Luty 2025 roku był dla Bybita najgorszym tygodniem w historii firmy. Napastnicy wyprowadzili z portfela gorącego aktywa warte około 1,5 miliarda dolarów, co uczyniło ten incydent największym włamaniem w dziejach kryptowalut. Giełda nie zawiesiła wypłat i pokryła stratę z własnych rezerw, więc żaden klient nie stracił środków. Sama skala pokazała jednak, jak cienka bywa granica między działającą platformą a upadłością.
Półtora roku później Bybit działa w Europie jako spółka z Wiednia, pod nadzorem austriackiego FMA, z obowiązkami raportowymi wynikającymi z MiCA. Co dokładnie zmieniło się w architekturze zabezpieczeń i jak wyglądają publikowane rezerwy, pokazuje szczegółowa analiza zabezpieczeń i struktury rezerw Bybita.
Poniżej pięć rzeczy, które sprawdzisz sam, zanim wpłacisz pierwsze pieniądze.
Kto wydał licencję i komu ta firma odpowiada
Zacznij od podmiotu prawnego, bo marka i spółka to dwie różne rzeczy. Ta sama nazwa handlowa może obsługiwać cię przez firmę z Wiednia albo przez wydmuszkę z egzotycznej wyspy, a różnica ujawnia się dopiero wtedy, gdy coś pójdzie źle.
Rozporządzenie MiCA wprowadziło zezwolenie CASP, wydawane przez krajowy nadzór jednego z państw Unii. Bybit EU GmbH ma je od FMA i to właśnie ta spółka obsługuje dziś polskich klientów. Taka licencja oznacza wymogi kapitałowe, obowiązki raportowe, rozdzielenie środków klientów od majątku spółki i realny organ, do którego składasz skargę.
Sprawdź to w rejestrze nadzoru, nie na stronie giełdy. Zajmuje minutę.
Proof of Reserves i to, czego nie pokazuje
Dowód rezerw to kryptograficzne potwierdzenie, że platforma trzyma aktywa odpowiadające saldom klientów. Drzewo Merkle pozwala każdemu użytkownikowi zweryfikować, że jego saldo weszło do wyliczenia, bez ujawniania danych pozostałych osób. Bybit publikuje takie raporty regularnie, z pokryciem 1:1, a weryfikację przeprowadzisz w panelu swojego konta.
Tu potrzebne jest zastrzeżenie, o którym giełdy mówią niechętnie. Dowód rezerw pokazuje aktywa, a nie zobowiązania. Platforma z pożyczkami, których nie ujawnia, może wykazać pełne pokrycie i mimo to być niewypłacalna. To narzędzie użyteczne, ale nie rozstrzygające.
Gdzie leżą klucze
Atak z 2025 roku dotknął portfela gorącego, używanego do bieżących wypłat. Właśnie dlatego straty dało się pokryć: większość środków siedziała w portfelach zimnych, odciętych od sieci.
Po incydencie Bybit przebudował procedurę podpisywania transakcji i rozdzielił warstwy przechowywania mocniej niż wcześniej. Standard branżowy to portfele wielopodpisowe, gdzie transakcja wymaga zgody kilku niezależnych osób, oraz limity przenoszenia między warstwami. Poważne platformy publikują ogólny opis tej architektury, a milczenie w tej sprawie samo w sobie jest odpowiedzią.
Fundusz awaryjny i to, co obiecuje
Bybit utrzymuje rezerwę na pokrycie strat użytkowników, czasem nazywaną funduszem ubezpieczeniowym. Brzmi uspokajająco, więc warto wiedzieć, czym taki fundusz jest, a czym nie.
To nie jest ubezpieczenie w rozumieniu prawa. Nie stoi za nim towarzystwo ubezpieczeniowe, nie ma polisy, ogólnych warunków ani ścieżki odwoławczej. Jest to dobrowolna rezerwa kapitałowa, którą spółka wykorzystuje według własnego uznania i której wysokość zmienia się z miesiąca na miesiąc.
W 2025 roku ta rezerwa zadziałała, bo Bybit miał czym pokryć stratę. Nie oznacza to gwarancji na przyszłość. Środki klientów nie są objęte odpowiednikiem Bankowego Funduszu Gwarancyjnego i żaden przepis MiCA tego nie zmienia.
Historia zachowania pod presją
Włamania zdarzały się każdej dużej giełdzie i pewnie będą się zdarzać dalej. Znaczenie ma to, co dzieje się w kolejnych godzinach.
Mt. Gox w 2014 roku zamroziło wypłaty i zniknęło z pieniędzmi użytkowników. FTX w 2022 roku okazało się finansową fikcją. Bybit w 2025 roku utrzymał wypłaty przez cały czas trwania kryzysu, opublikował przebieg zdarzeń i wyrównał stratę z kapitału własnego.
Przeczytaj, jak platforma zachowała się w swoim najgorszym tygodniu. To mówi o niej więcej niż każda strona marketingowa.
Twoja własna higiena
Najlepsze zabezpieczenia Bybita nie pomogą, jeśli furtka stoi otwarta po twojej stronie.
Włącz uwierzytelnianie dwuskładnikowe aplikacją typu Authy albo Aegis, nie SMS-em, bo przejęcie numeru telefonu to procedura, którą przestępcy opanowali do perfekcji. Ustaw białą listę adresów wypłat, żeby środki mogły wyjść wyłącznie na twój portfel. Do handlu przez API używaj klucza z wyłączonym prawem wypłaty.
Największe kwoty trzymaj poza giełdą. Portfel sprzętowy kosztuje kilkaset złotych i eliminuje ryzyko, którego żadna licencja nie zdejmie.
Jak to poskładać
Sensowny podział wygląda tak: kwota, którą aktywnie obracasz, zostaje na Bybit EU z jego publikowanymi rezerwami i nadzorem FMA, reszta ląduje na własnym portfelu, do którego tylko ty masz klucze.
Austriacki regulator nie zagwarantuje, że kolejny atak się nie zdarzy. Zmienia natomiast to, kto poniesie konsekwencje, gdy się zdarzy, a po dekadzie giełdowych bankructw akurat ta różnica jest warta swojej ceny.
