Úschova kryptoměn: vlastní peněženka, nebo poskytovatel

Úschova kryptoměn má dvě základní podoby: kryptoměny drží za vás poskytovatel s povolením, nebo je máte ve vlastní peněžence a soukromé klíče spravujete sami. U poskytovatele vás chrání pravidla nařízení MiCA o oddělení majetku a odpovědnosti za ztrátu, ale závisíte na jeho spolehlivosti. U vlastní peněženky nikdo další nerozhoduje o vašem majetku, zato každá chyba jde jen za vámi. Pravidla pro úschovu u poskytovatele stanoví nařízení (EU) 2023/1114 o trzích kryptoaktiv.

Kdo drží klíče, ten drží kryptoměny

Kryptoměna neleží v aplikaci ani v zařízení. Zůstatek je zapsaný v distribuovaném registru, typicky blockchainu, na určité adrese. S ním může nakládat jen ten, kdo má soukromý klíč k této adrese. Otázka úschovy proto nezní, kde kryptoměny jsou, ale kdo má klíče, kterými je lze převést. Podle toho se úschova dělí na dvě skupiny s velmi odlišnými riziky.

Soukromý klíč jako jediný doklad vlastnictví

Soukromý klíč je tajné číslo, kterým se podepisují převody. Veřejná adresa slouží k přijímání plateb a můžete ji bez obav sdílet, soukromý klíč nikdy. Evropské orgány dohledu ve společném varování upozorňují, že ztráta soukromých klíčů znamená trvalou a nevratnou ztrátu přístupu ke kryptoaktivům i ztrátu jejich vlastnictví.

Úschova u poskytovatele

Při úschově u poskytovatele, anglicky custodial, drží klíče firma a vy máte účet, do kterého se přihlašujete jménem a heslem. Na vašem účtu vidíte zůstatek, ale technicky jde o záznam v evidenci poskytovatele. Převod na jinou adresu provede poskytovatel na váš pokyn. Pohodlí je vyšší, ztracené heslo k účtu se dá obnovit přes ověření totožnosti, zato jste odkázáni na poctivost, zabezpečení a solventnost firmy.

Vlastní peněženka

Vlastní peněženka, anglicky self-custody nebo nehostovaná peněženka, znamená, že klíče vznikly u vás a nikdo jiný je nemá. Převod podepisujete sami a žádná firma ho nemůže zablokovat ani zpomalit. Kryptoměny nejsou vystavené úpadku poskytovatele. Na druhé straně vám nikdo nepomůže, když zapomenete přístup, ztratíte zálohu nebo podepíšete podvodnou transakci. Veškerá odpovědnost je vaše.

Poskytovatel, nebo vlastní peněženka: srovnání

Obě varianty se liší v tom, kdo nese které riziko. Tabulka shrnuje hlavní rozdíly podle nařízení MiCA, českého zákona o digitalizaci finančního trhu a varování evropských orgánů dohledu.

Co pro úschovu u poskytovatele stanoví MiCA

Nařízení MiCA se v plném rozsahu použije od 30. 12. 2024 a upravuje poskytovatele služeb souvisejících s kryptoaktivy, zkráceně CASP. Úschova a správa kryptoaktiv jménem zákazníků je v článku 3 první z deseti vyjmenovaných služeb. Nařízení ji definuje jako úschovu nebo řízení kryptoaktiv či prostředků přístupu k nim jménem zákazníků, v příslušných případech formou soukromých kryptografických klíčů.

Povolení právě pro úschovu

Podle článku 59 smí služby v Unii poskytovat jen povolený poskytovatel nebo vyjmenované finanční instituce, například banka či obchodník s cennými papíry, po oznámení dohledu. Povolení se uděluje ke konkrétním službám. Firma, která smí kryptoaktiva směňovat nebo převádět, nemusí mít povolenou úschovu. Poskytovatel úschovy patří do třídy s minimálním kapitálem 150 000 EUR podle přílohy IV.

Smlouva a zásady úschovy

Článek 75 ukládá uzavřít se zákazníkem smlouvu, která obsahuje nejméně totožnost stran, popis služby, zásady úschovy, způsob komunikace včetně systému ověření zákazníka, popis bezpečnostních systémů, poplatky a použitelné právo. Zásady úschovy mají minimalizovat riziko ztráty v důsledku podvodu, kybernetických hrozeb nebo nedbalosti. Jejich shrnutí vám poskytovatel musí na žádost zpřístupnit v elektronické podobě.

Rejstřík pozic a pravidelný výpis

Poskytovatel vede rejstřík pozic každého zákazníka a zapisuje do něj všechny pohyby. Nejméně jednou za tři měsíce, a kdykoli o to požádáte, vám musí dát elektronické prohlášení o pozici se zůstatkem, hodnotou a převody za dané období. Pokud síť projde změnou, při které vzniknou nová kryptoaktiva, máte na ně nárok v rozsahu své pozice, pokud smlouva výslovně nestanoví jinak.

Oddělení majetku klientů

Článek 70 požaduje, aby poskytovatel chránil vlastnická práva klientů, zejména pro případ platební neschopnosti, a nepoužíval jejich kryptoaktiva na vlastní účet. Článek 75 odstavec 7 jde dál: kryptoaktiva klientů musí být v registru držena odděleně od vlastních, právně oddělena od majetku poskytovatele a provozně oddělena. Peníze klientů musí poskytovatel, který není bankou ani platební institucí, uložit u banky nebo centrální banky na odděleném účtu.

Odpovědnost za ztrátu

Poskytovatel odpovídá za ztrátu kryptoaktiv nebo prostředků přístupu v důsledku incidentu, který mu lze připsat. Odpovědnost je omezena na tržní hodnotu ztraceného kryptoaktiva v době ztráty. Recitál 83 výslovně počítá s kybernetickým útokem, krádeží nebo poruchou. Za problém ve fungování samotné sítě, který poskytovatel neovládá, neodpovídá, pokud prokáže, že nastal nezávisle na jeho službě.

Co se stane, když poskytovatel zkrachuje

Úpadek poskytovatele je největší riziko úschovy u třetí strany. Nařízení MiCA na něj odpovídá principem oddělení: kryptoaktiva klientů nejsou majetkem firmy. Podle článku 75 odstavce 7 musí být oddělena tak, aby věřitelé poskytovatele neměli na kryptoaktiva v úschově žádný nárok, zejména v případě platební neschopnosti. Jak se tento princip provede, určuje podle nařízení použitelné právo, tedy právo státu, kde se úpadek řeší.

Česká úprava: zvláštní insolvenční správce

Pro poskytovatele, jehož úpadek se řeší v Česku, doplňuje MiCA zákon o digitalizaci finančního trhu. Podle jeho § 4 jsou svěřenými prostředky kryptoaktiva, prostředky přístupu k nim i peníze svěřené poskytovateli. Nepodléhají exekuci na majetek poskytovatele. Po rozhodnutí o úpadku je zvláštní insolvenční správce vydá klientům bez zbytečného odkladu, a to včetně výnosů.

Když kryptoaktiva nestačí

Pokud v úschově chybí část kryptoaktiv, dostane každý klient poměrný podíl. Nelze-li kryptoaktiva dělit, správce je zpeněží a vydá podíl na penězích. Co zůstane neuhrazeno, se považuje za včas a řádně přihlášenou pohledávku v insolvenčním řízení. Modelově: pokud by poskytovatel měl v úschově jen 90 jednotek určité kryptoměny místo 100, dostal by klient s nárokem na 10 jednotek zhruba 9 a zbytek by vymáhal jako pohledávku.

Žádné pojištění vkladů

Na kryptoaktiva se nevztahují systémy pojištění vkladů, jak výslovně uvádí nařízení MiCA i varování evropských orgánů dohledu. Rozdíl oproti bankovnímu účtu je zásadní, protože u vkladu v bance při jejím selhání náhradu vyplácí garanční systém. Jak funguje ochrana u běžného účtu a na co se nevztahuje, vysvětluje článek o tom, jak funguje pojištění vkladů.

Poskytovatel bez povolení nebo mimo EU

Evropské orgány dohledu upozorňují, že u firem bez povolení v EU a u firem sídlících mimo Unii je vyšší riziko podvodu, špatné správy aktiv i úpadku. Klient se pak nemusí dostat k žádné ochraně a může mít omezenou nebo žádnou možnost aktiva získat zpět. Česká národní banka dodává, že ochrana podle MiCA platí jen vůči konkrétní společnosti se sídlem v EU s povolením, ne vůči jiným firmám ze stejné skupiny.

Konec přechodného období

Přechodné období pro dřívější poskytovatele v Česku skončilo 1. 7. 2026. Česká národní banka v upozornění z června 2026 uvedla, že poskytovatel bez oprávnění musí ukončit činnost a převést kryptoaktiva klientů k oprávněnému poskytovateli nebo do peněženky pod kontrolou zákazníka. Pokud vám dosavadní služba ukončila činnost, sledujte její pokyny a převod proveďte jen přes ověřené kanály.

Jak si ověřit poskytovatele

Před svěřením kryptoměn i během trvání smlouvy doporučuje Česká národní banka ověřovat, zda má poskytovatel oprávnění. Kontrola odhalí firmu, která se tváří jako regulovaná, ale povolení nemá, nebo ho má jiná společnost ze skupiny.

Registr ESMA a seznamy ČNB

Povolení podle MiCA eviduje Evropský orgán pro cenné papíry a trhy v registru poskytovatelů podle MiCA. Česká národní banka vede seznamy poskytovatelů s povolením, poskytovatelů působících na základě oznámení a zahraničních poskytovatelů. Hledejte přesný obchodní název firmy, se kterou uzavíráte smlouvu, ne jen značku z reklamy.

Kterou službu má firma povolenou

Evropské orgány dohledu upozorňují, že subjekt může mít povolení jen k některým činnostem. V registru proto zkontrolujte, zda je mezi povolenými službami úschova a správa kryptoaktiv jménem zákazníků. Pokud tam chybí, firma by kryptoaktiva klientů neměla dlouhodobě držet a pravidla článku 75 pro ni neplatí.

Co si přečíst ve smlouvě

Vyžádejte si shrnutí zásad úschovy a ve smlouvě hledejte, jaké právo se použije, jak se ověřuje vaše totožnost při převodech, jaké poplatky se účtují za výběr a zda poskytovatel využívá další subjekt k úschově. Poskytovatel také musí mít zveřejněný bezplatný postup pro stížnosti. Nabídky se slibem vysokého výnosu za uložení kryptoměn prověřte stejně pečlivě jako jiné investiční nabídky podle toho, jak poznat investiční podvod.

Typy vlastních peněženek

Vlastní peněženka je nástroj na správu klíčů, ne úložiště mincí. Liší se hlavně tím, kde klíč leží a zda je zařízení připojené k internetu. Nařízení MiCA se podle recitálu 83 nemá vztahovat na poskytovatele hardwaru nebo softwaru nehostovaných peněženek. Výrobce peněženky tedy není regulovaný poskytovatel úschovy a za ztrátu vašich kryptoměn podle MiCA neodpovídá.

Hardwarová peněženka

Hardwarová peněženka je malé specializované zařízení, které klíč uchovává mimo počítač a telefon. Transakce se v ní podepisuje a potvrzuje tlačítkem přímo na zařízení, takže klíč neopouští jeho paměť. Chrání dobře proti škodlivému softwaru v počítači. Zařízení kupujte jen z ověřeného zdroje v neporušeném balení a seed frázi si vždy vygenerujte sami, nikdy nepoužívejte frázi přiloženou v balení.

Softwarová peněženka

Softwarová peněženka je aplikace v telefonu, počítači nebo doplněk prohlížeče. Klíč je uložen v zařízení, které je připojené k internetu, proto se jí říká horká peněženka. Je praktická pro menší částky a časté platby. Její bezpečnost stojí na zabezpečení celého zařízení: aktualizacích, zámku obrazovky a na tom, jaké další aplikace a doplňky v něm máte.

Papírová peněženka

Papírová peněženka je vytištěný nebo ručně opsaný klíč či seed fráze uložená offline. Nehrozí jí útok přes internet, zato ji ohrožuje oheň, voda, ztráta nebo nahlédnutí cizí osobou. Problém nastává ve chvíli, kdy chcete prostředky utratit: klíč musíte zadat do nějakého zařízení a tím se papírová peněženka mění na horkou. Generování klíče na počítači připojeném k internetu její smysl ruší.

Seed fráze, hesla a vícefaktorové ověření

Seed fráze je záloha celé peněženky. Kdo ji zná, může peněženku obnovit na libovolném zařízení a převést z ní všechno. Podle specifikace BIP-39, kterou používá většina peněženek, má fráze 12, 15, 18, 21 nebo 24 slov vybraných ze seznamu 2048 slov. Pořadí slov je stejně důležité jako slova samotná.

Jak frázi uložit

Frázi si zapište ručně, offline a čitelně, včetně číslování slov. Nefotografujte ji, neukládejte do poznámek v telefonu, do e-mailu ani do cloudu a nepište ji do žádného webového formuláře. Uložte ji na místě chráněném před ohněm, vodou a zvědavými pohledy. Specifikace upozorňuje, že kontrolní součet fráze je krátký a chybu v opisu neopraví, proto si opis po zapsání pečlivě zkontrolujte.

Doplňkové heslo k frázi

Specifikace BIP-39 umožňuje frázi chránit doplňkovým heslem, anglicky passphrase. Každé heslo vytvoří platnou, ale jinou peněženku, takže kdo najde jen frázi, se ke správným prostředkům nedostane. Zapomenuté doplňkové heslo však nelze obnovit a peněženka s ním je stejně ztracená jako bez fráze. Pokud ho použijete, zálohujte ho odděleně od fráze.

Účet u poskytovatele a vícefaktorové ověření

U úschovy u poskytovatele je slabým místem přihlášení. Evropské orgány dohledu doporučují silné a jedinečné heslo pro každý účet, žádné opakování přihlašovacích údajů a žádné přihlašování přes veřejné nebo nezabezpečené Wi-Fi. Zapněte vícefaktorové ověření, pokud ho poskytovatel nabízí, a pokud můžete, zvolte ověřovací aplikaci nebo bezpečnostní klíč. Nastavte si i seznam povolených adres pro výběr, pokud ho služba umožňuje.

Podvody: falešné peněženky, phishing a drainery

Podvody s kryptoměnami míří na klíče a na podpis. Protože převod na blockchainu nelze vrátit, podvodníkovi stačí jediný okamžik nepozornosti. Evropské orgány dohledu zmiňují phishingové e-maily, sociální inženýrství, škodlivé odkazy a vydávání se za regulované subjekty. U úschovy se opakují tři vzorce.

Falešné peněženky a aplikace

Podvodníci se vydávají za známé služby a přes škodlivé odkazy nabízejí napodobeniny peněženek s podobným názvem a vzhledem. Po zadání seed fráze do falešné aplikace se peněženka vyprázdní. Aplikaci instalujte jen z oficiálního obchodu nebo z adresy, kterou jste si ověřili nezávisle na reklamě, a zkontrolujte vydavatele. Pravá peněženka po vás frázi chce jen při obnově, nikdy při běžném přihlášení.

Phishing a falešná podpora

Typický scénář je e-mail nebo zpráva o zablokovaném účtu, podezřelé transakci či nutné aktualizaci peněženky. Odkaz vede na stránku, která vypadá jako přihlášení k poskytovateli nebo chce seed frázi k ověření. Nikdo legitimní, ani poskytovatel, ani výrobce peněženky, o frázi nežádá. Obecné znaky falešných zpráv a telefonátů popisuje článek jak poznat phishing a vishing. Pokud už jste někomu povolili přístup do počítače, postupujte podle návodu k podvodu se vzdáleným přístupem.

Drainery a podpis oprávnění

Drainer je škodlivý kód na podvodné stránce, která láká na odměnu, bezplatné tokeny nebo ověření peněženky. Nepotřebuje seed frázi, stačí mu váš podpis. Standard tokenů ERC-20 obsahuje funkci approve, která dovoluje jiné adrese vybírat z vašeho účtu opakovaně až do schválené výše. Kdo takové oprávnění podepíše podvodné smlouvě, umožní jí převést tokeny i později, bez dalšího potvrzení.

Jak se drainerům bránit

Nepřipojujte peněženku ke stránkám, na které jste se dostali přes odkaz ze zprávy nebo sociální sítě. Každý požadavek na podpis si v peněžence přečtěte a nepodepisujte nic, čemu nerozumíte, zejména neomezená oprávnění. Na zkoušení nových služeb používejte samostatnou peněženku s malým zůstatkem. Podle standardu ERC-20 nové schválení přepíše to předchozí, takže oprávnění lze zrušit schválením nulové částky. Tokeny, které už odešly, to však nevrátí.

Když už se to stalo

Převod na blockchainu zpět nevezmete, ale můžete zabránit dalším škodám. Zbylé prostředky přesuňte do nové peněženky s novou seed frází, protože stará je prozrazená. U poskytovatele ihned změňte heslo a kontaktujte ho oficiální cestou. Podejte trestní oznámení a dejte si pozor na nabídky vymáhání ztracených kryptoměn. Postup krok za krokem obsahuje článek co dělat po finančním podvodu.

Dědění, nouzový přístup a doklady pro daně

Kryptoměny jsou součástí majetku a přecházejí na dědice. U poskytovatele mají pozůstalí dohledatelnou firmu, se kterou mohou jednat po předložení rozhodnutí z dědického řízení. U vlastní peněženky bez seed fráze se k majetku nedostane nikdo, ani notář, ani dědic, ani soud. Proto je nouzový přístup součástí úschovy, ne až otázkou pro pozůstalé.

Nouzový přístup bez prozrazení fráze

Blízkým stačí vědět, že kryptoměny máte, jaký typ úschovy používáte, u kterých poskytovatelů máte účty a kde hledat zálohu. Samotnou frázi do běžně sdíleného dokumentu nepište. Pokyny lze uložit tak, aby se k nim dotyčný dostal až v případě potřeby, a zmínit je i v pořízení pro případ smrti, jak popisuje článek jak sepsat závěť. Postup pro pozůstalé řeší článek o tom, jak bezpečně převzít kryptoměny v dědictví.

Evidence nákupů a nabývací cena

Při prodeji nebo směně kryptoměny se podle § 10 odst. 4 zákona o daních z příjmů daní příjem snížený o výdaje prokazatelně vynaložené na jeho dosažení. Klíčová je nabývací cena. Evidujte datum, množství, cenu v korunách a poplatky každého nákupu a uchovávejte výpisy. Poskytovatel úschovy vám musí nejméně jednou za tři měsíce vydat prohlášení o pozici, u vlastní peněženky si evidenci vedete sami.

Modelový příklad evidence

Modelová situace s vymyšlenými čísly: v březnu koupíte kryptoměnu za 20 000 Kč, zaplatíte poplatek 200 Kč a po měsíci ji přesunete do vlastní peněženky. Do evidence zapíšete nákup s datem a cenou, poplatek a převod s identifikátorem transakce a oběma adresami. Při prodeji po dvou letech pak doložíte nabývací cenu, poplatek i to, že převod do peněženky nebyl prodejem. Podrobnosti o zdanění vysvětluje článek o zdanění kryptoměn a časovém testu.

Deset kontrol před uložením kryptoměn

Kontrolní seznam shrnuje kroky z předchozích částí. Projděte ho před prvním uložením většího obnosu a znovu, kdykoli měníte poskytovatele nebo peněženku.

1. Víte, kdo drží klíče. Rozlišujete účet u poskytovatele a vlastní peněženku se seed frází.
2. Poskytovatel je v registru. Přesný název firmy, se kterou máte smlouvu, najdete v registru ESMA nebo v seznamech ČNB.
3. Povolení zahrnuje úschovu. Mezi povolenými službami je úschova a správa kryptoaktiv jménem zákazníků.
4. Znáte zásady úschovy. Máte jejich shrnutí a víte, jaké právo se na smlouvu použije.
5. Účet má vícefaktorové ověření. Heslo je jedinečné a přihlašujete se jen z vlastních zařízení.
6. Seed fráze je zapsaná offline. Žádná fotografie, cloud ani e-mail, kopie jsou na oddělených bezpečných místech.
7. Obnova je vyzkoušená. Peněženku jste ze zálohy obnovili dřív, než jste do ní poslali větší částku.
8. Nové adresy testujete malou částkou. Adresu a síť kontrolujete před každým odesláním.
9. Nepodepisujete nic, čemu nerozumíte. Neomezená oprávnění pro neznámé stránky neudělujete.
10. Evidence a nouzový přístup jsou připravené. Máte záznamy o nákupech a blízcí vědí, kde hledat pokyny.

Nejčastější otázky: úschova kryptoměn

Odpovědi shrnují pravidla nařízení MiCA, českého zákona o digitalizaci finančního trhu a doporučení evropských orgánů dohledu ke dni vydání článku.

Je bezpečnější mít kryptoměny u poskytovatele, nebo ve vlastní peněžence?

Obecně bezpečnější varianta neexistuje, liší se druh rizika. U poskytovatele nesete riziko jeho selhání, hacku nebo zablokování účtu, ale máte ochranu podle MiCA a možnost obnovit přístup. U vlastní peněženky odpadá riziko třetí strany, zato ztráta seed fráze nebo podpis podvodné transakce znamená obvykle nevratnou ztrátu bez možnosti náhrady. Volba závisí na tom, které riziko dokážete řídit.

Co se stane s mými kryptoměnami, když poskytovatel zkrachuje?

Podle MiCA musí být kryptoaktiva klientů právně oddělena od majetku poskytovatele, aby na ně věřitelé neměli nárok. U poskytovatele, jehož úpadek se řeší v Česku, je podle § 4 zákona o digitalizaci finančního trhu vydá klientům zvláštní insolvenční správce. Pokud kryptoaktiva nestačí, dostane každý poměrný podíl a zbytek se uplatní jako pohledávka.

Vztahuje se na kryptoměny pojištění vkladů?

Ne. Nařízení MiCA i společné varování evropských orgánů dohledu výslovně uvádějí, že se na kryptoaktiva nevztahují systémy pojištění vkladů. To platí i u poskytovatele s povolením a i tehdy, když je poskytovatelem banka. Ochrana stojí na oddělení majetku klientů a na odpovědnosti poskytovatele za zaviněnou ztrátu, ne na garančním fondu.

Odpovídá poskytovatel za krádež kryptoměn při útoku hackerů?

Podle článku 75 nařízení MiCA odpovídá poskytovatel úschovy za ztrátu kryptoaktiv v důsledku incidentu, který mu lze připsat, a nařízení výslovně počítá i s kybernetickým útokem. Odpovědnost je omezena na tržní hodnotu kryptoaktiva v době ztráty. Pokud útočník získá přístup přes vaše vyzrazené heslo, poskytovatel může tvrdit, že incident nezavinil.

Jak poznám, že aplikace v telefonu je skutečná vlastní peněženka?

Skutečná vlastní peněženka při založení vygeneruje seed frázi a vyzve vás k jejímu zapsání. Přístup pak obnovujete jen z této fráze. Pokud se do aplikace přihlašujete e-mailem a heslem, zapomenuté heslo obnovujete přes ověření totožnosti a žádnou frázi jste nikdy neviděli, jde o účet u poskytovatele, který drží klíče za vás.

Co dělat, když jsem seed frázi zadal na podvodné stránce?

Peněženku považujte za prozrazenou. Okamžitě založte novou peněženku s novou seed frází a převeďte do ní všechny zbylé prostředky, protože útočník může kdykoli převést vše sám. Starou peněženku už nepoužívejte. Podejte trestní oznámení a nevěřte nabídkám, které za poplatek slibují vrácení ukradených kryptoměn, protože bývají dalším podvodem na tutéž oběť.

Zdroje: nařízení (EU) 2023/1114 o trzích kryptoaktiv (MiCA), zákon č. 31/2025 Sb., o digitalizaci finančního trhu, Česká národní banka, konec přechodného období podle MiCA, společné varování ESMA, EBA a EIOPA ke kryptoaktivům, ESMA, registr podle MiCA, specifikace BIP-39, standard tokenů ERC-20, zákon č. 586/1992 Sb., o daních z příjmů