Кастодіальний гаманець: що це і порівняння

Кастодіальний гаманець: що це

Кастодіальний гаманець це криптогаманець, у якому ключі (ключ: це секретний код доступу до ваших грошей) зберігаєте не ви, а третя сторона: біржа, платіжний сервіс, брокер або спеціалізована компанія-кастодіан. Ви входите в акаунт за логіном і паролем, а сервіс веде облік вашого балансу й сам підписує транзакції. Близька аналогія: рахунок у банку. Гроші належать вам за умовами договору, але фізично ними розпоряджається установа, і вона ж може обмежити доступ до них.

Протилежність цьому становлять некастодіальні гаманці: ключі та фраза відновлення лише у вас, а компанія-розробник доступу до коштів не має. Різницю між двома підходами коротко описує приказка «не ваші ключі, не ваші монети». Слово «кастодіальний» походить від англійського custody, «зберігання під опікою»: сервіс бере на себе зберігання, а разом із ним і контроль.

У таблиці вище зібрано кастодіальні баланси з нашого каталогу: Binance, Bybit і WhiteBIT. Нижче розбираємо, як влаштовано зберігання на боці сервісу, навіщо сервіс перевіряє особу й походження коштів, що відбувається при блокуванні акаунта, які бувають кастодіани, чим кастодіальний гаманець відрізняється від некастодіального за десятьма ознаками, у яких ситуаціях він доречний і на що дивитися в умовах сервісу.

Як працює кастодіальний гаманець

Ключ це секрет, який дає право розпоряджатися монетами в блокчейні. У некастодіальному гаманці він у вас, а фраза відновлення (зазвичай 12-24 слова) дозволяє його відновити. У кастодіальному гаманці ключами володіє компанія, а ви отримуєте доступ до балансу через акаунт.

Кілька наслідків такої схеми:

• вхід захищають паролем, двофакторною автентифікацією, входом без пароля, антифішинговим кодом і білим списком адрес для виведення;
• забутий пароль можна скинути через підтримку, а втрачена фраза відновлення некастодіального гаманця не відновлюється;
• переказ між акаунтами одного сервісу часто проходить усередині обліку компанії, без запису в блокчейн;
• виведення на зовнішню адресу це окрема операція, за яку сервіс бере мережеву або власну комісію;
• більшість сервісів вимагають перевірки особи, а умови дозволяють обмежити акаунт;
• перелік монет, мереж і лімітів визначає сервіс.

Як сервіс зберігає активи: гарячі та холодні сховища, омнібус-рахунки

Користувач бачить у акаунті свій баланс, але це запис в обліковій системі сервісу. Самі монети, як правило, лежать на адресах, якими керує компанія. Типова схема загальними рисами виглядає так.

Омнібус-адреси. Активи багатьох клієнтів можуть зберігатися на спільних адресах, а розподіл між клієнтами ведеться у внутрішній базі. Для користувача це означає, що у вас немає окремої адреси, зв'язаної лише з вашим балансом: адреса поповнення це інструмент обліку, через який сервіс зараховує кошти на ваш рахунок.

Гарячі та холодні сховища. Гарячий гаманець сервісу підключений до мережі й обслуговує поточні виведення. Холодний тримає ключі офлайн і використовується для основної частини активів. Баланс між ними компанія регулює сама: чим більше коштів у гарячому сховищі, тим швидше виведення, чим більше в холодному, тим менша поверхня атаки. Це загальний принцип, а не гарантія: частки у кожного сервісу різні, і перевірити їх незалежно користувач зазвичай не може.

Внутрішній облік. Операції між користувачами одного сервісу, обмін усередині платформи й торгівля на біржі часто проходять як зміни записів у базі, без транзакцій у блокчейні. Блокчейн задіюється при поповненні й виведенні.

Відокремлення активів клієнтів. Для європейського регулювання це окрема вимога. Регламент MiCA (Regulation (EU) 2023/1114) у статті 75 зобов'язує надавачів послуг зберігання відокремлювати активи клієнтів від власних, чітко позначати засоби доступу до них і забезпечувати, щоб кредитори компанії не мали права на активи клієнтів, зокрема при неплатоспроможності. Чи діє ця норма щодо конкретного сервісу, залежить від юридичної особи, яка надає послугу.

Підтвердження резервів. Частина сервісів публікує Proof of Reserves: звіт, за яким можна перевірити, що баланси клієнтів покриті активами на дату звіту. Такий звіт підтверджує покриття, але не оцінює захист інфраструктури, і його обсяг залежить від методики.

Навіщо кастодіальний сервіс перевіряє особу

Перевірка особи клієнта означає, що сервіс просить ім'я, дату народження, адресу й документ. Окремо діють процедури проти відмивання коштів і фінансування терору. Для кастодіальних сервісів це не примха, а наслідок регулювання. Стандарти FATF, міжнародної організації з протидії відмиванню коштів, вимагають, щоб провайдери віртуальних активів були ліцензовані або зареєстровані, проводили належну перевірку клієнтів і передавали дані про відправника й отримувача при переказах (так зване travel rule).

Практичні наслідки для користувача:

• до перевірки особи частина функцій недоступна або обмежена лімітами;
• сервіс може запросити додаткові документи або пояснення походження коштів;
• дані зберігаються на боці компанії, тому варто знати, хто їх обробляє і за якою політикою;
• сервіс має право відмовити в обслуговуванні, якщо перевірку не пройдено.

У некастодіальному гаманці ключі генерує пристрій, і компанія-розробник зазвичай не знає, кому належить адреса. Саме тому в таких гаманцях перевірки особи немає, а в кастодіальних вона є.

Що відбувається при блокуванні акаунта і перевірці

Умови кастодіальних сервісів зазвичай містять перелік підстав, за яких акаунт можна обмежити. Конкретні формулювання відрізняються, але типові ситуації такі:

• не пройдено або не завершено верифікацію особи;
• сервіс запросив документи, а відповіді немає;
• спрацювали автоматичні перевірки безпеки або походження коштів;
• користувач перебуває в країні чи регіоні, де сервіс не надається;
• є запит від уповноваженого органу;
• порушено умови користувача.

У таких випадках сервіс може призупинити торгівлю, заборонити виведення, заморозити баланс або закрити акаунт. Строки залежать від процедури: від короткої перевірки до тривалого розгляду. Доступ до коштів у цей час визначається не вашими ключами, а рішенням компанії та її правилами. Саме тому в умовах кожного сервісу варто читати розділи про обмеження, закриття акаунта та повернення коштів.

У некастодіальному гаманці такого механізму немає: ключі в користувача, і ніхто не може заблокувати їх. Зворотний бік: допомоги з відновленням доступу теж ніхто не надасть.

Види кастодіанів

Кастодіальними можуть бути різні типи компаній. Умови, регулювання та ризики в них відрізняються.

• Біржі. Централізована біржа створює акаунт, на якому лежать монети клієнта для торгівлі, обміну й виведення. Біржовий баланс це поширений вигляд кастодіального гаманця.
• Брокери. Брокерські платформи дають доступ до криптоактивів поряд з іншими інструментами й зберігають їх на стороні брокера.
• Платіжні сервіси та фінтех-застосунки. Криптовалюта лежить поряд із фіатним рахунком у застосунку, а ключами керує компанія.
• Банки-кастодіани. У ряді юрисдикцій банки й ліцензовані фінансові установи надають послугу зберігання цифрових активів для клієнтів.
• Інституційні кастодіани. Спеціалізовані компанії, які зберігають активи фондів, компаній і великих клієнтів, зазвичай з окремими договорами та процедурами контролю.
• Гаманці з обліковими записами. Деякі застосунки мають вигляд звичайного гаманця, але ключами керує провайдер. Це визначає не інтерфейс, а умови: хто зберігає ключ.

Гібриди: ключ, розділений між вами й сервісом

Між кастодіальним і некастодіальним підходом є проміжні варіанти. Найвідоміший з них розділений ключ: він ніколи не зберігається цілим в одному місці, а ділиться на частки, які розподілені між користувачем, провайдером і, іноді, третьою стороною. Транзакцію підписують спільно, без збирання повного ключа. Для відновлення доступу може використовуватися частка, що зберігається в провайдера або у хмарному резервному копіюванні.

Ступінь контролю в таких схемах різний. В одних моделях користувач може підписати транзакцію й без провайдера, в інших для підпису потрібна його участь. Тому слова «ключ розділено» не дозволяють сказати, кастодіальний він чи ні, і ставити такий гаманець у ту чи іншу категорію слід за умовами конкретного продукту: хто може підписати транзакцію й хто може відновити доступ.

Схожа ситуація з гаманцями на основі смарт-контрактів: там права доступу задає код, і користувач може розділити їх між кількома підписантами, але це окрема тема.

Кастодіальний і некастодіальний гаманець: порівняння за десятьма ознаками

Коли кастодіальний гаманець доречний, а коли ні

Вибір залежить від завдання, а не від того, який тип «правильний». Нижче типові ситуації, без рекомендацій щодо конкретних сервісів.

Кастодіальний підхід зазвичай доречний, коли:

• потрібен швидкий обмін або торгівля всередині однієї платформи;
• потрібні сервіси, які працюють лише на стороні компанії: біржові пари, внутрішні перекази, пропозиції сервісу;
• користувач не готовий нести відповідальність за зберігання фрази відновлення і хоче мати можливість відновити доступ через підтримку;
• сума невелика, а баланс використовується регулярно;
• потрібна фіатна інфраструктура поряд із криптовалютою.

Кастодіальний підхід менш доречний, коли:

• монети призначені для довгого зберігання, і важливо, щоб ніхто, окрім власника, не міг обмежити доступ;
• потрібна робота з децентралізованими сервісами, цифровими колекціями і підписанням транзакцій у блокчейні напряму;
• користувач не хоче передавати персональні дані сервісу;
• умови сервісу або юрисдикція компанії викликають питання;
• потрібно самостійно перевіряти, що монети справді на адресі.

Багато користувачів поєднують обидва підходи: частину коштів тримають на балансі для обміну, частину на власному гаманці. Таке розділення не гарантія і не рекомендація, а звичайний спосіб розподілити ризики між платформою та власними помилками.

Кастодіальні баланси в нашому каталозі

У каталозі кастодіальними є три баланси на біржах. Нижче факти з їхніх сторінок, без оцінок і без закликів до дії. Огляди самих бірж зібрано на сторінці біржі для українців.

Binance. Баланс на біржі не є гаманцем у класичному сенсі: криптовалюту зберігає біржа, а у вас є акаунт і запис про ваші активи. Ключів і фрази відновлення в користувача немає. За умовами Binance, відкриваючи акаунт, користувач призначає компанію кастодіаном своїх активів, а облік ведеться окремо від коштів самої компанії. Для захисту акаунта є вхід без пароля, застосунок-автентифікатор, антифішинговий код і білий список адрес для виведення із затримкою для нових адрес. Біржа публікує Proof of Reserves: кожен може перевірити, що його баланс входить у загальну суму, через дерево Меркла й окремий криптографічний доказ, але незалежний аудитор на сторінці не названо. Верифікація особи обов'язкова до будь-яких операцій. Умови дозволяють обмежити доступ до акаунта й відмовити у виведенні, якщо запитані дані не надано, а також обмежити сервіси в забороненій країні. Виведення на зовнішні адреси йде в багатьох мережах, серед яких Bitcoin, Ethereum, BNB Smart Chain, Solana і TRON, із фіксованою комісією, що залежить від монети й мережі й показується перед підтвердженням.

Bybit. Кастодіальне зберігання: ключі від гаманців тримає біржа, а користувач керує балансом через акаунт. З балансу доступні торгівля, обмін через Convert, обмін між користувачами і стейкінг. Акаунт захищають коди Google Authenticator, вхід без пароля за біометрією, окремий пароль для коштів, антифішинговий код і обмеження виведення: білий список адрес, виведення лише через адресну книгу, блокування нових адрес на 24 години. Резерви щомісяця перевіряє Hacken, а власний баланс можна звірити через дерево Меркла. Це перевірка резервів, а не аудит захисту. Зарахування криптовалюти й внутрішні перекази між акаунтами Bybit безкоштовні, за виведення в блокчейн береться фіксована плата залежно від монети й мережі. Без верифікації ліміти виведення нижчі. Сервіс не надається на підконтрольних Росії територіях України.

WhiteBIT. Кастодіальний рахунок на централізованій біржі: ключі від гаманців зберігає біржа, а користувач керує коштами через акаунт, застосунки для iOS і Android та програмний доступ для розробників. На своєму сайті WhiteBIT називає себе українською біржею, а юридичні особи групи, названі в угоді користувача, зареєстровані за кордоном, зокрема в Литві. За угодою біржа може обмежити, заморозити або закрити акаунт. За даними WhiteBIT, 96% активів зберігається на холодних гаманцях, а платформу захищає фільтр від мережевих атак. Для виведення потрібні двофакторна автентифікація, одноразовий код із застосунку або вхід без пароля з PIN-кодом чи біометрією пристрою; після зміни пароля або вимкнення двофакторної автентифікації частина функцій недоступна 72 години. Біржа заявляє аудит від Hacken і сертифікацію CCSS Level 3, самі звіти ми не перевіряли. Для доступу до всіх функцій потрібна верифікація особи. Сервіс не призначений для роботи з децентралізованими сервісами, власними мережами й довільними токенами.

Спільне для всіх трьох: активи зберігає біржа, ключів у користувача немає, доступ залежить від акаунта, верифікації та правил платформи. Докладніше умови кожного розібрано на сторінках гаманців, а всі види зібрано в розділі каталог гаманців.

На що дивитися в умовах кастодіального сервісу

• Хто саме надає послугу. Яка юридична особа, у якій країні, чи є ліцензія або реєстрація, на яку угоду ви погоджуєтеся.
• Відокремлення активів клієнтів. Чи сказано в умовах, що баланси користувачів обліковуються окремо від коштів компанії, і що буде при неплатоспроможності.
• Підтвердження резервів. Чи публікується Proof of Reserves, хто його перевіряє, як часто і що саме він охоплює. Звіт про резерви не дорівнює аудиту безпеки.
• Підстави для обмежень. За яких обставин можна заморозити акаунт або відмовити у виведенні, чи зазначено строки розгляду й порядок оскарження.
• Країни та території. Список регіонів, де сервіс не надається, і що відбувається з акаунтом при зміні місця перебування.
• Захист входу. Які способи двофакторної автентифікації доступні, чи є вхід без пароля, білий список адрес, затримка для нових адрес, антифішинговий код.
• Верифікація та ліміти. Що доступно до перевірки особи й після неї, які ліміти на виведення.
• Комісії. Торгова комісія, виведення, поповнення, обмін. Чи показується розмір до підтвердження і чи закладена комісія в курс.
• Які дані збирає сервіс. Перелік документів, строки зберігання, чи передаються дані третім сторонам.
• Мови й підтримка. Чи є інтерфейс і відповіді підтримки зрозумілою вам мовою, як працює звернення.