Łukasz Jaruzal | 30 października 2026

29 października doszło do poważnego incydentu bezpieczeństwa na Binance. Według komunikatu giełdy szacowana wartość aktywów objętych zdarzeniem wyniosła około 6,3 mld USD. Firma analityczna Elliptic, na podstawie własnej analizy transakcji on-chain, oszacowała wartość skradzionych aktywów na 6,43 mld USD.

Binance poinformował o zamrożeniu około 3 mld USD w aktywach oraz zadeklarował pokrycie strat użytkowników z własnych środków i funduszu SAFU. To istotne deklaracje, ale na obecnym etapie nie znamy ostatecznej wartości odzyskanych środków ani końcowego bilansu strat.

Wstępne ustalenia operatora wskazują na możliwość przejęcia laptopa inżyniera DevOps, co miało umożliwić dostęp do wewnętrznej infrastruktury i zainicjowanie nieautoryzowanych wypłat. Binance nie znalazł dotychczas dowodów na wyciek kluczy prywatnych. Późniejsze komunikaty wskazują jednak na dodatkowe punkty naruszenia bezpieczeństwa. Pełna rekonstrukcja ataku pozostaje otwarta.

Warto przyjrzeć się analizie Elliptic. Badacze opisali wykorzystanie mechanizmu delegacji EIP-7702 na Ethereum, który umożliwia przypisanie kontu zewnętrznemu określonej logiki wykonywanej przez smart contract. Według ich ustaleń atakujący wykorzystał serię wcześniej podpisanych autoryzacji, a następnie przekierował kontrolę nad jednym z hot walletów do własnego kontraktu.

Analiza transakcji sugeruje, że atakujący mógł wykorzystać istniejącą infrastrukturę podpisywania Binance zamiast bezpośrednio pozyskiwać klucze prywatne. To interpretacja danych on-chain przedstawiona przez Elliptic, nie potwierdzony jeszcze pełny opis wewnętrznego przebiegu ataku.

Z perspektywy zarządzania ryzykiem interesuje mnie przede wszystkim możliwość doprowadzenia do wykonania nieautoryzowanej operacji przy wykorzystaniu prawidłowo działających komponentów infrastruktury.

Bezpieczeństwo custody nie kończy się na kluczach prywatnych

W modelach przechowywania aktywów cyfrowych bezpieczeństwo materiału kryptograficznego jest koniecznym, ale niewystarczającym warunkiem kontroli nad transferami.

Należy osobno ocenić systemy inicjujące dyspozycje, reguły autoryzacji, uprawnienia administracyjne oraz komponenty odpowiadające za podpisywanie i transmisję transakcji.

MPC, multisig i sprzętowe moduły bezpieczeństwa ograniczają określone scenariusze kompromitacji kluczy. Nie eliminują jednak ryzyka, że uprawniony komponent podpisujący otrzyma dyspozycję, która przeszła przez niewłaściwie zabezpieczony proces autoryzacyjny.

Dlatego architektura bezpieczeństwa powinna uwzględniać również skutki przejęcia pojedynczego komponentu, możliwość ograniczenia zakresu wykonywanych operacji i niezależność mechanizmów zatwierdzania transakcji.

W przypadku funduszu inwestycyjnego dochodzi kwestia podziału funkcji między podmiotami obsługującymi aktywa.

Miejsce wykonywania transakcji, dostawca custody, prime broker, administrator funduszu i infrastruktura rozliczeniowa pełnią odmienne role. W praktyce niektóre funkcje mogą być skoncentrowane u jednego podmiotu, ale nie oznacza to, że związane z nimi ryzyka są tożsame.

W szczególności ryzyko operacyjne dostawcy custody należy odróżnić od ryzyka kredytowego kontrahenta, ryzyka prawnego dotyczącego praw do aktywów oraz ryzyka niewykonania rozliczenia. Incydent bezpieczeństwa może uruchomić kilka z tych ryzyk jednocześnie, choć nie musi prowadzić do trwałej utraty aktywów.

Płynność rynkowa nie gwarantuje płynności operacyjnej

Załóżmy, że fundusz utrzymuje część aktywów u kontrahenta A. W następstwie incydentu bezpieczeństwa kontrahent czasowo wstrzymuje transfery.

Aktywa mogą nadal posiadać wysoką płynność rynkową i obserwowalną cenę. Zarządzający nie jest jednak w stanie wykorzystać ich do terminowego rozliczenia innej transakcji.

Jeżeli równocześnie fundusz musi uzupełnić depozyt zabezpieczający u kontrahenta B, problem operacyjny może przenieść się bezpośrednio na zarządzanie portfelem.

Fundusz będzie musiał wykorzystać inne dostępne zabezpieczenia, pozyskać płynność lub ograniczyć ekspozycję. W skrajnym przypadku niewypełnienie zobowiązań wynikających z umowy zabezpieczeń może prowadzić do zamknięcia pozycji przez kontrahenta. Dokładne konsekwencje zależą od rodzaju instrumentu, dokumentacji umownej i zasad rozliczenia.

To scenariusz hipotetyczny, ale dobrze pokazuje zależność, którą łatwo przeoczyć przy analizie samej wartości portfela.

NAV odzwierciedla wartość aktywów netto funduszu zgodnie z właściwymi zasadami wyceny. Nie informuje samodzielnie, czy określone aktywa mogą zostać wykorzystane w wymaganym terminie i miejscu.

Jeżeli incydent wpływa na ich wartość godziwą, odzyskiwalność lub inne istotne parametry wyceny, jego konsekwencje mogą wymagać uwzględnienia w NAV. Sama czasowa niedostępność operacyjna nie musi jednak oznaczać natychmiastowej utraty wartości ekonomicznej aktywa.

Dla strategii wykorzystujących instrumenty pochodne i dźwignię finansową znaczenie ma zatem nie tylko wielkość rezerw płynności, ale również ich rozmieszczenie, forma, możliwość transferu i kwalifikowalność jako zabezpieczenia u poszczególnych kontrahentów.

Zarządzanie płynnością wymaga uwzględnienia tych ograniczeń jeszcze na etapie konstrukcji portfela.

Outsourcing nie eliminuje odpowiedzialności za ryzyko

Wybór zewnętrznego dostawcy custody może ograniczyć potrzebę budowania własnej infrastruktury technologicznej, ale jednocześnie wprowadza zależności operacyjne, które trzeba uwzględnić w modelu zarządzania ryzykiem.

Znaczenie mają między innymi zasady segregacji aktywów, charakter praw klienta, warunki ich odzyskania w przypadku niewypłacalności dostawcy, procedury transferów awaryjnych i dostępność alternatywnych kanałów realizacji transakcji.

Nie każdy model custody zapewnia ten sam poziom ochrony prawnej. Nie każda relacja z platformą transakcyjną daje inwestorowi bezpośrednie prawo do konkretnych aktywów przechowywanych przez operatora. Ocena zależy od konstrukcji prawnej usługi, jurysdykcji i zawartej umowy.

Również dywersyfikacja dostawców nie jest rozwiązaniem automatycznym. Dwa niezależne podmioty mogą korzystać z tego samego dostawcy infrastruktury technologicznej lub być narażone na wspólny punkt awarii.

W praktyce analiza koncentracji powinna więc obejmować zarówno bezpośrednich kontrahentów, jak i istotne zależności infrastrukturalne.

Projektowanie Onyx Capital

Onyx Capital jest obecnie w fazie przygotowań. Fundusz nie rozpoczął jeszcze działalności inwestycyjnej. Pracujemy nad strukturą prawną, założeniami strategii, modelem operacyjnym i zasadami zarządzania ryzykiem.

W ramach tych przygotowań rozpoczęliśmy również warsztaty dotyczące cyberbezpieczeństwa, które prowadzi dla nas Sebastian Gradys. To jeden z elementów prac nad przyszłą infrastrukturą funduszu, pozwalający nam analizować zagrożenia operacyjne i wymagania bezpieczeństwa jeszcze przed wyborem konkretnych rozwiązań.

Rozważamy strategię wieloaktywową, w tym możliwość uzyskiwania ekspozycji na aktywa cyfrowe. Ostateczny zakres inwestycji i sposób ich realizacji będą zależały od przyjętej struktury prawnej, wymogów regulacyjnych i polityki inwestycyjnej.

Na obecnym etapie analizujemy rozwiązania, które pozwolą odpowiednio kontrolować ryzyko operacyjne przy zakładanej skali działalności.

To istotny aspekt ekonomiki funduszu. Koszty custody, infrastruktury transakcyjnej, kontroli operacyjnych i usług zewnętrznych tworzą określony poziom kosztów stałych. Przy niewielkim początkowym AUM ich udział w kosztach działalności może być znaczący.

Jednocześnie obniżanie kosztów poprzez ograniczanie mechanizmów kontrolnych może prowadzić do ryzyka nieadekwatnego do możliwości finansowych organizacji.

Dlatego analizujemy również, które strategie i instrumenty będzie można odpowiedzialnie obsługiwać w ramach docelowego modelu operacyjnego.

Własna infrastruktura, outsourcing i ograniczenie zakresu działalności to różne możliwości organizacyjne, każda z odmiennymi konsekwencjami kosztowymi i operacyjnymi.

Na tym etapie nie wszystkie decyzje zostały podjęte. Część zależy od wyników analiz prawnych, wyboru usługodawców oraz ostatecznej konstrukcji funduszu.

Zamierzam dokumentować wybrane etapy powstawania Onyx Capital na tej stronie. Interesuje mnie przede wszystkim proces podejmowania decyzji, kompromisy między rozwiązaniami oraz ich konsekwencje dla przyszłego sposobu zarządzania kapitałem.

Ryzyko operacyjne jako ograniczenie strategii

W przypadku incydentu Binance pełna ocena mechanizmu ataku będzie możliwa dopiero po zakończeniu dochodzenia i opublikowaniu szczegółowych ustaleń technicznych.

Dostępne obecnie informacje pozwalają jednak przeanalizować istotny problem: możliwość utraty kontroli nad procesem transferu aktywów bez potwierdzonej kompromitacji samych kluczy prywatnych.

Dla zarządzającego konsekwencje podobnego zdarzenia zależą od struktury portfela, rodzaju wykorzystywanych instrumentów, koncentracji kontrahentów, warunków zabezpieczeń i dostępnych rezerw płynności.

Fundusz może posiadać aktywa o wysokiej płynności rynkowej, a mimo to nie dysponować środkami potrzebnymi do utrzymania pozycji.

W takim scenariuszu ograniczenie operacyjne staje się bezpośrednim ograniczeniem strategii inwestycyjnej.

To jedna z zależności, które uwzględniamy podczas projektowania Onyx Capital. Zanim fundusz rozpocznie zarządzanie kapitałem, chcemy ustalić, jakie ryzyka jesteśmy w stanie kontrolować, jakie musimy ograniczać poprzez dobór kontrahentów i infrastruktury oraz które mogą wymagać ograniczenia samej strategii.

Zdolność do utrzymania pozycji jest równie istotna jak zdolność do jej otwarcia.