Bidextreme.pl to polska giełda bitcoina i litecoina, prowadzona przez olsztyńską spółkę Magnus. 17 listopada 2013 roku padła ofiarą włamania, w wyniku którego opróżniono jej portfele BTC i LTC.
Na tle innych polskich upadków opisywanych w tym słowniku wyróżnia się dwiema rzeczami.
Po pierwsze, była nowatorska. Jako jedna z pierwszych na polskim rynku wprowadziła obok bitcoina obrót litecoinem – co w 2013 roku było realną nowością.
Po drugie, i o wiele ważniejsze: klienci odzyskali złotówki. Środki w walucie zdeponowane na giełdzie zostały użytkownikom zwrócone. Kryptowaluty – nie.
To jest przypadek nietypowy i wart osobnego hasła, bo pokazuje coś, czego nie widać w pozostałych historiach: jak wygląda częściowa odpowiedzialność operatora i dlaczego przebiega akurat w tym miejscu.
Przebieg
Chronologia była taka, jaką znamy z każdego późniejszego przypadku – i to jest w niej najbardziej pouczające.
Najpierw na stronie pojawił się krótki komunikat o awarii.
Potem dłuższa i znacznie bardziej niepokojąca wiadomość, informująca, że serwer padł ofiarą ataku.
Ostatecznie obszerne oświadczenie, z którego wynikało, że doszło do włamania i okradzenia portfela bitcoinowego oraz litecoinowego.
Spółka zgłosiła sprawę organom ścigania i od tego momentu na pytania użytkowników odpowiadała, że w związku z prowadzonym śledztwem nie może udzielać informacji.
Skali strat nigdy publicznie nie ujawniono. Nie wiadomo, ile kryptowalut znajdowało się w opróżnionych portfelach.
Sygnały, które były wcześniej
Rzecz, o której warto pamiętać, bo powtarza się przy każdym takim zdarzeniu: problemy zwykle widać wcześniej, tylko nikt ich nie traktuje poważnie.
Użytkownicy ówczesnego forum branżowego wskazywali, że serwis miał wcześniej błędy w rozliczeniach – między innymi taki, w którym zakupy poniżej jednego grosza powodowały dopisanie bitcoinów do konta bez obciążenia salda złotówkowego.
To jest błąd elementarny. Nie mówi wprost nic o zabezpieczeniach portfela, ale mówi bardzo dużo o staranności, z jaką zbudowano system przechowujący cudze pieniądze.
Zasada praktyczna: widoczne błędy w prostych funkcjach są przesłanką co do jakości funkcji niewidocznych. Jeśli giełda nie potrafi poprawnie policzyć salda, trudno zakładać, że dobrze chroni klucze prywatne.
Społeczność śledziła środki w łańcuchu
Element, który dziś jest oczywisty, a w 2013 roku był świeży.
Użytkownicy forum samodzielnie prześledzili w łańcuchu bloków losy swoich litecoinów, ustalając adres, na który trafiły, i obserwując jego saldo.
To jest ta sama zdolność, która w 2026 roku pozwoliła wykryć dziurę w największej polskiej giełdzie na długo przed wstrzymaniem wypłat. Publiczny rejestr transakcji daje narzędzie weryfikacji, którego nie ma w żadnej innej części rynku finansowego.
Różnica polega na tym, że w 2013 roku robiła to garstka zapaleńców na forum, a dziś istnieją wyspecjalizowane firmy analityczne. Możliwość istniała jednak od początku – i była wykorzystywana.
Zlokalizowanie środków to oczywiście nie to samo co ich odzyskanie. W tym przypadku nie pomogło.
Złotówki tak, kryptowaluty nie
Wracamy do tego, co czyni tę sprawę wyjątkową.
Środki złotówkowe zgromadzone przez klientów na giełdzie zostały im zwrócone. Bitcoiny i litecoiny przepadły.
Dlaczego akurat taki podział? Odpowiedź jest strukturalna i warto ją zrozumieć, bo dotyczy każdej giełdy do dziś.
Złotówki leżały na rachunku bankowym. Ich nikt nie ukradł – nie były przedmiotem włamania, bo włamanie dotyczyło portfeli kryptowalutowych. Pieniądze fizycznie istniały i dało się je oddać.
Kryptowaluty leżały w portfelach podłączonych do systemu. Te zostały opróżnione i nie było czego zwracać. Spółka albo nie miała rezerw pozwalających pokryć stratę z własnych środków, albo nie zdecydowała się tego zrobić.
Wniosek, który warto zapamiętać: w giełdzie kryptowalut Twoje dwa rodzaje środków mają zupełnie różny profil ryzyka, mimo że widzisz je obok siebie na jednym ekranie. Waluta leży w banku, objęta zupełnie inną infrastrukturą. Kryptowaluta leży w portfelu, którego bezpieczeństwo zależy wyłącznie od operatora.
To nie jest różnica teoretyczna. W tym przypadku zdecydowała o wszystkim.
Kwestia odpowiedzialności
W dyskusjach poszkodowanych rozważano pozew zbiorowy i przy tej okazji padł argument, który uważam za najcenniejszy w całej tej historii.
Pojawiło się pytanie, czy roszczenia zależą od tego, czy śledztwo ustali sprawcę włamania. Odpowiedź, sformułowana wtedy przez uczestników dyskusji, brzmiała mniej więcej tak:
Sprawca włamania nie jest Twoją stroną. Twoją stroną jest giełda.
Zawarłeś umowę z operatorem, powierzyłeś mu środki i to on odpowiada za ich przechowanie. To, czy odzyska je od złodzieja, jest jego problemem – nie warunkiem Twojego roszczenia.
Ustalenie albo nieustalenie sprawcy przez prokuraturę nie zmienia sytuacji cywilnoprawnej między Tobą a giełdą. To dwie równoległe sprawy, często mylone.
W praktyce oczywiście wszystko rozbija się o to, czy operator ma majątek, z którego dałoby się cokolwiek odzyskać. Postępowanie karne nie zwraca pieniędzy, a wyrok cywilny przeciwko spółce bez aktywów jest papierem.
Ale samo rozróżnienie jest ważne i warte zapamiętania na przyszłość.
Skala – i ostrożność wobec opisów
Jedna uwaga metodologiczna, bo w materiałach o tej giełdzie pojawia się sprzeczność.
Część ówczesnych publikacji opisywała Bidextreme jako drugą co do wielkości giełdę kryptowalut w Polsce. Tymczasem dane o obrotach z tamtego okresu pokazują skalę znacznie skromniejszą – trzydziestodniowy wolumen rzędu dwustu bitcoinów, przy wielokrotnie większych obrotach konkurencyjnego Bitcureksu.
Nie rozstrzygam tej rozbieżności, bo mogła wynikać z różnych metod liczenia albo z różnych momentów pomiaru. Odnotowuję ją jako przypomnienie, że opisy skali w materiałach branżowych bywają zawyżone, a przy ocenie pośrednika lepiej patrzeć na dane o obrotach niż na określenia typu „druga największa”.
Cztery wnioski
1. Waluta i kryptowaluta na jednym rachunku to dwa różne ryzyka. Pierwsza leży w banku, druga w portfelu operatora.
2. Widoczne błędy sugerują niewidoczne. Serwis, który myli się w rozliczeniu grosza, prawdopodobnie myli się również tam, gdzie tego nie widać.
3. Komunikat o awarii to pierwszy sygnał. Sekwencja „awaria – atak – oświadczenie” powtórzyła się od tamtej pory na polskim rynku wielokrotnie.
4. Sprawca kradzieży nie jest Twoim kontrahentem. Odpowiedzialność za przechowanie środków ponosi giełda, niezależnie od tego, czy złodziej zostanie ustalony.
Cztery mity
Mit 1: „Skoro doszło do włamania, giełda nie ponosi odpowiedzialności.” Odpowiedzialność za przechowanie powierzonych środków jest odrębną kwestią od ustalenia sprawcy. Inna sprawa, czy jest z czego ją wyegzekwować.
Mit 2: „Środki na giełdzie są tak samo chronione niezależnie od rodzaju.” Nie są. W tym przypadku złotówki wróciły, a kryptowaluty przepadły – i nie był to przypadek.
Mit 3: „To była mała, nieznana giełda.” W chwili ataku opisywano ją jako jedną z największych w Polsce i jako pierwszą oferującą obrót litecoinem.
Mit 4: „W 2013 roku nie dało się tego zweryfikować.” Użytkownicy forum samodzielnie prześledzili skradzione środki w łańcuchu bloków. Narzędzie istniało od początku.
Co zapamiętać
Bidextreme.pl to polska giełda BTC i LTC prowadzona przez olsztyńską spółkę Magnus, okradziona 17 listopada 2013 roku. Skali strat nigdy nie ujawniono.
Trzy rzeczy ponad resztą:
Klienci odzyskali złotówki, ale nie kryptowaluty. Waluta leżała w banku i istniała fizycznie; portfele kryptowalutowe zostały opróżnione i nie było czego zwracać.
Sprawca włamania nie jest stroną dla klienta giełdy. Roszczenie kierujesz do operatora, któremu powierzyłeś środki – ustalenie złodzieja niczego w tym nie zmienia.
Problemy widać było wcześniej. Serwis miał udokumentowane błędy w podstawowych rozliczeniach na długo przed atakiem.
