Kradzież 6,3 miliarda dolarów z Binance, określana jako największy skok w historii kryptowalut, wyraźnie zwróciła uwagę na mechanizmy ubezpieczeń kryptowalut. Skala straty pokazuje, jak nierównomiernie giełdy kryptowalutowe ubezpieczają aktywa cyfrowe: to, co zostaje objęte ochroną, zależy od sposobu przechowywania aktywów, metody włamania atakujących oraz warunków zapisanych w każdej umowie.

Według raportu agencji Reuters ubezpieczenia aktywów cyfrowych to zestaw polis dla giełd, depozytariuszy i innych firm narażonych na kradzież, cyberataki, awarie technologii i powiązane ryzyka biznesowe. Polisy te mogą obejmować ryzyka związane z kluczami prywatnymi, bezpieczeństwem portfeli, inteligentnymi kontraktami i systemami depozytowymi.

Jak ochrona różni się w zależności od typu polisy

Underwriting pozostaje niszą w branży ubezpieczeniowej, obsługiwaną głównie przez wyspecjalizowanych ubezpieczycieli działających na rynku Lloyd's oraz na Bermudach. Raport wskazuje, że ograniczona regulacja i zmienność cen kryptowalut utrzymują ubezpieczycieli w ostrożności, mimo że popyt na ochronę rośnie wraz z upowszechnieniem kryptowalut i liczbą roszczeń o kradzież. Przy stracie takiej skali jak w przypadku Binance ta ostrożność ma konsekwencje: raport opisuje lukę między stratami, jakich mogą doświadczyć firmy zajmujące się aktywami cyfrowymi, a dostępnymi możliwościami ubezpieczenia — dlatego ubezpieczenie stanowi jedną z warstw ochrony, a nie pełne zabezpieczenie przed katastrofalną kradzieżą.

Ochrona jednej firmy może łączyć kilka form ubezpieczenia. Polisy crime mogą obejmować kradzież, socjotechnikę i oszustwa. Ubezpieczenie cyber liability może pokryć włamania, reakcję regulacyjną i niektóre powiązane koszty. Polisy errors and omissions mogą mieć zastosowanie do błędów oprogramowania lub awarii inteligentnych kontraktów, podczas gdy ubezpieczenie directors and officers dotyczy pozwów przeciwko kierownictwu. Ubezpieczenie technology liability może obejmować dostawców infrastruktury.

Ta kombinacja ma znaczenie, ponieważ standardowe produkty ubezpieczeniowe nigdy nie powstawały z myślą o skradzionych kryptowalutach. Większość tradycyjnych polis crime została zaprojektowana dla majątku fizycznego, takiego jak gotówka, papiery wartościowe i metale szlachetne, a konwencjonalne polisy cyber również nie zawsze pokrywają skradzione aktywa cyfrowe.

Kiedy ubezpieczenie nie wystarcza

Po włamaniu giełda może polegać na wypłatach ubezpieczeniowych, własnym kapitale oraz funduszach awaryjnych odłożonych dla klientów. Kwota wypłacana przez ubezpieczyciela zależy od limitów polisy, franszyz i wyłączeń. Gdy straty przekraczają sumy ubezpieczenia, firma musi sięgnąć po własne zasoby finansowe lub inne ustalenia dotyczące odzyskiwania środków.

Binance utworzyło Secure Asset Fund for Users, znany jako SAFU, w lipcu 2018 roku. Giełda opisuje go jako rezerwę awaryjną na przypadki skrajne, takie jak naruszenia bezpieczeństwa czy incydenty na poziomie platformy. Według strony internetowej Binance na koniec 2026 roku fundusz przechowywał aktywa kryptowalutowe o wartości około 1 miliarda dolarów, w całości w bitcoinie.

Z raportu wynika, że Binance nie odpowiedziało od razu na prośbę agencji Reuters o komentarz dotyczący ochrony ubezpieczeniowej. Raport nie stwierdza, że ubezpieczenie pokryło stratę 6,3 miliarda dolarów, ani nie określa, jaka część ewentualnej straty mogłaby zostać odzyskana z funduszu. Te nierozstrzygnięte kwestie — czy którakolwiek polisa obejmuje kradzież i ile fundusz mógłby wnieść — to właśnie te ujawnienia, które pokazałyby, jaka część straty spadnie na własne zasoby giełdy.

Roszczenia mogą zależeć od przebiegu naruszenia, tego, które systemy zostały skompromitowane, oraz czy strata pasuje do danej polisy. Ubezpieczyciele mogą analizować kontrole dotyczące kluczy prywatnych, dostępu do portfeli i zatwierdzania transakcji. To, czy poświadczenia ukradł zewnętrzny haker, czy pracownik celowo przeniósł aktywa, może zadecydować o tym, która polisa ma zastosowanie.

Wyłączenia i kontrole bezpieczeństwa kształtują wyniki

Polisy mogą wyłączać wahania wartości, oszukańcze działania ubezpieczonego oraz niezabezpieczone lub niedbałe zarządzanie kluczami. Takie klauzule mogą ograniczyć ochronę i utrudnić uzyskanie ubezpieczenia. Sama deklarowana suma ubezpieczenia mówi zatem niewiele o tym, co firma faktycznie otrzyma po konkretnym incydencie.

Jacqueline Quintal, kierowniczka w Marsh ds. instytucji finansowych i branży aktywów cyfrowych, powiedziała agencji Reuters, że firmy zajmujące się aktywami cyfrowymi i klienci instytucjonalni muszą rozumieć, co jest objęte ochroną, a także wyłączenia i sublimity. Dodała, że biorąc pod uwagę lukę między możliwymi stratami a dostępnymi możliwościami ubezpieczenia, ważne są również kontrole technologiczne i bezpieczeństwa, solidne zarządzanie oraz kondycja finansowa.

Raport nie przedstawia jednej uniwersalnej formuły gwarantującej odszkodowanie. Giełdy muszą analizować dokładne brzmienie swoich polis i ustalać, czy dana strata mieści się w zakresie ochrony, a ocena roszczeń opiera się na samym naruszeniu, zaangażowanych systemach i stosowanych kontrolach.