De diefstal van $6,3 miljard bij Binance, omschreven als de grootste crypto-diefstal ter wereld, heeft de werking van crypto-verzekeringen scherp in de aandacht gebracht. De omvang van het verlies laat zien hoe ongelijkmatig cryptocurrencybeurzen digitale activa verzekeren: wat gedekt wordt, hangt af van hoe activa worden bewaard, hoe aanvallers binnendringen en de voorwaarden in elk contract.

Volgens een rapport van Reuters bestaat verzekering van digitale activa uit een reeks polissen voor beurzen, custodians en andere bedrijven die worden geconfronteerd met diefstal, cyberaanvallen, technologische storingen en daaraan gerelateerde bedrijfsrisico's. Deze polissen kunnen risico's dekken die verband houden met privésleutels, portemonneebeveiliging, smart contracts en bewaarsystemen.

Hoe dekking verschilt per polistype

Verzekeren blijft een niche binnen de verzekeringssector, die vooral wordt verzorgd door gespecialiseerde verzekeraars in de Lloyd's-markt en op Bermuda. Het rapport merkt op dat beperkte regelgeving en volatiele cryptoprijzen verzekeraars voorzichtig hebben gemaakt, zelfs nu de vraag naar bescherming is gestegen samen met het gebruik van cryptocurrency en diefstalclaims. Bij een verlies van de omvang van dat van Binance heeft die voorzichtigheid gevolgen: het rapport beschrijft een kloof tussen de verliezen waarmee bedrijven in digitale activa geconfronteerd kunnen worden en de beschikbare verzekeringscapaciteit, waardoor dekking fungeert als één beschermingslaag in plaats van een volledige vangnet bij een catastrofale diefstal.

De dekking van één bedrijf kan meerdere vormen van verzekering combineren. Fraudepolissen kunnen reageren op diefstal, social engineering en oplichting. Cyberaansprakelijkheid kan inbreuken, regulatorische reacties en sommige bijbehorende kosten dekken. Polissen voor beroepsaansprakelijkheid kunnen van toepassing zijn op softwarefouten of het falen van smart contracts, terwijl bestuurdersaansprakelijkheid betrekking heeft op rechtszaken tegen bestuurders. Technologieaansprakelijkheid kan gelden voor infrastructuuraanbieders.

De combinatie is belangrijk omdat standaard verzekeringsproducten nooit zijn ontworpen met gestolen cryptocurrency in gedachten. De meeste traditionele fraudepolissen zijn opgezet voor fysiek eigendom zoals contant geld, effecten en edelmetalen, en conventionele cyberpolissen dekken gestolen digitale activa ook niet altijd.

Wanneer verzekering tekortschiet

Zodra een hack plaatsvindt, kan een beurs vertrouwen op verzekeringsuitkeringen, het eigen kapitaal en noodfondsen die voor klanten zijn gereserveerd. Wat een verzekeraar uiteindelijk uitkeert, hangt af van polislimieten, eigen risico's en uitsluitingen. Wanneer verliezen de verzekerde bedragen overschrijden, moet het bedrijf een beroep doen op zijn eigen financiële middelen of andere herstelregelingen.

Binance richtte in juli 2018 het Secure Asset Fund for Users op, bekend als SAFU. De beurs omschrijft het als een noodreserve voor extreme gevallen, waaronder beveiligingsinbreuken of incidenten op platformniveau. Per 2026 bevatte het fonds naar schatting $1 miljard aan crypto-activa, volledig in bitcoin, volgens de website van Binance.

Het rapport meldde dat Binance niet onmiddellijk reageerde op het verzoek van Reuters om commentaar op de verzekeringdekking. Het stelt niet dat de verzekering het verlies van $6,3 miljard dekte, noch geeft het aan hoeveel van eventuele verliezen via het fonds konden worden terugverdiend. Die onopgeloste punten — of een polis op de diefstal van toepassing is en hoeveel het fonds kan bijdragen — zijn de openbaarmakingen die zouden laten zien hoeveel van het verlies op de eigen middelen van de beurs neerkomt.

Claims kunnen afhangen van hoe de inbreuk plaatsvond, welke systemen zijn gecompromitteerd en of het verlies binnen de betreffende polis valt. Verzekeraars kunnen controles op privésleutels, portemonneetoegang en transactiegoedkeuringen onderzoeken. Of een externe hacker referenties heeft gestolen of een medewerker bewust activa heeft overgedragen, kan bepalen welke polis van toepassing is.

Uitsluitingen en beveiligingscontroles bepalen uitkomsten

Polissen kunnen waardefluctuaties, frauduleuze handelingen van de verzekeringnemer of onbeveiligd en nalatig sleutelbeheer uitsluiten. Dergelijke clausules kunnen de bescherming verkleinen en het verkrijgen van dekking moeilijker maken. De vermelde limiet van een polis zegt daarom op zichzelf weinig over wat een bedrijf na een specifiek incident daadwerkelijk zou ontvangen.

Jacqueline Quintal, leider van de financiële instellingen- en digitale activa-sector bij Marsh, vertelde Reuters dat bedrijven in digitale activa en institutionele klanten moeten begrijpen wat gedekt is, samen met uitsluitingen en sublimieten. Ze voegde eraan toe dat technologie- en beveiligingscontroles, goed bestuur en financiële kracht ook belangrijk zijn, gezien de kloof tussen mogelijke verliezen en de beschikbare verzekeringscapaciteit.

Het rapport biedt geen enkele polisformule die vergoeding garandeert. Beurzen moeten de exacte bewoordingen van hun polissen bestuderen en bepalen of een bepaald verlies binnen de dekking valt, en de beoordeling van claims hangt af van de inbreuk zelf, de betrokken systemen en de aanwezige controles.