Кастодиальный кошелек: что это и сравнение

Кастодиальный кошелек: что это

Кастодиальный кошелек это криптокошелек, в котором ключи (ключ: это секретный код доступа к вашим деньгам) храните не вы, а третья сторона: биржа, платёжный сервис, брокер или специализированная компания-кастодиан. Вы входите в аккаунт по логину и паролю, а сервис ведёт учёт вашего баланса и сам подписывает транзакции. Близкая аналогия: счёт в банке. Деньги принадлежат вам по условиям договора, но физически ими распоряжается учреждение, и оно же может ограничить доступ к ним.

Противоположность этому составляют некастодиальные кошельки: ключи и фраза восстановления только у вас, а у компании-разработчика доступа к средствам нет. Разницу между двумя подходами коротко описывает присказка «не ваши ключи, не ваши монеты». Слово «кастодиальный» происходит от английского custody, «хранение под опекой»: сервис берёт на себя хранение, а вместе с ним и контроль.

В таблице выше собраны кастодиальные балансы из нашего каталога: Binance, Bybit и WhiteBIT. Ниже разбираем, как устроено хранение на стороне сервиса, зачем сервис проверяет личность и происхождение средств, что происходит при блокировке аккаунта, какие бывают кастодианы, чем кастодиальный кошелек отличается от некастодиального по десяти признакам, в каких ситуациях он уместен и на что смотреть в условиях сервиса.

Как работает кастодиальный кошелек

Ключ это секрет, который даёт право распоряжаться монетами в блокчейне. В некастодиальном кошельке он у вас, а фраза восстановления (обычно 12-24 слова) позволяет его восстановить. В кастодиальном кошельке ключами владеет компания, а вы получаете доступ к балансу через аккаунт.

Несколько следствий такой схемы:

• вход защищают паролем, двухфакторной аутентификацией, входом без пароля, антифишинговым кодом и белым списком адресов вывода;
• забытый пароль можно сбросить через поддержку, а утерянная фраза восстановления некастодиального кошелька не восстанавливается;
• перевод между аккаунтами одного сервиса часто идёт внутри учёта компании, без записи в блокчейн;
• вывод на внешний адрес это отдельная операция, за которую сервис берёт сетевую или собственную комиссию;
• большинство сервисов требуют проверки личности, а условия позволяют ограничить аккаунт;
• перечень монет, сетей и лимитов определяет сервис.

Как сервис хранит активы: горячие и холодные хранилища, омнибус-счета

Пользователь видит в аккаунте свой баланс, но это запись в учётной системе сервиса. Сами монеты, как правило, лежат на адресах, которыми управляет компания. Типичная схема в общих чертах выглядит так.

Омнибус-адреса. Активы многих клиентов могут храниться на общих адресах, а распределение между клиентами ведётся во внутренней базе. Для пользователя это означает, что у вас нет отдельного адреса, связанного только с вашим балансом: адрес пополнения это инструмент учёта, через который сервис зачисляет средства на ваш счёт.

Горячие и холодные хранилища. Горячий кошелек сервиса подключён к сети и обслуживает текущие выводы. Холодный держит ключи офлайн и используется для основной части активов. Баланс между ними компания регулирует сама: чем больше средств в горячем хранилище, тем быстрее вывод, чем больше в холодном, тем меньше поверхность атаки. Это общий принцип, а не гарантия: доли у каждого сервиса разные, и проверить их независимо пользователь обычно не может.

Внутренний учёт. Операции между пользователями одного сервиса, обмен внутри платформы и торговля на бирже часто проходят как изменения записей в базе, без транзакций в блокчейне. Блокчейн задействуется при пополнении и выводе.

Отделение активов клиентов. Для европейского регулирования это отдельное требование. Регламент MiCA (Regulation (EU) 2023/1114) в статье 75 обязывает поставщиков услуг хранения отделять активы клиентов от собственных, чётко обозначать средства доступа к ним и обеспечивать, чтобы кредиторы компании не имели права на активы клиентов, в частности при неплатёжеспособности. Действует ли эта норма в отношении конкретного сервиса, зависит от юридического лица, которое оказывает услугу.

Подтверждение резервов. Часть сервисов публикует Proof of Reserves: отчёт, по которому можно проверить, что балансы клиентов покрыты активами на дату отчёта. Такой отчёт подтверждает покрытие, но не оценивает защиту инфраструктуры, а его объём зависит от методики.

Зачем кастодиальный сервис проверяет личность

Проверка личности клиента означает, что сервис просит имя, дату рождения, адрес и документ. Отдельно действуют процедуры против отмывания средств и финансирования терроризма. Для кастодиальных сервисов это не прихоть, а следствие регулирования. Стандарты FATF, международной организации по противодействию отмыванию средств, требуют, чтобы провайдеры виртуальных активов были лицензированы или зарегистрированы, проводили надлежащую проверку клиентов и передавали данные об отправителе и получателе при переводах (так называемое travel rule).

Практические последствия для пользователя:

• до проверки личности часть функций недоступна или ограничена лимитами;
• сервис может запросить дополнительные документы или пояснения о происхождении средств;
• данные хранятся на стороне компании, поэтому стоит знать, кто их обрабатывает и по какой политике;
• сервис вправе отказать в обслуживании, если проверка не пройдена.

В некастодиальном кошельке ключи генерирует устройство, и компания-разработчик обычно не знает, кому принадлежит адрес. Именно поэтому в таких кошельках проверки личности нет, а в кастодиальных она есть.

Что происходит при блокировке аккаунта и проверке

Условия кастодиальных сервисов обычно содержат перечень оснований, при которых аккаунт можно ограничить. Конкретные формулировки отличаются, но типичные ситуации такие:

• не пройдена или не завершена верификация личности;
• сервис запросил документы, а ответа нет;
• сработали автоматические проверки безопасности или происхождения средств;
• пользователь находится в стране или регионе, где сервис не предоставляется;
• есть запрос от уполномоченного органа;
• нарушены условия пользователя.

В таких случаях сервис может приостановить торговлю, запретить вывод, заморозить баланс или закрыть аккаунт. Сроки зависят от процедуры: от короткой проверки до длительного рассмотрения. Доступ к средствам в это время определяется не вашими ключами, а решением компании и её правилами. Поэтому в условиях каждого сервиса стоит читать разделы об ограничениях, закрытии аккаунта и возврате средств.

В некастодиальном кошельке такого механизма нет: ключи у пользователя, и никто не может их заблокировать. Обратная сторона: помощи с восстановлением доступа тоже никто не окажет.

Виды кастодианов

Кастодиальными могут быть разные типы компаний. Условия, регулирование и риски у них отличаются.

• Биржи. Централизованная биржа создаёт аккаунт, на котором лежат монеты клиента для торговли, обмена и вывода. Биржевой баланс это распространённый вид кастодиального кошелька.
• Брокеры. Брокерские платформы дают доступ к криптоактивам наряду с другими инструментами и хранят их на стороне брокера.
• Платёжные сервисы и финтех-приложения. Криптовалюта лежит рядом с фиатным счётом в приложении, а ключами управляет компания.
• Банки-кастодианы. В ряде юрисдикций банки и лицензированные финансовые учреждения оказывают услугу хранения цифровых активов для клиентов.
• Институциональные кастодианы. Специализированные компании, которые хранят активы фондов, компаний и крупных клиентов, обычно по отдельным договорам и с процедурами контроля.
• Кошельки с учётными записями. Некоторые приложения выглядят как обычный кошелек, но ключами управляет провайдер. Это определяет не интерфейс, а условия: кто хранит ключ.

Гибриды: ключ, разделённый между вами и сервисом

Между кастодиальным и некастодиальным подходом есть промежуточные варианты. Самый известный из них разделённый ключ: он никогда не хранится целым в одном месте, а делится на части, которые распределены между пользователем, провайдером и, иногда, третьей стороной. Транзакцию подписывают совместно, без сборки полного ключа. Для восстановления доступа может использоваться часть, которая хранится у провайдера или в облачной резервной копии.

Степень контроля в таких схемах разная. В одних моделях пользователь может подписать транзакцию и без провайдера, в других для подписи нужно его участие. Поэтому слова «ключ разделён» не позволяют сказать, кастодиальный он или нет, и относить такой кошелек к той или иной категории следует по условиям конкретного продукта: кто может подписать транзакцию и кто может восстановить доступ.

Похожая ситуация с кошельками на основе смарт-контрактов: там права доступа задаёт код, и пользователь может разделить их между несколькими подписантами, но это отдельная тема.

Кастодиальный и некастодиальный кошелек: сравнение по десяти признакам

Когда кастодиальный кошелек уместен, а когда нет

Выбор зависит от задачи, а не от того, какой тип «правильный». Ниже типичные ситуации, без рекомендаций по конкретным сервисам.

Кастодиальный подход обычно уместен, когда:

• нужен быстрый обмен или торговля внутри одной платформы;
• нужны сервисы, которые работают только на стороне компании: биржевые пары, внутренние переводы, предложения сервиса;
• пользователь не готов нести ответственность за хранение фразы восстановления и хочет иметь возможность восстановить доступ через поддержку;
• сумма небольшая, а баланс используется регулярно;
• нужна фиатная инфраструктура рядом с криптовалютой.

Кастодиальный подход менее уместен, когда:

• монеты предназначены для долгого хранения, и важно, чтобы никто, кроме владельца, не мог ограничить доступ;
• нужна работа с децентрализованными сервисами, цифровыми коллекциями и подписанием транзакций в блокчейне напрямую;
• пользователь не хочет передавать персональные данные сервису;
• условия сервиса или юрисдикция компании вызывают вопросы;
• нужно самостоятельно проверять, что монеты действительно на адресе.

Многие пользователи сочетают оба подхода: часть средств держат на балансе для обмена, часть на собственном кошельке. Такое разделение не гарантия и не рекомендация, а обычный способ распределить риски между платформой и собственными ошибками.

Кастодиальные балансы в нашем каталоге

В каталоге кастодиальными являются три баланса на биржах. Ниже факты с их страниц, без оценок и без призывов к действию. Обзоры самих бирж собраны на странице биржи для украинцев.

Binance. Баланс на бирже не является кошельком в классическом смысле: криптовалюту хранит биржа, а у вас есть аккаунт и запись о ваших активах. Ключей и фразы восстановления у пользователя нет. По условиям Binance, открывая аккаунт, пользователь назначает компанию кастодианом своих активов, а учёт ведётся отдельно от средств самой компании. Для защиты аккаунта есть вход без пароля, приложение-аутентификатор, антифишинговый код и белый список адресов вывода с задержкой для новых адресов. Биржа публикует Proof of Reserves: каждый может проверить, что его баланс входит в общую сумму, через дерево Меркла и отдельное криптографическое доказательство, но независимый аудитор на странице не назван. Верификация личности обязательна до любых операций. Условия позволяют ограничить доступ к аккаунту и отказать в выводе, если запрошенные данные не предоставлены, а также ограничить сервисы в запрещённой стране. Вывод на внешние адреса идёт во многих сетях, среди которых Bitcoin, Ethereum, BNB Smart Chain, Solana и TRON, с фиксированной комиссией, которая зависит от монеты и сети и показывается перед подтверждением.

Bybit. Кастодиальное хранение: ключи от кошельков держит биржа, а пользователь управляет балансом через аккаунт. С баланса доступны торговля, обмен через Convert, обмен между пользователями и стейкинг. Аккаунт защищают коды Google Authenticator, вход без пароля по биометрии, отдельный пароль для средств, антифишинговый код и ограничения вывода: белый список адресов, вывод только через адресную книгу, блокировка новых адресов на 24 часа. Резервы ежемесячно проверяет Hacken, а собственный баланс можно сверить через дерево Меркла. Это проверка резервов, а не аудит защиты. Зачисление криптовалюты и внутренние переводы между аккаунтами Bybit бесплатны, за вывод в блокчейн берётся фиксированная плата в зависимости от монеты и сети. Без верификации лимиты вывода ниже. Сервис не предоставляется на подконтрольных России территориях Украины.

WhiteBIT. Кастодиальный счёт на централизованной бирже: ключи от кошельков хранит биржа, а пользователь управляет средствами через аккаунт, приложения для iOS и Android и программный доступ для разработчиков. На своём сайте WhiteBIT называет себя украинской биржей, а юридические лица группы, названные в пользовательском соглашении, зарегистрированы за рубежом, в частности в Литве. По соглашению биржа может ограничить, заморозить или закрыть аккаунт. По данным WhiteBIT, 96% активов хранится на холодных кошельках, а платформу защищает фильтр от сетевых атак. Для вывода нужны двухфакторная аутентификация, одноразовый код из приложения или вход без пароля с PIN-кодом либо биометрией устройства; после смены пароля или отключения двухфакторной аутентификации часть функций недоступна 72 часа. Биржа заявляет аудит от Hacken и сертификацию CCSS Level 3, сами отчёты мы не проверяли. Для доступа ко всем функциям нужна верификация личности. Сервис не предназначен для работы с децентрализованными сервисами, собственными сетями и произвольными токенами.

Общее для всех трёх: активы хранит биржа, ключей у пользователя нет, доступ зависит от аккаунта, верификации и правил платформы. Подробнее условия каждого разобраны на страницах кошельков, а все виды собраны в разделе каталог кошельков.

На что смотреть в условиях кастодиального сервиса

• Кто именно оказывает услугу. Какое юридическое лицо, в какой стране, есть ли лицензия или регистрация, на какое соглашение вы соглашаетесь.
• Отделение активов клиентов. Сказано ли в условиях, что балансы пользователей учитываются отдельно от средств компании, и что будет при неплатёжеспособности.
• Подтверждение резервов. Публикуется ли Proof of Reserves, кто его проверяет, как часто и что именно он охватывает. Отчёт о резервах не равен аудиту безопасности.
• Основания для ограничений. При каких обстоятельствах можно заморозить аккаунт или отказать в выводе, указаны ли сроки рассмотрения и порядок обжалования.
• Страны и территории. Список регионов, где сервис не предоставляется, и что происходит с аккаунтом при смене места пребывания.
• Защита входа. Какие способы двухфакторной аутентификации доступны, есть ли вход без пароля, белый список адресов, задержка для новых адресов, антифишинговый код.
• Верификация и лимиты. Что доступно до проверки личности и после неё, какие лимиты на вывод.
• Комиссии. Торговая комиссия, вывод, пополнение, обмен. Показывается ли размер до подтверждения и заложена ли комиссия в курс.
• Какие данные собирает сервис. Перечень документов, сроки хранения, передаются ли данные третьим сторонам.
• Языки и поддержка. Есть ли интерфейс и ответы поддержки на понятном вам языке, как устроено обращение.