Gdy giełda pisze na swojej stronie „stosujemy szyfrowanie na poziomie bankowym i przestrzegamy GDPR”, jest to formuła marketingowa, a nie opis rzeczywistej architektury przechowywania danych.
Prawnie — mają rację.
Technicznie — wszystko jest znacznie bardziej złożone i znacznie bardziej niebezpieczne dla użytkownika.
Właśnie tę lukę pomiędzy deklarowanym bezpieczeństwem a realną praktyką warto przeanalizować.
1. Jak dane są faktycznie przechowywane — bez haseł reklamowych
1.1. KYC prawie nigdy nie jest „wewnątrz giełdy”
Większość dużych CEX nie posiada własnej infrastruktury KYC. Jest to nieopłacalne, kosztowne i ryzykowne prawnie.
Dlatego korzysta się z podwykonawców:
- Onfido
- Jumio
- Sumsub
- Trulioo
- IDnow
Schemat wygląda następująco:
- Przesyłasz paszport i selfie nie na serwer giełdy, lecz do chmury dostawcy KYC
- Dokumenty są przetwarzane przez AI oraz ręczną weryfikację
- Giełda otrzymuje:
- status (verified / rejected)
- metadane
- często kopie samych dokumentów
⚠️ Kluczowy moment:
Jedno włamanie lub wyciek po stronie dostawcy = kompromitacja dziesiątek giełd jednocześnie.
To ryzyko systemowe, o którym giełdy wolą nie mówić.
1.2. „Usunięcie konta” nie oznacza usunięcia danych
Zgodnie z wymogami AML/CFT:
- UE: 5 lat
- Wielka Brytania: do 6 lat
- USA: 5–10 lat
- Niektóre jurysdykcje: do 12 lat
Nawet jeśli:
- zamknąłeś konto
- usunąłeś profil
- napisałeś do wsparcia
👉 twój paszport, selfie i proof of address pozostają w archiwum.
Architektura zazwyczaj wygląda tak:
- Hot storage — aktywni użytkownicy, dostęp wsparcia technicznego
- Warm storage — niedawno zamknięte konta
- Cold archives — magazyny offline (S3 Glacier, kopie taśmowe, air-gapped storage)
Jest jednak niuans, o którym rzadko się mówi:
Przy każdym „dochodzeniu”, ponownej weryfikacji lub żądaniu regulatora
dane wracają do strefy hot, gdzie mają do nich dostęp ludzie.
1.3. Insider Threat — prawdziwy koszmar branży
Najsłabszym elementem systemu jest człowiek.
W praktyce:
- wsparcie jest często outsourcowane
- wynagrodzenia są niskie
- kontrola ma charakter formalny
- audyty są wybiórcze
Typowa geografia:
- Filipiny
- Indie
- Europa Wschodnia
- Ameryka Łacińska
Operator wsparcia widzi:
- paszport
- selfie
- adres
- logi IP
- historię logowań
- czasem transakcje
💡 Mało znany fakt:
Na niektórych giełdach jeden operator może obsługiwać 5–10 projektów jednocześnie (przez jednego podwykonawcę).
Oznacza to dostęp krzyżowy pomiędzy ekosystemami.
2. Wyciek danych i incydenty: co faktycznie się wydarzyło
2.1. Binance (2019)
Do sieci trafiły:
- zdjęcia użytkowników z paszportami
- selfie z kartkami „Binance”
Giełda oświadczyła:
„To był wyciek po stronie byłego dostawcy KYC”
Co istotne:
- dane wypłynęły rok po zmianie dostawcy
- hakerzy żądali 300 BTC
- część danych do dziś krąży w prywatnych bazach
2.2. Coinbase (2024–2025)
Jeden z najbardziej wymownych przypadków.
Nie włamanie.
Nie błąd.
Przekupstwo pracowników.
- zwerbowano podwykonawców wsparcia
- dostęp do paneli administracyjnych
- wyprowadzono dane ~70 000 użytkowników
W tym:
- dokumenty ID
- adresy
- historię KYC
- wewnętrzne notatki zespołu risk
To klasyczny przykład insider breach, którego nie da się powstrzymać samym szyfrowaniem.
2.3. Genesis Market (2023) — sygnał ostrzegawczy
Genesis Market nie sprzedawał wyłącznie dokumentów.
Sprzedawał:
- cookies
- fingerprint przeglądarki
- sesje
- zdjęcia KYC
- wzorce behawioralne
Rezultat:
- haker logował się na konto
- 2FA nie zadziałało
- system widział „zaufane urządzenie”
👉 To pokazało, że KYC + analityka behawioralna mogą zostać użyte przeciwko użytkownikowi.
2.4. Bot Telegram BTC-e / WEX (2020)
Jeden z najbardziej niedocenianych przypadków.
Baza zawierała:
- paszporty
- adresy
- e-maile
- wewnętrzne komentarze pracowników
Przykładowe oznaczenia:
- „podejrzany”
- „prawdopodobnie obnal”
- „możliwe powiązanie”
⚠️ Te adnotacje nie są usuwane, nie są zerowane i mogą wypłynąć po latach.
3. Państwo i giełdy: więcej niż oficjalne zapytania
3.1. Półautomatyczne bramki
Duże CEX w USA i UE korzystają z systemów, w których:
- zapytanie od organów ścigania
- automatyczna weryfikacja formatu
- odpowiedź — w ciągu kilku godzin
Prawnicy dołączają post factum.
To nie jest już procedura ręczna, lecz proces podobny do API.
3.2. CARF — koniec „cichej” anonimowości
Crypto-Asset Reporting Framework:
- wdrożenie: 2026–2027
- automatyczna wymiana
- salda
- zyski
- przepływy środków
Ważne:
- nawet bez fiata
- nawet bez wypłat
- nawet jeśli tylko trzymasz aktywa
👉 Giełda staje się informatorem podatkowym, a nie tylko platformą.
3.3. Czarne listy i Source of Wealth
Wystarczy:
- pośrednie powiązanie
- przez mikser
- przez DeFi
- przez 5–10 hopów
I otrzymujesz:
- zamrożenie
- żądanie SoW
- brak możliwości udowodnienia wcześniejszych operacji
W tym momencie giełda nie jest twoim sojusznikiem, lecz wykonawcą regulatora.
4. AI i odpowiedzialność zbiorowa
Od 2025 roku aktywnie wdrażane są:
- modele grafowe
- klasteryzacja użytkowników
- scoring reputacyjny
Jeśli wchodzisz w interakcję z „oznaczonym” kontem:
- twój profil dziedziczy ryzyko
- limity są obniżane
- kontrole stają się częstsze
To już scoring społeczny, a nie klasyczne AML.
Krótkie, ale twarde wnioski
- KYC jest na zawsze, nawet po zamknięciu konta
- Głównym zagrożeniem są ludzie, a nie serwery
- Wyciek danych ma charakter systemowy, a nie przypadkowy
- W 2026 roku CEX = punkt pełnej obserwacji finansowej
To nie teoria.
To już funkcjonująca rzeczywistość.
5. Mało znane, ale krytycznie istotne szczegóły, o których prawie nikt nie mówi
To część, którą nawet branżowe media rzadko publikują, ponieważ jest niewygodna zarówno dla giełd, jak i regulatorów.
5.1. „Drugie życie” twoich danych KYC
Po wstępnej weryfikacji dane nie leżą bezużyteczne.
Są wykorzystywane ponownie:
- do szkolenia wewnętrznych modeli antyfraudowych
- do kalibracji wskaźników ryzyka
- do analizy retrospektywnej („czy wtedy się nie pomyliliśmy?”)
💡 Mało znany fakt:
W niektórych jurysdykcjach anonimizacja danych KYC jest dopuszczalna tylko formalnie. W praktyce dane:
- są częściowo haszowane
- są tokenizowane
- ale mogą być odtworzone przy użyciu wewnętrznych kluczy zgodności
Innymi słowy, „anonimizacja” jest często odwracalna.
5.2. Wewnętrzne „czarne profile”
Na dużych giełdach istnieją wewnętrzne profile ryzyka, których użytkownik nigdy nie widzi:
Przykładowe parametry:
- „prawdopodobieństwo zainteresowania regulatora”
- „niestabilność behawioralna”
- „nietypowa zmiana wzorców”
- „anomalia geograficzna”
Te profile:
- nie są usuwane
- nie są zerowane
- przenoszone są podczas fuzji, sprzedaży biznesu lub zmiany jurysdykcji
👉 Nawet jeśli giełda „zmienia kraj”, baza podąża razem z nią.
5.3. Fuzje, przejęcia i przekazywanie baz danych
GDPR pozwala na przekazywanie danych osobowych w przypadku:
- zakupu biznesu
- restrukturyzacji
- upadłości
- przeniesienia aktywów
Co to oznacza w praktyce:
- przeszedłeś KYC na jednej giełdzie
- po 3 latach została przejęta
- twój paszport legalnie trafił do innej firmy
I nie jesteś zobowiązany do ponownego wyrażenia zgody.
5.4. Logi – najbardziej niedoceniane źródło wycieków
Nawet jeśli dokumenty są zaszyfrowane, pozostają:
- logi dostępu
- logi audytu
- logi debugowania
- błędy API
Często zawierają:
- nazwy plików paszportów
- kraj
- typ dokumentu
- datę urodzenia
- czasem fragmenty w base64
⚠️ Te logi:
- rzadko są czyszczone
- często dostępne dla DevOps i kontrahentów
- przechowywane przez lata
6. Dlaczego „zerowa anonimowość” to nie slogan, a architektoniczna rzeczywistość
6.1. Połączenie KYC + analityki on-chain
Obecnie każda duża giełda korzysta z:
- Chainalysis
- TRM Labs
- Elliptic
- Crystal
Model jest prosty:
- KYC → rzeczywista tożsamość
- Adresy → graf powiązań
- Zachowanie → profil
Następnie system działa automatycznie.
Nawet jeśli:
- zmieniłeś adres
- korzystałeś z DeFi
- wykonałeś 20 pośrednich kroków
graf i tak się zlewa.
6.2. Reputacja jako cecha dożywotnia
Mało znany, ale istotny fakt:
Ryzyko reputacyjne jest dziedziczone.
Jeśli:
- twój stary konto miało flagę
- przeszedłeś KYC ponownie
- korzystasz z tej samej jurysdykcji lub urządzenia
System łączy profile prawdopodobieństwem, nie formalnie.
To już nie jest „konto”, a cyfrowy cień.
7. Praktyczne wnioski bez moralizowania
Bez sloganów i bez wezwań do działania.
Co warto rozumieć:
- Topowa CEX ≠ portfel ani bank.
To węzeł obserwacyjny. - Usunięcie konta ≠ usunięcie danych.
- Regulacyjne zainteresowanie nie znika z czasem.
Ono się kumuluje. - Technologie kontroli wyprzedzają gwarancje prawne.
Czego nie robić (częste błędy):
- uważać, że „małe kwoty nikogo nie interesują”
- wierzyć, że „jedna giełda = jedna baza”
- myśleć, że zmiana konta rozwiązuje problem
- ignorować metadane behawioralne
8. Kluczowy wniosek
KYC na topowych giełdach to nie tylko weryfikacja tożsamości.
To punkt wejścia do długoterminowego systemu:
- przechowywania
- analizy
- korelacji
- transferu
I ten system nie zapomina.
