Poradnik
Jak założyć dostawcę przechowywania kryptowalut w ZEA
Krótka odpowiedź
To, który regulator decyduje, zależy od tego, gdzie działalność w zakresie powiernictwa (custody) ma siedzibę i gdzie jest obsługiwana: Virtual Assets Regulatory Authority (VARA) w Dubaju, Financial Services Regulatory Authority (FSRA) w ADGM lub Dubai Financial Services Authority (DFSA) w DIFC. Powiernictwo jest licencjonowaną działalnością w zakresie aktywów wirtualnych, a nie licencją handlową z opisem działalności kryptowalutowej. Najczęściej o wyborze ścieżki decyduje to, kto sprawuje prawną i faktyczną kontrolę nad kluczami prywatnymi.
Kto decyduje, i czemu lokalizacja ma znaczenie
Nad powierzaniem aktywów wirtualnych w ZEA czuwają trzy organy regulacyjne. VARA publikuje zbiory zasad dla poszczególnych rodzajów działalności w Dubaju, a jej Custody Services Rulebook obowiązuje od 19 czerwca 2025 r. Jego część III określa zasady przechowywania i custody aktywów wirtualnych, w tym segregację i kontrolę. FSRA w ADGM oraz DFSA w DIFC prowadzą własne reżimy dla działalności kryptowalutowej w ramach swoich centrów finansowych.
Reżimy te są odrębne. Podmiot posiadający zezwolenie w jednym z nich nie przenosi go do innego, a każdy z nich definiuje działalność, wnioskodawcę i wymagane dowody własnymi kategoriami. Wybór regulatora jest zatem decyzją biznesową dotyczącą tego, gdzie ma siedzibę podmiot i kim są jego klienci, a nie formalnością po rejestracji. Zastosowanie może mieć także ścieżka federalna za pośrednictwem Capital Market Authority (CMA), czyli przemianowanego Securities and Commodities Authority na podstawie Federal Decree-Laws No. 32 i 33 z 2025 r. (obowiązujących od 1 stycznia 2026 r.), lub Central Bank of the UAE (CBUAE). Jeżeli struktura wykracza poza VARA, FSRA lub DFSA, należy potwierdzić stan prawny bezpośrednio w CMA lub CBUAE.
Jeśli plan obejmuje również zarządzanie środkami klientów w strukturze funduszu, jest to odrębna funkcja regulowana. Osoby, które to rozważają, mogą przyjrzeć się utworzeniu funduszu kryptowalutowego lub zarządzającego aktywami wirtualnymi jako odrębnego podmiotu.
Kontrola kluczy decyduje o zakresie regulacyjnym
Organy regulacyjne i zespoły ds. zgodności (compliance) w bankach patrzą na to, co firma faktycznie potrafi zrobić, a nie na to, jak sama siebie nazywa. W powiernictwie test ma charakter praktyczny. Kto może zainicjować, zatwierdzić i odzyskać przelew? Jeśli firma albo działający w jej imieniu dostawca może samodzielnie przenosić aktywa klienta, oznacza to, że firma sprawuje kontrolę, niezależnie od tego, co twierdzi strona produktowa.
Cztery sytuacje powtarzają się najczęściej:
- Portfel opisany jako niepowierniczy (non-custodial), w którym dostawca zachowuje uprawnienia do odzyskiwania środków.
- Dostawca technologii korzystający z obliczeń wielostronnych (multi-party computation, MPC) lub sprzętowych modułów bezpieczeństwa (hardware security modules), bez ustalenia, kto sprawuje kontrolę prawną.
- Staking, pożyczanie lub ponowne wykorzystywanie aktywów klientów. W Custody Services Rulebook VARA staking z custody ma własną część IV, obejmującą instrukcje klienta, zarządzanie węzłami i oświadczenie o ryzyku, dlatego wymaga wyraźnego upoważnienia klienta i odrębnej analizy.
- Subpowiernictwo na rzecz innej licencjonowanej firmy, gdzie umowa rozdziela odpowiedzialność, lecz kwestia autoryzacji pozostaje otwarta.
Użytecznym rezultatem jest pisemne stanowisko dotyczące zakresu działalności: co firma robi, czego nie będzie robić, które funkcje pozostają po stronie licencjonowanych firm oraz jakie elementy planu rozwoju zmieniłyby ten wniosek. Autoryzacja musi obejmować działalność w jej docelowym kształcie, a nie tylko wersję startową.
Co regulator będzie chciał zobaczyć
Zbiory zasad (rulebooks) i strony cytowane poniżej stanowią źródło szczegółowych wymogów, w tym kwot, terminów i nazw kategorii. Przed podjęciem decyzji o strukturze każdy z nich należy zweryfikować z aktualnie obowiązującym tekstem.
To, co można stwierdzić z pewnością, to kształt wymaganej dokumentacji dowodowej. Zespół ds. autoryzacji będzie szukał spójnego dossier: biznesplanu, architektury powiernictwa, osób, które nią zarządzają, stojących za nią zasobów finansowych oraz ram zgodności. To właśnie w pracy nad biznesplanami i dokumentacją ta spójność zostaje zbudowana albo utracona.
Decyzje projektowe, które wpływają na kwestie kapitałowe i kadrowe, powinny zostać ustalone przed złożeniem wniosku, a nie w jego trakcie:
- Przechowywanie gorące (hot), ciepłe (warm), zimne (cold) lub hybrydowe.
- Portfele i rejestry zbiorcze (omnibus) lub wydzielone (segregated).
- Model MPC, HSM i odzyskiwania środków.
- Obsługiwane sieci, tokeny oraz zdarzenia protokołu, takie jak forki i airdropy.
- Ubezpieczenie i podział odpowiedzialności.
W przypadku ścieżki dubajskiej struktura zakładania spółki VARA i spółki zajmującej się aktywami wirtualnymi zależy od odpowiedzi na te pytania.
Jak przemieszczają się środki i aktywa, i na co zwraca uwagę bank
Banki traktują firmy zajmujące się aktywami wirtualnymi jako klientów podlegających wzmocnionej weryfikacji (enhanced due diligence). Oczekują, aby narracja regulacyjna, narracja dotycząca przepływu środków oraz narracja marketingowa były ze sobą spójne.
Dla powiernika oznacza to przygotowanie:
- Kompleksowej dokumentacji zarządzania kluczami (end-to-end).
- Podejścia do uzgadniania sald i dowodu posiadania aktywów (proof of assets), łączącego zapisy prawne z saldami on-chain.
- Testów ciągłości działania i odzyskiwania po awarii.
- Weryfikacji (due diligence) dostawców i subpowierników.
- Dotychczasowego doświadczenia osób kierujących obszarem powiernictwa, bezpieczeństwa i compliance.
Pochodzenie środków udziałowców ma takie samo znaczenie jak model operacyjny. Dowody w tym zakresie buduje się poprzez pracę nad źródłem majątku i środków, a sam wniosek o otwarcie rachunku poprzez przygotowanie do otwarcia firmowego rachunku bankowego. Spójność skraca proces wdrożenia klienta. Nie gwarantuje ona jednak otwarcia rachunku.
Własność, substancja i role, które muszą zostać obsadzone
Firma powiernicza nie może być spółką fasadową (shell). Podmiot obsługujący klientów potrzebuje ludzi i systemów dopasowanych do pełnionych funkcji: kadry kierowniczej wyższego szczebla, inspektora ds. zgodności (compliance officer) oraz inspektora ds. zgłaszania prania pieniędzy (MLRO), a także kierownictwa ds. bezpieczeństwa i technologii. Dokładne role, wymogi dotyczące rezydencji oraz zasoby finansowe ustala wybrany regulator, dlatego są one określone tam, a nie w tym dokumencie.
Obok podmiotu licencjonowanego może funkcjonować zagraniczna spółka macierzysta, spółka IP lub spółka celowa (SPV). Struktura zaprojektowana głównie po to, by wykazać niski koszt założenia, właśnie tak zostanie odczytana przez zespół ds. autoryzacji, a później przez każdy bank. Tam, gdzie struktura własnościowa jest wielowarstwowa, przed złożeniem jakiegokolwiek wniosku powinien zostać przeprowadzony szerszy przegląd w ramach zakładania regulowanej i złożonej struktury własnościowej.
Co najczęściej idzie nie tak
- Kupowanie najpierw licencji handlowej. Licencja handlowa nie jest zezwoleniem na działalność w zakresie aktywów wirtualnych i nie staje się nim.
- Mapowanie dostawcy zamiast kontroli. Poleganie na dostawcy technologii bez pisemnego ustalenia, kto sprawuje prawną kontrolę nad kluczami.
- Traktowanie ubezpieczenia jako mechanizmu kontroli. Ubezpieczenie wspiera kontrole operacyjne. Nie zastępuje ich.
- Porównywanie wyłącznie opłat rejestracyjnych. Sensowne porównanie dotyczy całej ścieżki: dozwolonych funkcji, wymaganego kapitału, obowiązkowych stanowisk do obsadzenia, realiów bankowych oraz kosztu przebudowy dokumentacji struktury po uruchomieniu.
- Łączenie funkcji w jednym podmiocie. Powiernictwo, obrót (dealing) i emisja w jednej spółce mnożą kwestie ładu korporacyjnego i konfliktów interesów.
