რატომ გახდა უსაფრთხოება პრაქტიკული საკითხი და არა სადავო თემა
რამდენიმე წლის წინ კორპორაციულ სამყაროში კრიპტოვალუტა უფრო ექსპერიმენტს ჰგავდა, რომელსაც მხოლოდ რამდენიმე ტექნოლოგიური კომპანია იყენებდა. 2026 წლისთვის სურათი შეიცვალა. კომპანიები უცხოელ კონტრაქტორებს კრიპტოვალუტით უხდიან, რეზერვების ნაწილს სტეიბლკოინებში ინახავენ, ხელფასებს უხდიან განაწილებულ გუნდებს და კლიენტებისგან გადახდებს ციფრულ აქტივებში იღებენ. ამ მოხერხებულობას მეორე მხარეც აქვს: ყოველი ასეთი ოპერაცია ქმნის წერტილებს, სადაც კომპანიამ შეიძლება ფული დაკარგოს ან რეგულატორის კითხვებს წააწყდეს.
საფრთხის მასშტაბი 2025 წლის შედეგებიდან კარგად ჩანს. Chainalysis-ის მონაცემებით, წლის განმავლობაში კრიპტოინდუსტრიიდან 3.4 მილიარდ დოლარზე მეტი მოიპარეს[1]. დიდი წილი ერთ ეპიზოდზე მოდიოდა: თებერვალში Bybit-ის ბირჟის გატეხვა, დაახლოებით 1.5 მილიარდი დოლარის ზარალით, კრიპტოვალუტის ისტორიაში ყველაზე დიდ ქურდობად იქცა. შეტევები უფრო იშვიათი ხდება, მაგრამ მათი მოცულობა იზრდება, ხოლო ყველაზე დიდ გატეხვასა და მედიანურ ინციდენტს შორის სხვაობამ პირველად გადააჭარბა ათასმაგ ნიშნულს.
ჩრდილოეთ კორეასთან დაკავშირებული ჯგუფები კვლავ საფრთხის მთავარ წყაროდ რჩებიან: წლის განმავლობაში მათ ანგარიშზე მინიმუმ 2.02 მილიარდი დოლარი მოდიოდა.
რისკების რუკა: რა ემუქრება კომპანიას სინამდვილეში
როდესაც ხელმძღვანელი ისმენს ფრაზას „კრიპტორისკები“, როგორც წესი, წარმოიდგენს გატეხვას და საფულიდან თანხების მოპარვას. რეალური სურათი უფრო ფართოა, ამიტომ საფრთხეების სამ ჯგუფად დაყოფა უფრო სწორია.
პირველი ჯგუფი აერთიანებს ტექნიკურ და ოპერაციულ რისკებს. აქ შედის private key-ების მოპარვა, საფულის არასწორი კონფიგურაცია, თანამშრომლების ფიშინგი და მიმღების მისამართის ჩანაცვლება. ეს რისკები ყველაზე ახლოს დგას კლასიკურ ინფორმაციულ უსაფრთხოებასთან, მაგრამ ერთი სპეციფიკური თვისება აქვს: ბლოკჩეინ-ტრანზაქცია შეუქცევადია და შეცდომით ან თაღლითურად გაგზავნილი გადარიცხვის უკან დაბრუნება შეუძლებელია.
მეორე ჯგუფი მოიცავს compliance-სა და რეგულატორულ რისკებს. კომპანიამ შეიძლება მიიღოს თანხა კონტრაგენტისგან, რომლის საფულე გადარიცხვების ჯაჭვის მეშვეობით სანქცირებულ მისამართს ან უკანონო წყაროს უკავშირდება. შეიძლება ვერ შეასრულოს გამგზავნისა და მიმღების მონაცემების გადაცემის მოთხოვნები. ასევე შეიძლება შეეჯახოს ბანკს, რომელიც კრიპტოსთან დაკავშირებულ შემომავალ გადახდას გაყინავს, სანამ თანხის წარმომავლობა არ დაზუსტდება.
ეს რისკები მყისიერ ქურდობას არ იწვევს, მაგრამ ანგარიშსწორებების პარალიზება და ჯარიმები შეუძლია.
მესამე ჯგუფში შედის ფინანსური და კონტრაგენტის რისკები: კურსის ვოლატილობა, არასანდო სავაჭრო პლატფორმის არჩევა, ან კონტრაგენტი, რომელმაც ვალდებულება არ შეასრულა. აქ ზარალი ჰაკერისგან კი არა, სუსტი მმართველობითი გადაწყვეტილებისგან წარმოიქმნება.
მეტყველია 2025 და 2026 წლების მიჯნის მაგალითი, როდესაც “address poisoning” შეტევების რაოდენობა მკვეთრად გაიზარდა. Blockaid-ის სერვისმა ასეთი ტრანზაქციების ზრდა დააფიქსირა 628 000-დან 2025 წლის ნოემბერში 3.4 მილიონამდე 2026 წლის იანვარში, ანუ ხუთჯერ მეტზე მეტად. სქემა მარტივი და სწორედ ბიზნესისთვის საშიშია. თავდამსხმელი ქმნის მისამართს, რომელიც კომპანიის რეალური კონტრაგენტის მისამართს ვიზუალურად ჰგავს, და მის საფულეში მცირე ტრანზაქციას აგზავნის.
ბუღალტერი ან ფინანსური სპეციალისტი, რომელიც მიჩვეულია რეკვიზიტების ტრანზაქციების ისტორიიდან კოპირებას, შემდეგი გადახდისთვის ყალბ მისამართს ირჩევს და თანხას თაღლითს უგზავნის. აქ ტექნიკური გატეხვა საერთოდ არ ხდება. საქმეს ჩვევა და უყურადღებობა აკეთებს.
ტექნიკური მხარე: სად ინახება აქტივები და ვის აქვს მათზე წვდომა
კრიპტოში კორპორაციული უსაფრთხოების საფუძველი private key-ების მართვაა. ვინც გასაღებს აკონტროლებს, თანხებსაც ის აკონტროლებს, ამიტომ შენახვის საკითხი მანამდე უნდა გადაწყდეს, სანამ კომპანიის ბალანსზე არსებითი თანხები გამოჩნდება.
მთავარი დაყოფა hot და cold wallet-ებს შორის გადის. Hot wallet-ები ინტერნეტთან არის დაკავშირებული და ყოველდღიური ოპერაციებისთვის საჭიროა: სწორედ მათში გადის გადახდები და ანგარიშსწორებები. Cold wallet-ები რეზერვებს ოფლაინ ინახავს და იშვიათად გამოიყენება. გონივრული პრაქტიკაა hot wallet-ებში მხოლოდ სამუშაო მინიმუმის დატოვება, ხოლო აქტივების ძირითადი ნაწილის cold storage-ში გადატანა. ამ შემთხვევაში ოპერაციულ საფულეზე წარმატებული შეტევაც კი კომპანიის მთელი კაპიტალის დაკარგვას არ გამოიწვევს.
დაცვის შემდეგი ფენა ტრანზაქციების ხელმოწერის ტექნოლოგიაა. აქ ორი მიდგომა კონკურირებს:
- Multi-signature რამდენიმე დამოუკიდებელ გასაღებს მოითხოვს გადარიცხვის დასადასტურებლად. მაგალითად, „ხუთიდან სამი“ მოდელში ხუთი მფლობელიდან მინიმუმ სამმა უნდა მოაწეროს ხელი. მიდგომა გამჭვირვალეა და მენეჯმენტ-კონტროლისთვის კარგად მუშაობს, რადგან თითოეული ხელმოწერა ჩანს.
- მეორე მიდგომას multi-party computation, ანუ MPC ეწოდება. ამ შემთხვევაში სრული private key არცერთ მომენტში ერთ მთლიან ნაწილად არ არსებობს. ის იშლება დაშიფრულ წილებად, რომლებიც სხვადასხვა მოწყობილობასა და კვანძზე ნაწილდება.
2026 წლისთვის ინსტიტუციურ მოთამაშეებში ამ მეთოდების კომბინაცია პრაქტიკულ სტანდარტად იქცა: MPC ყოველდღიური გადარიცხვების ოპერაციულ სისწრაფეს უზრუნველყოფს, ხოლო multi-signature დიდ გადაწყვეტილებებზე გამჭვირვალე კონტროლს ემსახურება.
კომპანიისთვის, რომელსაც ინფრასტრუქტურის დამოუკიდებლად აშენება არ სურს, custody provider-ის შეფასება ფორმალური კრიტერიუმებით არის გონივრული. 2026 წლისთვის SOC 2 Type II და ISO 27001 სერტიფიკაციები უკვე უპირატესობა აღარ არის და ნებისმიერი სერიოზული მოთამაშისთვის მინიმალურ მოთხოვნად იქცა.
ასევე მნიშვნელოვანია იმის გაგება, როგორ არის სისტემაში როლები გაყოფილი: როდესაც ერთი თანამშრომელი ტრანზაქციას იწყებს, ხოლო მეორე მას hardware ან biometric key-ით ადასტურებს, როგორც გარე თაღლითობის, ისე შიდა ბოროტად გამოყენების ალბათობა შესამჩნევად მცირდება. ცალკე ყურადღებას იმსახურებს key share-ების რეგულარული განახლება, რადგან ის დაცვის გაძლიერების საშუალებას იძლევა საფულის მისამართის შეცვლის გარეშე.
ადამიანური ფაქტორი: სისტემის ყველაზე მოწყვლადი წერტილი
დამცავი ტექნოლოგიები ადამიანების ჩვევებზე სწრაფად უმჯობესდება. AMLBot-ის მონაცემებით, რომელმაც 2 500-ზე მეტი რეალური გამოძიება შეისწავლა, 2025 წელს ინციდენტების დაახლოებით 65% სოციალური ინჟინერიით იყო გამოწვეული და არა ტექნიკური სისუსტეებით[2]. უმეტეს შემთხვევაში თავდამსხმელები კოდს არ ტეხდნენ. ისინი კონკრეტულ ადამიანს ატყუებდნენ. ფიშინგზე ყველა ინციდენტის 18% მოდიოდა და ის საინვესტიციო სქემების შემდეგ შეტევის მეორე ყველაზე გავრცელებული ტიპი გახდა.
ბიზნესისთვის ეს ნიშნავს, რომ დაცვაში ინვესტიცია აზრს კარგავს, თუ თანამშრომელი მზად არის ყალბ წერილში დამაჯერებელი მოთხოვნის გამო თანხა გადარიცხოს, ან ტრანზაქცია დაადასტუროს ადამიანთან საუბრის შემდეგ, რომელიც თავს პარტნიორად ან სერვისის წარმომადგენლად ასაღებს. ამიტომ პროცედურები და პერსონალის სწავლება ტექნოლოგიის იმავე დონეზე დგას.
რამდენიმე ზომა მინიმალური ხარჯით ყველაზე დიდ ეფექტს იძლევა. მისამართების whitelist ზღუდავს მიმღებების წრეს, რომელთაც კომპანიას თანხის გაგზავნა შეუძლია, ხოლო ყოველი ახალი დანიშნულება ცალკე დამტკიცებას გადის. ერთი ოპერაციისა და დღიური ბრუნვის ლიმიტები ხელს უშლის დიდი თანხის ერთბაშად გადატანას.
მიმღების მისამართის ტრანზაქციების ისტორიიდან კოპირების აკრძალვა პირდაპირ ხურავს ზემოთ აღწერილ address poisoning-საფრთხეს: რეკვიზიტები მოწმდება პირველწყაროსთან და არა წინა გადარიცხვების ლენტიდან. ბოლოს, უფლებამოსილებების გაყოფა არ აძლევს ერთ ადამიანს შესაძლებლობას, დიდი გადახდა მარტო განახორციელოს, რაც შეცდომისა და შეთანხმებული ბოროტად გამოყენების რისკს ამცირებს.
Compliance და სამართლებრივი მხარე: რისკები, რომლებიც მაშინვე არ ჩანს
საფრთხეების ეს ჯგუფი განსაკუთრებით მზაკვრულია, რადგან დაგვიანებით ვლინდება. კომპანიამ შეიძლება თვეების განმავლობაში მშვიდად იმუშაოს და შემდეგ მიიღოს დაბლოკილი გადახდა ან ბანკის მოთხოვნა, რადგან ერთ-ერთი კონტრაგენტი პრობლემური წყაროს მქონე თანხებთან დაკავშირებული აღმოჩნდა.
აქ მთავარი პრაქტიკაა კონტრაგენტისა და მისამართის შემოწმება ტრანზაქციამდე და არა მის შემდეგ. ყოველი გარე მისამართი, რომელზეც კომპანია თანხას აგზავნის ან საიდანაც იღებს, უნდა შემოწმდეს სანქცირებულ სიებთან და უკანონო აქტივობასთან დაკავშირებული მისამართების ბაზებთან. სირთულე ის არის, რომ პირდაპირი დამთხვევა ხშირად არ არსებობს. საფულე შემოწმებას ნიშნების გარეშე გადის, მაგრამ ჯაჭვის ანალიზი აჩვენებს, რომ რამდენიმე ნაბიჯით ადრე მან თანხა სანქცირებული მისამართიდან მიიღო.
ასეთი კავშირები შუამავლების მეშვეობით მხოლოდ გადარიცხვების ისტორიის ანალიზისას ჩანს. ზედაპირული შემოწმება სწორედ ამას ვერ ხედავს.
ამას ემატება რეგულატორული ზეწოლა. გამგზავნისა და მიმღების მონაცემების გადაცემის წესი, FATF Travel Rule, ვირტუალური აქტივების მომსახურების პროვაიდერებს ავალდებულებს, ტრანზაქციებს გარიგების მხარეების შესახებ ინფორმაცია თან ახლდეს. ევროკავშირში ლიცენზირებულ პლატფორმებს შორის ტრანზაქციებისთვის ზღვარი საერთოდ არ არსებობს: მონაცემები ნებისმიერი გადარიცხვისთვის არის საჭირო.
MiCA რეგულაციის გარდამავალი პერიოდი, რომელმაც ევროკავშირის კრიპტობაზარზე წესრიგი შემოიტანა, 2026 წლის 1 ივლისს გაგრძელების გარეშე დასრულდა. ამ თარიღიდან ნებისმიერი კომპანია, რომელიც ევროკავშირის კლიენტებს CASP ავტორიზაციის გარეშე ემსახურება, Regulation (EU) 2023/1114-ს არღვევს. ბევრი ფირმა ვადაში ვერ ჩაეტია. ეროვნული რეჟიმებით ადრე რეგისტრირებული 1 200-ზე მეტი პლატფორმიდან სრული MiCA ავტორიზაცია მხოლოდ დაახლოებით 210-მა მიიღო, ანუ დაახლოებით ყოველი მეექვსემ.
ბიზნესისთვის, რომელიც ტრანსსასაზღვრო ანგარიშსწორებებს ახორციელებს, ეს ნიშნავს, რომ სუფთა სამართლებრივი სტატუსის მქონე კონტრაგენტების წრე შესამჩნევად შევიწროვდა, ხოლო პლატფორმის არჩევა ახლა ოპერაციების სამართლებრივ სისუფთავეზე პირდაპირ მოქმედებს.
აქ მენეჯმენტის წინაშე არჩევანი ჩნდება. მთლიანი compliance-ფუნქციის კომპანიის შიგნით აშენება ძვირია და ცალკე ექსპერტიზას მოითხოვს. ალტერნატივაა დატვირთვის ნაწილის გადატანა პარტნიორის ინფრასტრუქტურაზე, რომელიც უკვე სამართლებრივ ჩარჩოში მუშაობს და თავის თავზე იღებს შემოწმებებს, დოკუმენტაციასა და ბანკებთან ურთიერთობას.
ოპერაციული პარტნიორის არჩევა როგორც უსაფრთხოების სისტემის ნაწილი
როდესაც კომპანია დიდ კრიპტოოპერაციებს ახორციელებს, ბევრი რამ არა იმდენად საფულის ტექნოლოგიით, რამდენადაც იმით წყდება, ვის გავლით ხდება გაცვლა, თანხის შეტანა და გამოტანა. ლიცენზირებული virtual asset service provider, ანუ VASP, ზემოთ აღწერილი რამდენიმე რისკს ერთდროულად ხურავს, რადგან რეგულირებულ ჩარჩოში მუშაობს და გარიგებებისთვის დოკუმენტურ მხარდაჭერას უზრუნველყოფს.
GeCrypto ასეთი კომპანიაა: საქართველოს ეროვნული ბანკის მიერ ლიცენზირებული VASP. ბიზნესთან მუშაობის მისი გამოცდილება სამი ტიპური სცენარის ჭრილში შეიძლება განვიხილოთ.
პირველი სცენარი ევროკავშირსა და აშშ-ში უცხოელ კონტრაქტორებთან ანგარიშსწორებას ეხება. კლასიკური საბანკო გადარიცხვა SWIFT-ით ორ ან სამ დღეს მოითხოვს, ზოგიერთ მიმართულებაზე კი ერთ კვირამდეც გრძელდება. ტრანსსასაზღვრო გადახდის სრული ღირებულება, მათ შორის სავალუტო სპრედი, შუამავალი ბანკების საკომისიოები და compliance-ხარჯი, ჩვეულებრივ თანხის 3%-დან 7%-მდე აღწევს. კრიპტოინფრასტრუქტურის მეშვეობით ანგარიშსწორება წუთებში სრულდება და პროცენტის მხოლოდ მცირე ნაწილს ჯდება.
დაზოგვისა და სისწრაფის გარდა, კომპანია თავს არიდებს შუამავალი ბანკების პრობლემას, რომლებიც გადახდებს დამატებითი შემოწმებისთვის ხშირად აყოვნებენ. შემთხვევითი არ არის, რომ სტეიბლკოინებში B2B გადახდების მოცულობა ერთი წლის განმავლობაში რამდენჯერმე გაიზარდა.
მეორე სცენარი დიდი თანხების საბანკო ანგარიშზე შეტანასა და გამოტანას ეხება. ბიზნესი, რომელმაც გაწეული მომსახურებისთვის კლიენტის გადახდა კრიპტოვალუტაში მიიღო, ადრე თუ გვიან ამ თანხების ბანკში შეტანის ამოცანას აწყდება. სწორედ აქ ჩანს ლიცენზიის ღირებულება.
როდესაც თანხა საბანკო ანგარიშზე ლიცენზირებული VASP-იდან მოდის, ქართული ბანკების compliance-გუნდებს, როგორც წესი, დაახლოებით მილიონ დოლარამდე გადარიცხვებზეც კი კითხვები არ უჩნდებათ, რადგან წყარო გამჭვირვალეა და გარიგების სრული დოკუმენტების პაკეტით არის მხარდაჭერილი. საპირისპირო სცენარიც მუშაობს, როდესაც კომპანიას საბანკო ანგარიშიდან გადახდის სანაცვლოდ დიდი თანხა კრიპტოვალუტაში სჭირდება. ორივე შემთხვევაში ოპერაციის დოკუმენტური მიკვლევადობა გაყინვის ან პრეტენზიების რისკს ამცირებს.
მესამე სცენარი თანამშრომლებისთვის კრიპტოვალუტით ანაზღაურებას მოიცავს. განაწილებული გუნდებისთვის, რომელთა სპეციალისტები საქართველოს იურისდიქციის გარეთ არიან, კრიპტო ხშირად გადახდის ყველაზე სწრაფი და პროგნოზირებადი გზაა. ლიცენზირებული პარტნიორის მეშვეობით მოწყობილი ასეთი გადახდა ბუღალტრული აღრიცხვისთვის გამჭვირვალე რჩება და რეგულატორული კითხვების წყაროდ არ გადაიქცევა.
სამივე შემთხვევაში ლოგიკა ერთია. სწორად შერჩეული ოპერაციული პარტნიორი უსაფრთხოების სისტემის ისეთივე ელემენტი ხდება, როგორიც multi-signature საფულე ან მისამართების შემოწმების პროცედურაა. ის ხსნის ფინანსური, compliance-ისა და კონტრაგენტის რისკების ნაწილს, რომელთა დაფარვაც კომპანიას სხვა შემთხვევაში საკუთარი ძალებით მოუწევდა.
ჩეკლისტი: როგორ ავაშენოთ რისკების მინიმიზაციის სისტემა
ქვემოთ მოცემულია ნაბიჯების მოკლე სია, რომელიც მოსახერხებელია საყრდენად, როდესაც კომპანია კრიპტოვალუტასთან კორპორაციულ მუშაობას აწყობს.
- გაყავით შენახვა hot და cold ფორმატებად და ოპერაციულ საფულეებში მხოლოდ სამუშაო მინიმუმი დატოვეთ.
- დანერგეთ multi-signature ან MPC ტრანზაქციების დასადასტურებლად და გამიჯნეთ ინიციატორისა და დამმტკიცებლის როლები.
- custody provider-ის არჩევისას შეამოწმეთ SOC 2 Type II და ISO 27001 სერტიფიკაციები.
- დააყენეთ მისამართების whitelist, ოპერაციების ლიმიტები და ტრანზაქციების ისტორიიდან რეკვიზიტების კოპირების აკრძალვა.
- თანამშრომლები რეგულარულად გადაამზადეთ ფიშინგისა და სოციალური ინჟინერიის ამოსაცნობად, რადგან ადამიანები კვლავ მთავარ სამიზნედ რჩებიან.
- კონტრაგენტები და მისამართები სანქციურ ბაზებთან ტრანზაქციამდე შეამოწმეთ და არა მის შემდეგ.
- ევროპელ პარტნიორებთან მუშაობისას გაითვალისწინეთ Travel Rule-ის მოთხოვნები და MiCA-ს გარდამავალი პერიოდის დასრულება.
- დიდი შეტანის, გამოტანისა და ტრანსსასაზღვრო ანგარიშსწორების ოპერაციები ლიცენზირებული VASP-ის მეშვეობით გაატარეთ, რათა დოკუმენტური მხარდაჭერა მიიღოთ და საკუთარ compliance-ზე დატვირთვა შეამციროთ.
ამ პუნქტებზე სისტემური მუშაობა რისკებს ნულამდე არ ამცირებს, მაგრამ მათ იმ შემთხვევითი მოვლენების კატეგორიიდან, რომლებზეც კომპანია გავლენას ვერ ახდენს, მართვადი პარამეტრების კატეგორიაში გადაჰყავს. ციფრულ აქტივებთან მუშაობისას კორპორაციული უსაფრთხოების მთავარი მიზანი სწორედ ეს არის.
- Chainalysis. 2026 Crypto Crime Report.
- AMLBot. Crypto Crime Report 2025.