Ubezpieczenie przechowywania kryptowalut brzmi jak proste rozwiązanie: płacisz składkę, a przy każdej kradzieży portfela pieniądze wracają. W praktyce jest to dużo bardziej skomplikowane. Jeśli prowadzisz exchangera i trzymasz środki klientów w portfelach gorących i chłodnych, różnica między „jesteśmy ubezpieczeni" a „ten konkretny przypadek jest objęty ochroną" może zdecydować, czy biznes przetrwa incydent.
Co ubezpieczenie przechowywania kryptowalut naprawdę obejmuje
Najczęściej to polisa typu crime insurance — ochrona przed kradzieżą przez osoby trzecie lub pracowników, a nie przed spadkiem kursu czy błędem smart kontraktu. Typowy objęty przypadek to włamanie do infrastruktury przechowywania: ktoś zdobył dostęp do prywatnych kluczy gorącego portfela i wyprowadził środki.
Takie polisy zazwyczaj wystawiają wielkie syndykaty ubezpieczeniowe — najczęściej pada nazwa Lloyd's of London — przez brokera, a nie bezpośrednio. Stąd biurokracja: zanim ubezpieczyciel podpisze umowę, wymaga audytu infrastruktury, opisanych procedur dostępu do kluczy oraz historii incydentów.
Czego polisa prawie nigdy nie obejmuje — i to jest główny mit
Najdroższe błędne przekonanie właściciela exchangera to myślenie, że polisa pokrywa cały bilans środków klientów. W praktyce prawie zawsze istnieje lista wyłączeń, a trafia na nią zwykle to, co najbardziej prawdopodobne.
- Błędy smart kontraktów i exploity na poziomie protokołu — to inny rodzaj ryzyka, ubezpieczany odrębnie i rzadko.
- Utrata kluczy przez zaniedbanie własnego pracownika, a nie atak zewnętrzny.
- Kradzież wewnętrzna powyżej odrębnego, zwykle znacznie niższego sublimitu.
- Środki w gorącym portfelu powyżej limitu zapisanego w polisie — a aktywny exchanger w szczytowych dniach łatwo ten limit przekracza.
Powstaje paradoks: im aktywniej działa exchanger, tym większa szansa, że w momencie ataku realny bilans gorącego portfela przewyższał ubezpieczoną sumę.
Dlaczego „ubezpieczony" nie znaczy „ubezpieczony w pełni"
Każda polisa ma limit zagregowany — maksimum, które ubezpieczyciel wypłaci za cały okres trwania umowy, a nie za jeden incydent. Jeśli w ciągu roku doszło do dwóch zdarzeń, drugie może być objęte tylko częściowo albo wcale, bo limit jest już wyczerpany.
Wewnątrz jednej polisy prawie zawsze są też wewnętrzne sublimity: jedna liczba na chłodne przechowywanie, druga — zwykle znacznie niższa — na gorące portfele. Liczy się nie nagłówek polisy, a załącznik z cyframi.
Na co exchanger powinien patrzeć przy wyborze polisy lub dostawcy custody
Jeśli custody jest przekazane zewnętrznemu dostawcy, nie pytaj „czy jesteście ubezpieczeni", a co konkretnie i na jaką sumę.
- Poproś o rzeczywisty tekst wyłączeń, nie slajd marketingowy — tam zwykle kryje się prawdziwy obraz.
- Porównaj deklarowany limit z realnym wolumenem środków w gorącym portfelu w dniu szczytowym, nie średnim.
- Sprawdź procedurę zgłaszania roszczeń i termin wypłaty — polisa, która płaci półtora roku po incydencie, nie uratuje działającego biznesu tu i teraz.
- Zweryfikuj, czy ubezpieczyciel wymaga multisig i sprzętowych modułów bezpieczeństwa (HSM) jako warunku ochrony — niespełnienie wymogów samo w sobie może być powodem odmowy wypłaty.
Częste błędy właścicieli exchangerów
Najczęstszy błąd to w ogóle nieczytanie załącznika z limitami i wyłączeniami, ufanie samemu słowu „insured" w prezentacji partnera. Drugi — trzymanie nadmiernego salda w gorącym portfelu „dla wygody klientów", zapominając, że to zwykle najgorzej ubezpieczona część.
Trzeci błąd to traktowanie ubezpieczenia jako zamiennika wewnętrznego bezpieczeństwa, a nie jego uzupełnienia. Polisa to ostatnia linia obrony, nie pierwsza, i zdecydowanie nie jedyna.
Wniosek
Ubezpieczenie przechowywania kryptowalut to przydatne narzędzie, nie magiczna poduszka na każdy przypadek. Działa najlepiej w parze z własną dyscypliną: rozdzieleniem chłodnego i gorącego przechowywania, multisigiem, limitami na gorący portfel i regularnym audytem. Dla tych, którzy budują własnego exchangera od zera, rozsądniej jest od razu zaprojektować taką architekturę w silniku, a nie łatać ją później — na przykład na platformie iEXWallet, gdzie własne przechowywanie środków klientów nie zależy od warunków cudzej polisy.
