Trzy odrębne incydenty — niezamówione transfery drobnych kwot wysłane z portfeli powiązanych z HTX do portfeli hot innych giełd, kradzież około 388 milionów dolarów z Bitget poprzez sfałszowane wewnętrzne instrukcje oraz kontrola Senatu USA nad przepływami funduszy USDT związanych z Iranem — razem ujawniają jeden fakt: kontrola nad portfelem kryptowalutowym nie należy wyłącznie do posiadacza klucza prywatnego, ale jest rozproszona wśród nadawców, depozytariuszy, emitentów i regulatorów.
Jedna giełda otrzymała aktywo, o które nigdy nie prosiła; inna giełda wysłała aktywo, którego nigdy nie autoryzowała; a posiadacze trzeciego aktywa mogą odkryć, że ich tokeny zostały zamrożone, nawet gdy posiadają klucz prywatny portfela. Tak zwana „kontrola nad portfelem kryptowalutowym” zależy od tego, kto dokładnie chce wpłacić pieniądze, wypłacić je lub powstrzymać ich przepływ.
Transfery, których nikt nie chciał otrzymać
W sierpniu tego roku partia portfeli zidentyfikowanych jako powiązane z HTX wysłała niewielkie transfery na adresy odbiorcze należące do innych giełd. Kraken poinformował, że po otrzymaniu takich środków niektóre konta klientów na jego platformie zostały tymczasowo ograniczone. Jednak wielu przedstawicieli giełd ujawniło, że szerszy problem dotyczył portfeli hot na wielu giełdach w całej branży: dotknięci operatorzy tymczasowo nie mogli przesyłać środków z tych portfeli, podczas gdy zespoły ds. zgodności oceniały ekspozycję na ryzyko.
Osoby zaznajomione ze sprawą uważają, że ten schemat był celowy. Obecnie nie można niezależnie potwierdzić dokładnej liczby dotkniętych giełd ani potwierdzić, kto zorganizował te transfery. HTX zaprzeczył, jakoby inicjował te transfery, i zakwestionował dokładność przypisywania mu tych portfeli nadawczych.
Kwoty były niewielkie, ale wpływ operacyjny nie. Portfele hot giełd mogą zarządzać znacznymi funduszami, ale operatorzy nie mogą odmówić przychodzących transferów na swoje publiczne adresy. Jeśli transfer uznany za pochodzący z objętego sankcjami źródła skłoni giełdę do zawieszenia wypłat wychodzących, dopóki nie będzie mogła wyizolować lub ocenić środków, wówczas nadawca może wywołać chaos przy niezwykle niskich kosztach. Napływ środków dowodzi jedynie, że doszło do transferu; nie dowodzi, że giełda chce nawiązać jakąkolwiek relację z nadawcą.
To jest właśnie jedna z granic kontroli nad portfelem kryptowalutowym: operatorzy mogą strzec swoich kluczy prywatnych i ustalać zasady wypłat, ale adres pozostaje otwarty na środki, o które nigdy nie proszono. A jego reakcja na zgodność określa, czy reszta tego portfela może być nadal używana.
„Legalne” transfery na podstawie sfałszowanych instrukcji
W Bitget aktywa płynęły w przeciwnym kierunku. Zgodnie z relacją giełdy na temat wrześniowego incydentu bezpieczeństwa, atakujący wykorzystali lukę w produkcie bezpieczeństwa strony trzeciej, uzyskali wewnętrzne poświadczenia o wysokich uprawnieniach i wstrzyknęli sfałszowane instrukcje wypłaty do swojego systemu portfela. Bitget oświadczył, że jego klucze prywatne nie zostały skradzione, ale jego portfele hot i warm nadal wykonały nieautoryzowane transfery, a szacowane straty wynoszą obecnie około 388 milionów dolarów. Niezależne śledztwo kryminalistyczne jest wciąż w toku.
W łańcuchu bloków te transfery były ważne — ale nie ma to nic wspólnego z tym, czy giełda była gotowa je wykonać. Według doniesień atakujący naruszyli proces, który „mówi portfelowi, co ma podpisać”, omijając kontrole ryzyka, zanim wygenerowano normalne zapisy wypłat.
To pokazuje również, że prowadzona przez klienta „lista zatwierdzonych adresów wypłat” nie jest tu kluczowa. Zgłoszony atak był wymierzony w infrastrukturę portfela giełdy, a nie w klienta wybierającego adres odbiorczy w swoim koncie. Gdy podpisujący akceptuje instrukcję tylko dlatego, że wydaje się pochodzić z zaufanego systemu wewnętrznego, może wiernie wykonać instrukcję, której uprawnienia zostały sfałszowane.
Bitget obecnie śledzi skradzione aktywa i współpracuje z innymi w celu zamrożenia ich części. Zamrażanie funduszy działa w tym przypadku; w incydencie z transferami drobnych kwot zawieszenie wywołane przez własne kontrole zgodności giełdy samo w sobie było częścią zakłócenia. Te dwa mechanizmy zasadniczo się różnią i mają przeciwne skutki dla dotkniętych operatorów.
Cyfrowy dolar, który można zatrzymać
Sprawa USDT związana z Iranem wprowadza trzecią rolę mającą władzę nad portfelem: emitenta aktywa znajdującego się w portfelu. Posiadacz USDT może kontrolować klucz prywatny adresu, ale Tether może uniemożliwić temu adresowi transfer tokenów na zewnątrz. Portfel nadal istnieje, ale znajdujące się w nim aktywa nie mogą być użyte.
Raport przygotowany przez Demokratyczny personel Stałej Podkomisji Śledczej Senatu USA prześledził przepływy USDT między portfelami, które zidentyfikował jako powiązane z bankiem centralnym Iranu i sieciami pośredniczącymi, i zakwestionował, czy Tether wystarczająco szybko zidentyfikował i zamroził portfele związane z Iranem. Tether oświadczył, że w 2026 r. współpracował z władzami USA w celu zamrożenia około 550 milionów dolarów w USDT związanych z Iranem. Raport jest śledztwem personelu mniejszości i nie stanowi ustalenia, że Tether naruszył prawo.
Podmioty związane z Iranem szukają sposobów na kontynuowanie transakcji pomimo ograniczonego dostępu do międzynarodowych usług bankowych. To, czy te ograniczenia są uzasadnione, jest odrębnym pytaniem politycznym i prawnym. Na potrzeby tego artykułu naprawdę godnym uwagi faktem jest to: cyfrowy dolar może przepływać przez granice bez żadnego banku skłonnego do współpracy, a jednak jego emitent zachowuje możliwość zatrzymania go pod określonymi adresami.
Dla tych, którzy przenoszą środki, i tych, którzy je śledzą, ta kombinacja jest bardziej użyteczna niż fizyczne dolary. Gotówka zmienia właściciela między ludźmi bez pozostawiania publicznego zapisu, a żaden emitent nie może zdalnie zamrozić konkretnego banknotu; przelewy bankowe pozostawiają zapisy, ale te zapisy są rozproszone w poszczególnych instytucjach i niedostępne dla publiczności. Przelewy USDT w łańcuchu pozostawiają widoczny ślad: śledczy mogą go prześledzić, a Tether może zamrozić USDT pod zidentyfikowanymi adresami. Szybkość przepływu środków i możliwość interwencji pochodzą z tego samego cyfrowego projektu.
Nieprzejrzyste przepływy środków również nie zaczęły się od branży kryptowalut. Śledztwo Senatu USA z 1992 r. w sprawie BCCI wykazało, że CIA nadal korzystała z banku i jego potajemnie posiadanej amerykańskiej filii, First American, do operacji nawet po dowiedzeniu się o nieprawidłowościach banku. Tradycyjne finanse od dawna zapewniają ścieżki, które osoby z zewnątrz—czasami nawet regulatorzy—uznają za trudne do wyraźnego dostrzeżenia.
Widoczność blockchaina ma również swoje granice. Pokazuje przelewy między adresami, a nie kto stoi za każdym adresem, ani płatności dokonane w celu zakupu tych tokenów. Raport Senatu opierał się na dokumentach, listach sankcyjnych i śledzeniu funduszy, aby przypisać niektóre portfele do osób i instytucji. Możliwość zamrożenia przez Tether jest użyteczna tylko wtedy, gdy istnieje wystarczająca ilość informacji, aby ustalić, gdzie działać.
Kontrola nie znajduje się w tylko jednym miejscu
Te trzy przypadki ujawniają różne uprawnienia wokół tego samego podstawowego obiektu: nadawca może wepchnąć aktywa do portfela, którego operator nie ma ochoty uczestniczyć w transakcji; naruszony system wewnętrzny może spowodować, że giełda przeniesie aktywa na zewnątrz; a emitent tokena może uniemożliwić przenoszenie aktywów w portfelu, nawet gdy posiadacz chce handlować.
Możliwość „zatrzymania środków” jest podatnością, gdy małe niezamówione przelewy zakłócają działanie giełdy, środkiem zaradczym, gdy skradzione środki są zamrażane, oraz narzędziem egzekwowania sankcji, gdy USDT jest blokowane. Zawieszenie operacyjne giełdy i czarna lista tokenów emitenta nie są technicznie tym samym, a ich wpływ zależy od tego, kto ma uprawnienia do ich wywołania, na jakich dowodach i jakie środki zaradcze mogą uzyskać dotknięci posiadacze.
To jest właśnie najtrudniejsze pytanie stojące za kontrolą portfeli kryptowalutowych. Łańcuch rejestruje, co się przeniosło i co zostało zatrzymane; ale władza decydowania, czy „powinno się przenieść”, jest podzielona między nadawców, depozytariuszy, emitentów i organy regulacyjne—a osoba najbardziej dotknięta nie zawsze ma ostatnie słowo.
