządzeń. Przywrócenie dostępu technicznego i uzyskanie zgody na wykonanie przelewu to dwa różne problemy. Przydatna próba obejmuje oba: operator ma procedurę odtwarzania, a firma dostępnych zastępców z właściwymi prawami. Sprawdzenie bezpieczeństwa nie wymaga ujawnienia klucza prywatnego ani Seed Phrase, czyli słów służących do odzyskania portfela. [2]

Za znaną firmie usługą może stać inny dostawca. To subcustody: klient kontaktuje się z operatorem A, a operator B odpowiada za część przechowywania. Dwie marki korzystające z tego samego B same w sobie nie dowodzą niezależności. Klucze lub systemy mogą być oddzielne, lecz wspólny dostawca tworzy zależność, którą trzeba rozumieć. Zaktualizowane wytyczne NYDFS z 2025 roku wymagają od objętych nimi podmiotów wcześniejszej zgody nadzoru na nowe uzgodnienia dotyczące dalszego przechowywania. Obejmują też ochronę aktywów u kolejnego operatora i informowanie klienta. Firma musi rozumieć cały łańcuch, w tym odpowiedzialność za zwrot środków. [1]

Amerykańska FDIC ubezpiecza określone depozyty bankowe, a nie same kryptoaktywa; oferta bitcoina w ubezpieczonym banku nie zmienia go w ubezpieczony depozyt. Prywatna polisa operatora jest osobną sprawą. Przyjmijmy czysto przykładową objętą ochroną szkodę 8 milionów USD, udział własny 1 milion USD, czyli część niepokrywaną przez ubezpieczyciela, i pozostały limit wypłaty 5 milionów USD. Po odjęciu udziału własnego zostaje 7 milionów USD, ale limit pozwala wypłacić najwyżej 5 milionów USD: min(8−1,5)=5, wszystkie liczby w milionach USD. min oznacza wybór mniejszej z tych kwot. Wyłączenie może całkowicie uniemożliwić wypłatę za określony rodzaj szkody. Znaczenie ma też to, kto jest ubezpieczony i komu należy się odszkodowanie. Publikowany limit łączny nie jest automatycznie kwotą zarezerwowaną dla każdego klienta. [2] [4]

Tego samego dnia i w tej samej strefie czasowej Jana składa wniosek o 09:00, kolega zatwierdza go o 11:00, a operator rozsyła transakcję do sieci o 12:00. Od wniosku minęły 3 godziny, od zatwierdzenia 1 godzina. Termin umowny musi więc wskazywać początek odliczania oraz to, co oznacza zakończenie. Przyjęcie polecenia, rozesłanie transakcji i jej potwierdzenie w blockchainie są różnymi etapami. Potwierdzenie oznacza włączenie do bloku; kolejne bloki zwiększają liczbę potwierdzeń. Próbna wypłata sprawdza również właściwą sieć, pełny adres docelowy oraz opłaty. Udany mały przelew pokazuje dzisiejszy przebieg procesu, ale nie gwarantuje przyszłej dostępności usługi. [2] [3]