Kryptopörssien avoimuuden on ulotuttava varantojen todentamista pidemmälle

Marraskuussa 2022 tapahtumat FTX:n ympärillä nostivat esiin asiakkaiden varojen turvallisuuden keskitetyissä kryptopörsseissä eli CEX-palveluissa. Monet pörssit lupasivat julkistaa reservitietoja ja käyttää riippumattomia tarkastajia. Proof of reserves eli PoR tarkoittaa varantojen todentamista. Sen sisältö vaihtelee, eikä se automaattisesti vastaa täydellistä tilinpäätöksen tilintarkastusta.

Miten varantojen todentaminen toimii?

Pelkkä lompakko-osoitteiden ja saldojen julkaiseminen ei riitä. Pörssin sisäiset asiakaskaupat kirjataan yleensä sen omaan tietokantaan, eivätkä ne kaikki aiheuta lohkoketjutapahtumaa. Ketjuun syntyy merkintä esimerkiksi silloin, kun varoja nostetaan ulkopuoliseen lompakkoon. Ilman riittäviä tietoja varoista ja veloista asiakkaan on vaikea arvioida turvallisuusväitteitä. FTX osoitti, että maksuvaikeuksissa oleva yhtiö voi julkisesti antaa kuvan normaalista toiminnasta.

Yhdessä PoR-mallissa riippumaton tarkastaja vertaa pörssin hallitsemia kryptovaroja tiettynä ajankohtana kirjattuihin asiakasvelvoitteisiin. Täyden katteen osoittaminen edellyttää, että tarkastellut varat kattavat asiaankuuluvat velvoitteet. Lisäksi on selvitettävä varojen omistus, omaisuuslajit, velkojen täydellisyys ja mahdolliset panttaukset tai muut rasitteet.

Joissakin toteutuksissa asiakas voi tarkistaa saldonsa sisältymisen julkaistuun aineistoon Merkle-puun avulla. Kyseessä on binäärinen tiivistepuu, ei binäärinen hakupuu. Tiivistäminen ei myöskään ole salausta: tiivisteestä ei palauteta kaikkia alkuperäisiä tietoja. Tarkastushetken saldot muodostavat puun lehtiin sijoitettavia tietueita, joiden tiivisteet yhdistetään vaiheittain yhdeksi juuritiivisteeksi. Omilla tiedoillaan ja todistuspolullaan asiakas voi tarkistaa saldonsa sisältymisen paljastamatta muiden saldoja. Tämä ei yksin todista kaikkien velkojen sisältymistä tai sitä, että varat ovat käytettävissä ilman rasitteita.

Riittääkö varantojen todentaminen?

Riippumaton tarkastus voi lisätä luottamusta, mutta sen arvo riippuu menetelmästä, laajuudesta, aineiston täydellisyydestä ja tarkastajan riippumattomuudesta. Virheellisten tietojen tai epäasiallisen yhteistyön riski on mahdollinen; se ei tarkoita, että jokainen tarkastaja toimisi näin. Pörssi voi näyttää varantonsa paljastamatta kaikkia velkojaan, muita sitoumuksiaan tai omaisuuteen kohdistuvia rasitteita.

Pörssi voi myös järjestellä saldoja juuri ennen tarkastushetkeä ja siirtää varoja pois sen jälkeen. Tilannekuva ei siksi takaa varojen jatkuvaa saatavuutta eikä yksin selvitä niiden alkuperää tai omistusoikeutta. Toistuvat tarkastukset ja velkatiedot täydentävät kuvaa maksukyvystä.

Marraskuussa 2022 huomiota herätti myös tapaus, jossa Crypto.com lähetti 320 000 ETH:ta Gate.io-osoitteeseen 21. lokakuuta 2022. Määrän arvoksi kuvattiin tuolloin noin 400 miljoonaa dollaria. Siirto oli tapahtunut viikkoja ennen julkista keskustelua, ei vasta kylmälompakkotietojen julkaisemisen jälkeen. Crypto.comin toimitusjohtaja kiisti väärinkäytökset ja sanoi varojen menneen vahingossa hyväksytylle yritystilille. Gate ilmoitti auttaneensa varojen palautuksessa. Pelkkä siirto ei todista varantotietojen väärentämistä eikä sitä, että varat olisivat olleet mukana Gaten tarkastushetken saldoissa.

PoR on osa avoimuutta, ei tae maksukyvystä tai kattavasta sijoittajansuojasta. Kokonaisarvio tarvitsee tietoa myös veloista, omistusoikeuksista, panttauksista, sisäisestä valvonnasta sekä varojen muutoksista ennen tarkastushetkeä ja sen jälkeen. Varantojen todentaminen on yksi osa riskien arviointia.