Blog Prezesa
Giełda pokazuje zielony wskaźnik: 100% rezerw. Albo 105%. Obok lista portfeli, nazwa zewnętrznej firmy i przycisk do sprawdzenia własnego salda. Wygląda solidnie. Tylko czy z tych informacji wynika, że odzyskasz pieniądze, kiedy zechcesz je wypłacić?
Zanim uznam 100% za argument, chcę wiedzieć: 100% czego? Wybranych kryptowalut? Sald klientów z jednego dnia? Zobowiązań konkretnej spółki? A może tylko tego, co platforma przekazała do sprawdzenia?
Proof of Reserves może dostarczać wartościowych danych. Problem zaczyna się wtedy, gdy ograniczony dowód traktujesz jak odpowiedź na wszystkie pytania o bezpieczeństwo giełdy. Pokażę Ci, jak rozdzielam te kwestie i co sprawdzam w rzeczywistym raporcie.
100% rezerw — najpierw sprawdzam, co jest w mianowniku
Wyobraź sobie informację: platforma ma 100 BTC, a salda klientów objęte procedurą wynoszą 100 BTC. W takim zestawieniu pokrycie wynosi 100%. To konkretny wynik, ale jego znaczenie zależy od zasad liczenia obu liczb.
Chcę wiedzieć, czy po stronie aktywów znajdują się bitcoiny dostępne do wypłaty, czy również środki z ograniczeniami dostępu. Po stronie zobowiązań interesuje mnie, których klientów, produktów i spółek dotyczy zestawienie. Sprawdzam też sposób uwzględniania pożyczek, pozycji z dźwignią i sald ujemnych.
Pokrycie wybranych sald klientów nie jest automatycznie pokryciem wszystkich zobowiązań przedsiębiorstwa. To podstawowe rozróżnienie przy ocenie rezerw giełdy.
Nie porównuję też bezrefleksyjnie wskaźników różnych platform. 110% przy jednym zakresie może oznaczać coś innego niż 102% przy drugim. Najpierw porównuję metodologię, dopiero później procenty.
Co rzeczywiście mówi Proof of Reserves?
Poniższa tabela jest moim schematem czytania zapewnień o bezpieczeństwie. Zakres konkretnego raportu może być szerszy lub węższy. Każdy wiersz wymaga osobnego potwierdzenia w dokumencie.
| Twierdzenie giełdy | Co rzeczywiście mogło zostać sprawdzone | Czego samo to nie dowodzi |
|---|---|---|
| „Pokazujemy nasze portfele”. | Salda wskazanych adresów w blockchainie. | Że giełda kontroluje klucze i może dysponować środkami. |
| „Potwierdziliśmy kontrolę adresów”. | Podpis wiadomości lub transakcja wykonana według instrukcji weryfikatora. | Wyłącznego dostępu do kluczy, praw klientów ani braku obciążeń aktywów. |
| „Możesz sprawdzić swoje saldo w Merkle tree”. | Uwzględnienie Twojego rekordu w danym zbiorze i jego zgodność z opublikowanym korzeniem. | Że uwzględniono wszystkich pozostałych klientów i wszystkie zobowiązania. |
| „Rezerwy przekraczają 100%”. | Relację aktywów do zobowiązań objętych zakresem, na określony moment. | Pełnej wypłacalności całej grupy i utrzymania pokrycia po tej dacie. |
| „Uwzględniamy zobowiązania”. | Zdefiniowany zbiór, np. salda klientów albo wskazane pożyczki. | Kompletności wszystkich długów, gwarancji i innych zobowiązań firmy. |
| „Sprawdziła nas niezależna firma”. | Wykonanie opisanych procedur przez wskazanego wykonawcę. | Że przeprowadzono audyt sprawozdań finansowych lub oceniono każdy obszar bezpieczeństwa. |
Wolę raport, który uczciwie opisuje ograniczenia, niż stronę pełną zapewnień bez wyjaśnienia zakresu. Wyłączenia pomagają zrozumieć wynik. Nie są same w sobie dowodem kłopotów.
Merkle tree potwierdza obecność rekordu. Kompletność to kolejne pytanie
Drzewo Merkle pozwala sprawdzić, czy określony rekord należy do zbioru powiązanego z opublikowanym skrótem kryptograficznym. W praktyce klient może zweryfikować uwzględnienie swojego salda bez poznawania sald innych osób.
To przydatne. Jeżeli jednak potwierdzisz obecność własnego rekordu, nie przeprowadzasz tym samym kontroli całej księgowości giełdy. Nie widzisz z tego powodu wszystkich kont, umów ani zobowiązań wobec podmiotów spoza bazy klientów.
Dlatego interesuje mnie również sposób pozyskania danych źródłowych i sprawdzenia ich kompletności. Czy wykonawca kontrolował proces eksportu sald? Czy uzgodnił dane z innymi zapisami? Jak potraktował salda ujemne? Jakie własności danych potwierdza zastosowany dowód?
Poprawne obliczenie na niepełnym zbiorze nadal opisuje niepełny zbiór. Nawet zaawansowana kryptografia wymaga wyjaśnienia, skąd wzięły się dane wejściowe.
100 mln aktywów, 90 mln sald klientów i 30 mln dodatkowych zobowiązań
Weźmy przykład wyłącznie ilustracyjny. To wymyślone liczby, niezwiązane z żadną giełdą.
| Element | Wartość |
|---|---|
| Widoczne aktywa | 100 mln |
| Salda klientów objęte zestawieniem | 90 mln |
| Dodatkowe zobowiązania poza tym zestawieniem | 30 mln |
Porównanie pierwszych dwóch pozycji daje około 111,1% pokrycia. Z samego tego rachunku nie dowiesz się jednak o dodatkowych 30 mln zobowiązań.
Jeżeli założymy, że wszystkie trzy pozycje dotyczą tego samego podmiotu, aktywa są dostępne i prawidłowo wycenione, a poza tabelą nie ma żadnych innych aktywów ani zobowiązań, otrzymamy 100 mln wobec 120 mln. W takim uproszczonym modelu brakuje 20 mln.
Rzeczywistej oceny wypłacalności nie da się jednak zamknąć w tej tabeli. Trzeba ustalić między innymi, do kogo należą aktywa, jakie mają obciążenia, kiedy przypadają płatności i czy istnieją inne zasoby. Majątek klientów prawnie oddzielony od majątku firmy wymaga innej analizy niż aktywa przedsiębiorstwa dostępne ogółowi wierzycieli.
Sens przykładu jest prosty: wskaźnik może być policzony poprawnie, a mimo to nie odpowiadać na Twoje pytanie o całą sytuację finansową platformy.
PoR a audyt: sprawdzam usługę, nie samą nazwę wykonawcy
8 marca 2023 r. biuro rzecznika inwestorów PCAOB opublikowało ostrzeżenie o ograniczeniach raportów Proof of Reserves. Zwróciło uwagę między innymi na punktowy charakter procedur oraz możliwość nieobjęcia nimi zobowiązań, praw klientów i pochodzenia środków.
To stanowisko pracowników biura, a nie nowy przepis ani aktualne oskarżenie wobec konkretnej platformy. Przywołuję je jako wskazówkę, jak czytać raporty. PoR nie ma jednego identycznego zakresu na całym rynku.
W procedurach uzgodnionych wykonawca przedstawia ustalenia z określonych czynności. Nie należy dopisywać do nich opinii o całej kondycji firmy. Także udział firmy zarejestrowanej w PCAOB nie oznacza, że jej zlecenie PoR podlega standardom audytu i inspekcjom PCAOB.
Podobny problem opisał główny księgowy SEC Paul Munter w stanowisku z 27 lipca 2023 r.: marketing usług innych niż audyt może tworzyć mylne wrażenie równoważności z audytem sprawozdań finansowych.
Dlatego szukam nazwy usługi, zastosowanych standardów, zakresu i treści wniosku. Samo słowo „audyt” na banerze nie wystarcza. Audyt sprawozdań finansowych również nie jest polisą gwarantującą przyszłe wypłaty, ale odpowiada na szerszy zestaw pytań niż sprawdzenie wybranych rezerw.
Czytam konkretny raport: Bybit i Hacken, wrzesień 2026
Przykładem jest Proof of Reserves Verification Report Bybit, dostępny podczas sprawdzania źródeł 26 października 2026 r. Analizuję wskazaną wersję, bez potwierdzenia, że jest ostatnią opublikowaną.
| Co sprawdzam | Co wynika z dokumentu |
|---|---|
| Daty | Weryfikacja: 23 września 2026 r., godz. 03:00 UTC. Raport: 29 września 2026 r. |
| Podmiot | Rubryka „Verified Entity” wskazuje Bybit i bybit.com, bez pełnej nazwy prawnej spółki. Nie przypisuję automatycznie wyniku do Bybit.eu. |
| Wykonawca | Hacken OU; dokument opisuje weryfikację techniczną PoR. |
| Tokeny | 50 aktywów, m.in. BTC, ETH, SOL, USDT, USDC i XRP; osobno wymieniono sieci. |
| Procedury | Sprawdzenie danych sald, drzewa Merkle oraz kontroli adresów przez transakcje wychodzące. |
| Zobowiązania i wynik | Wniosek opisuje także sprawdzenie ujęcia i kompletności zobowiązań pożyczkowych. Wskaźniki dla aktywów objętych zakresem przekraczają 100%. |
| Wyłączenia | Raport wyraźnie wyłącza pełny audyt wszystkich aktywów, zobowiązań i ogólnej kondycji finansowej; nie gwarantuje wykrycia problemów bezpieczeństwa technicznego. |
Podstawa: strony oznaczone w dokumencie numerami 2, 7–8 i 33–35. Mój wniosek: zakres wykracza poza listę portfeli, lecz nie daje podstaw do uznania całej platformy za bezwarunkowo bezpieczną.
Kontrola klucza, brak obciążeń i dostępność środków to różne kwestie
Na stronie Kraken o Proof of Reserves znajdziesz warte przeczytania ograniczenia: potwierdzenie kontroli środków nie dowodzi wyłącznego posiadania kluczy, a procedura nie wykrywa ukrytych obciążeń ani nie wyklucza pożyczenia środków na potrzeby przeglądu. Po jego dacie mogło też dojść do utraty kluczy lub kradzieży.
Dla mnie z tego wynika praktyczna zasada: sam dowód możliwości wykonania transakcji nie rozstrzyga, kto ma ekonomiczne i prawne roszczenia do środków. Chcę zobaczyć, czy raport w ogóle bada takie kwestie.
Osobno pytam o dostępność. Nawet odpowiednio pokryte saldo nie oznacza, że cały proces wypłaty zadziała natychmiast w każdych warunkach. W ocenie ryzyka uwzględniam więc również procedury operacyjne, ograniczenia produktów i warunki korzystania z platformy.
Osiem pytań, które zadaję przed wpłatą
- Na jaki moment zebrano dane? Odróżniam datę snapshotu, datę wydania raportu i datę aktualizacji strony.
- Którego podmiotu dotyczy dokument? Porównuję pełną nazwę spółki z moją umową. Nazwa marki nie załatwia tej kwestii.
- Czy moje aktywa i produkty są w zakresie? Sprawdzam tokeny, środki pieniężne, staking, pożyczki oraz rachunki instrumentów pochodnych.
- Co oznacza „zobowiązania”? Szukam definicji, sposobu kontroli kompletności i zasad uwzględniania sald ujemnych.
- Co potwierdzono po stronie aktywów? Oddzielam saldo adresu, kontrolę klucza, prawa do środków i brak obciążeń.
- Kto wykonał pracę i według jakich zasad? Czytam opis procedur oraz wniosek, zamiast polegać na logotypie wykonawcy.
- Czego raport nie obejmuje? Szukam wyłączeń dotyczących finansów, cyberbezpieczeństwa i okresu po weryfikacji.
- Ile kapitału chcę wystawić na ryzyko tej platformy? Dobry dokument jest informacją do tej decyzji. Nie zastępuje limitu ekspozycji.
Jeżeli nie znajduję odpowiedzi, zapisuję „nieustalone”. Nie dopisuję sobie ani bezpieczeństwa, ani oszustwa. Brak danych ogranicza ocenę i powinien wpływać na decyzję o kwocie, którą powierzam platformie.
Jak wykorzystuję PoR przy wyborze giełdy?
W porównywarce giełd kryptowalut możesz zestawić warunki korzystania z platform. Do oceny bezpieczeństwa dokładam osobną analizę dokumentów. Czytając recenzje Kraken, Coinbase i OKX, nie zakładam, że udostępniane przez nie informacje mają identyczny zakres.
Oddzielam też ryzyko strategii od ryzyka miejsca przechowywania kapitału. W copy tradingu wynik tradera nie odpowiada na pytanie o kondycję platformy. Tak samo dobry raport rezerw nie naprawi strategii, która przegrywa przez zbyt dużą dźwignię i wielkość pozycji.
Do tego dochodzi ewidencja środków. W tekście o minimalizmie finansowym poruszam problem mnożenia miejsc przechowywania kapitału. Tutaj zastosowanie jest konkretne: przy każdej platformie warto zapisać kwotę, podmiot obsługujący konto, datę sprawdzonego raportu i niewyjaśnione ograniczenia.
Czy Proof of Reserves wystarczy? Do samodzielnego uznania giełdy za bezpieczną — nie. Do zmniejszenia części niewiedzy o rezerwach — może być bardzo przydatne, jeśli znam zakres i potrafię zweryfikować wynik.
Kiedy widzę „100% rezerw”, zaczynam od pytań. Dopiero po odpowiedziach decyduję, ile kapitału chcę powierzyć platformie. Procent w raporcie jest dodatkową informacją o ryzyku. Gwarancji wypłat z niego nie zrobię.
