Dziwny przelew dla Zondacrypto. Pieniądze nie wiadomo skąd. Wiadomo, że nie dla klientów

Mijają dwa tygodnie, od kiedy zrobiło się głośno o problemach giełdy kryptowalut Zondacrypto. Jej klienci nadal skarżą się na problemy z wypłatą środków – zlecają i czekają, niektórzy nawet ponad tydzień. Firma niezmiennie tłumaczy sytuację usterką techniczną, która miała zostać naprawiona w ciągu kilku dni.

W ubiegłym tygodniu, z pomocą analityków Recoveris – firmy specjalizującej się w śledzeniu, analizie i odzyskiwaniu skradzionych kryptowalut – ujawniliśmy niepokojące fakty. Środki bitcoinowe Zondy, zgromadzone na jej gorącym portfelu kryptowalutowym (podłączonym do sieci, co umożliwia przeprowadzanie transakcji z dowolnego miejsca), skurczyły się o 99,7 proc. w ciągu ok. dwóch lat – do zaledwie 0,18 bitcoina.

Tu przeczytasz nasz pierwszy artykuł:

Przemysław Kral, prezes BB Trade Estonia OÜ, właściciela Zondy, zaprzeczał problemom płynnościowym. Przekonywał, że giełda posiada 4,5 tys. bitcoinów w portfelach offline, których nie da się prześwietlić bez wpuszczenia audytora do spółki. Nie opublikował "proof of reserves" – dowodu, że to, co mówi, jest prawdą. Zamiast tego jego giełda zaczęła raportować w mediach społecznościowych zrealizowane przez klientów wpłaty i wypłaty.

Wspólnie z ekspertami z Recoveris przyjrzeliśmy się im. I znów zauważyliśmy zjawisko, które może wzbudzić wątpliwości.

7 kwietnia 2026 r. – dzień po publikacji naszego pierwszego artykułu – na gorący portfel Zondacrypto (działający online, który da się zweryfikować), na sieci Ethereum, trafiły dwie duże wpłaty. Łącznie: 1 152 732 USDC (usd coin), co odpowiada kwocie ok. 4,2 miliona złotych.

Analitycy Recoveris wzięli te transakcje pod lupę. Z ich ustaleń wynika, że zanim pieniądze trafiły do Zondy, przeszły przez cały szereg pojedynczych adresów blockchainowych. Blockchain to publiczny rejestr transakcji – coś w rodzaju księgi wieczystej dla kryptowalut. Każdy przelew jest w nim zapisany i widoczny dla każdego, kto chce sprawdzić.

Pieniądze wykonały osiem kolejnych "przeskoków" w sieci Ethereum. Każdy w odstępie około dwóch minut. Każdy adres pośredni był jednorazowy, bez żadnej innej historii transakcji. Jedno wejście, jedno wyjście, nic ponadto. Na początku tego łańcucha: Tether, czyli tzw. stablecoin – kryptowaluta mająca utrzymywać stałą wartość – został wymieniony na USDC (kolejny stablecoin) za pośrednictwem zdecentralizowanej giełdy.

– Stała liczba przeskoków, krótki i regularny interwał między nimi, jednorazowe adresy pośrednie o wyłącznie przekaźnikowym charakterze oraz zamiana aktywa na początku łańcucha – to wzorzec niecharakterystyczny dla standardowej aktywności użytkownika lub transakcji zasilenia "gorącego" portfela przez samą giełdę. Może, ale nie musi, wskazywać na celowe działanie mające utrudnić identyfikację pierwotnego źródła środków – przekazał zespół Recoveris.

Jak czytamy w raporcie FATF (Financial Action Task Force) – międzyrządowego organu wyznaczającego globalne standardy w walce z praniem pieniędzy, taki mechanizm to warstwowanie. To jedna z klasycznych "czerwonych flag" w analizie finansowej – sygnał, że ktoś mógł chcieć zatrzeć ślady.

Nie jesteśmy w stanie precyzyjnie wskazać, skąd pochodzą te transfery – czy było to celowe zasilenie przez Zondacrypto, czy depozyty konkretnego klienta – zastrzega Recoveris.

O pochodzenie tych środków zapytaliśmy prezesa Zondy. Do czasu publikacji tekstu odpowiedzi nie otrzymaliśmy.

Recoveris prześledziło też, co dalej działo się z równowartością 4,2 mln zł po wpłynięciu na portfel Zondy.

W ciągu 48 godzin – od 7 do 9 kwietnia – około 67 procent tej kwoty, czyli ok. 772 tys. USDC (ponad 2,8 mln zł), zostało przelane nie do czekających w kolejce klientów, lecz na adres depozytowy na giełdzie Kraken. Ten sam, na który trafiały kryptowaluty opisywane w naszym wcześniejszym tekście. 

W pierwszym artykule wskazaliśmy na masowy transfer 30 różnych kryptowalut o wartości 4,59 mln dolarów z portfeli Zondy na adres depozytowy na giełdzie Kraken, dokonany w ciągu niespełna czterech miesięcy. Szczególnie intrygujące było zachowanie z 8-10 stycznia, gdy dziesiątki małych transakcji realizowanych niemal jednocześnie obejmowały wszystkie altcoiny z portfela – wzorzec charakterystyczny dla botów automatycznie opróżniających portfele.

Do kogo należy konto? Adres 0x8d73769a2422f55a9a270fe08b00264ff564696c jest zarejestrowany na platformie Kraken – narzędzia blockchain jednoznacznie przypisują go do infrastruktury tej giełdy. Nie wiadomo natomiast, kto jest jego użytkownikiem właściwym.

Dane wskazują na dwa możliwe wyjaśnienia.

Pierwsze zakłada, że to konto samej Zondy. Dlaczego? Jak już wspomnieliśmy, od tygodnia Zonda publikuje raporty o wypłatach dla klientów. Analitycy Recoveris porównali te raporty z tym, co widać na blockchainie. Liczby się zgadzają, ale tylko, jeśli przelewów na Krakena w ogóle nie liczyć jako wypłat dla klientów. Kwota wypłat, według Zondy, wyniosła do 10 kwietnia 95 565,43 zł. Gdyby pieniądze przelane na konto w Krakenie trafiły do klientów, Zonda powinna je wpisać do raportu. Skoro ich tam nie ma, to znaczy, że Zonda nie potraktowała tego przelewu jako wypłaty dla klientów.

Drugi scenariusz to wersja Przemysława Krala, prezesa giełdy: transfery to "realizacja zleceń klientów instytucjonalnych i operacje market-makingowe". Tak wyjaśniono je 7 kwietnia na oficjalnym profilu zondacrypto Polska w serwisie X. W pierwszym przypadku byłyby to po prostu przelewy do partnerów biznesowych. W drugim – "market-makingu" – operacje związane z tzw. animacją rynku, czyli składanie zleceń kupna i sprzedaży, które ma zapewnić na giełdach płynność handlu.

Na pytanie, do kogo należy depozyt na giełdzie Kraken, Przemysław Kral nie odpowiada.

Równolegle z analizą przepływów USDC analitycy Recoveris przyjrzeli się temu, co dzieje się z tokenem ZND – własną kryptowalutą Zondacrypto – na gorącym portfelu giełdy na blockchainie Ethereum.

Polscy użytkownicy i komentatorzy rynku kryptowalut od kilku dni zwracali na platformie X uwagę na powtarzający się schemat: część tokenów ZND jest przesyłana z gorącego portfela Zondy na konkretny adres depozytowy giełdy KuCoin (0xc23b7e30CbA785BD7651Df54abB6bf52ded24109). Na tej podstawie pojawiły się spekulacje, że tokeny te są tam wymieniane na inne kryptowaluty, a pozyskane środki wracają do portfeli Zondy.

Podobnie jak w przypadku pieniędzy przelewanych na konto w Krakenie, analitycy Recoveris sprawdzili transakcje na KuCoin pod kątem danych o kwocie wypłat dla klientów, raportowanych przez samą Zondę.

– Z naszej analizy wynika, że możemy potwierdzić przytoczoną kwotę 95 565,43 zł, ale tylko pod warunkiem wyłączenia z łącznej sumy wypłat depozytów wykonanych na adres giełdy KuCoin oraz na wcześniej wspomniany depozyt giełdy Kraken – mówią analitycy Recoveris.

Gdyby transfery na KuCoin i Kraken stanowiły wypłaty dla klientów, łączna kwota tych ostatnich powinna być znacznie wyższa niż ta, którą Zonda sama podała. Fakt, że giełda tych przepływów nie włącza do własnych wyliczeń, oznacza, że nie traktuje ich jako wypłat dla klientów. Zapytaliśmy Zondacrypto, czy wskazany adres na KuCoin należy do giełdy i dlaczego został wyłączony z oficjalnych wyliczeń. Nie otrzymaliśmy odpowiedzi.

W połączeniu z niejasnym pochodzeniem dwóch dużych wpłat USDC z 7 kwietnia, które – jak ustalili analitycy Recoveris – dotarły na gorący portfel Zondy przez osiem warstw jednorazowych adresów pośredniczących, rodzi to kolejne pytania o faktyczną kondycję giełdy. Sama Zondacrypto jak dotąd nie odniosła się publicznie ani do przynależności adresu na KuCoin, ani do obserwacji użytkowników dotyczących przepływów tokenów ZND.

W lutym 2025 r. – nieco ponad rok przed problemami Zondy – giełda ByBit padła ofiarą największego w historii kryptowalut ataku hakerskiego. Z jej zimnego portfela (czyli takiego, który zakłada dostęp offline, nie jest podłączony do sieci) skradziono kryptowaluty warte 1,5 miliarda dolarów. Ponadto, giełda stanęła w obliczu klasycznego runu – klienci w panice zażądali wypłaty środków na łączną kwotę przekraczającą 4 miliardy dolarów.

CEO Ben Zhou w ciągu kilku godzin od wykrycia włamania opublikował oświadczenie, potwierdził skalę strat i zagwarantował, że wszystkie aktywa klientów zostaną wypłacone. W ciągu 12 godzin ByBit przywrócił pełną obsługę wypłat, realizując ponad 350 tysięcy transakcji. W ciągu 72 godzin giełda uzupełniła rezerwy, pozyskując brakujące środki od partnerów instytucjonalnych.

Sposób, w jaki ByBit zarządził tym kryzysem, stał się w branży punktem odniesienia – przykładem tego, jak giełda powinna komunikować się z użytkownikami i jak szybko powinna działać, gdy zaufanie klientów jest zagrożone. Przypadek ByBita był szeroko komentowany, analizowany i opisywany – również w Polsce.

Rok później Zonda, wobec kolejek klientów oczekujących na wypłaty, zrealizowała z gorących portfeli mniej niż tysiąc transakcji wychodzących w ciągu 48 godzin. Opóźnienia tłumaczy koniecznością ręcznego procesowania transakcji i zaangażowaniem "wszystkich możliwych mocy przerobowych".

Według ekspertów, takich jak Robert Nogacki z Kancelarii Skarbiec, klienci Zondy mający problemy z wypłatami powinni podjąć dwa kroki. Po pierwsze – złożyć formalne, pisemne wezwanie do zwrotu środków bezpośrednio do spółki, z potwierdzeniem odbioru. Po drugie – złożyć zawiadomienie na policji, z kopią przesłaną do Krakena jako giełdy powiązanej z przepływami środków.

Eksperci podkreślają jednak: czas ma znaczenie. Im szybciej zostaną udokumentowane roszczenia, tym lepiej.

Na podstawie analizy Recoveris wysłaliśmy do Przemysława Krala i Zondacrypto następujące pytania:

●     Skąd pochodzą dwie duże wpłaty z 7 kwietnia? Czy to celowe zasilenie portfela?

●     Czy depozyt Krakena 0x8d73769a2422f55a9a270fe08b00264ff564696c należy do Zondy i jest przez nią operowany?

●     Dlaczego środki trafiają na Krakena, a nie do kolejkujących się klientów?

●     Czy depozyt KuCoin 0xc23b7e30CbA785BD7651Df54abB6bf52ded24109 należy do Zondy – i dlaczego wykluczono go z oficjalnych wyliczeń wypłat?

●     Czy klienci instytucjonalni doświadczają tych samych problemów z wypłatami co indywidualni?

●     W jaki sposób utrzymywanie minimalnych sald na gorących portfelach ma wspierać płynność, skoro saldo hot walleta obecnie może wynosić ok. 50 tys. USDC, a klient czeka na wypłatę 100 tys.?

Do czasu publikacji tekstu Zondacrypto i Przemysław Kral nie odpowiedzieli na żadne z tych pytań. Przemysław Kral zlikwidował swój profil w serwisie LinkedIn, gdzie odpowiadał dotąd na pytania klientów.

Karolina Wysota, Szymon Jadczak, dziennikarze Wirtualnej Polski i money.pl