Zonda: portfel zasilony rezerwami BitBay opróżniono w 2022 r. 5 750 BTC poszło na BitMEX

Zonda: portfel zasilony rezerwami BitBay opróżniono w 2022 r. 5 750 BTC poszło na BitMEX

2026.11.14 Autor: Robert Nogacki

7 marca 2022 r., trzy dni przed zaginięciem Sylwestra Suszka, w portfelu zasilonym rezerwami giełdy BitBay leżało 8 216 bitcoinów (BTC), wartych wtedy ponad miliard złotych. Do 12 marca opróżniono go do zera.  Zbieżność tych przelewów z zaginięciem założyciela giełdy jest niezwykła i przed tym tekstem nikt jej publicznie nie wskazał. Wiosną 5 750 BTC poszło z nowych portfeli na adresy wpłat giełdy BitMEX. W grudniu ostatnie 915 BTC, które widać jeszcze w jednym miejscu, zaczęło wychodzić porcjami po kilkadziesiąt monet, a jedną z tych porcji prześledziłem do transakcji mieszającej, która zaciera ślady. Adres, który prezes Zondy pokazał 16 kwietnia 2026 r. jako zimny portfel giełdy, nie wysłał przez ten czas ani jednej monety.

 

O co chodzi: giełda, założyciel i adres, który milczy

Zonda, wcześniej BitBay, była największą polską giełdą kryptowalut. Założyli ją w 2014 r. w Katowicach Sylwester Suszek i dwaj wspólnicy. Klienci trzymali na niej złotówki i kryptowaluty podobnie jak pieniądze na rachunku: giełda miała je przechowywać i oddać na żądanie. W kwietniu 2026 r. przestała wypłacać. W sierpniu sąd w Tallinnie ogłosił upadłość jej estońskiego operatora.

Giełda nie trzyma wszystkich bitcoinów klientów pod ręką. Niewielką część ma w portfelu bieżącym, z którego codziennie wypłaca. Resztę powinna trzymać w rezerwie odciętej od sieci, nazywanej zimnym portfelem. 16 kwietnia 2026 r. prezes Zondy Przemysław Kral pokazał adres, na którym leży około 4 503 bitcoinów, i oświadczył, że to zimny portfel giełdy, a kluczy do niego Sylwester Suszek nie przekazał. Suszek zaginął 10 marca 2022 r. i do dziś go nie odnaleziono.

Tym adresem zajmowałem się w trzech wcześniejszych tekstach. W kwietniu pokazałem, że nie zachowuje się jak zimny portfel: rezerwa giełdy pracuje, czyli w dobrych czasach przyjmuje nadwyżki, a w złych je oddaje, tymczasem z tego adresu od 2016 r. nic nie wyszło. Potem opisałem jego dziesięć lat ciszy. We wrześniu opisałem oświadczenie z czerwca 2025 r., w którym prezes poświadczył u notariusza dostęp do tego adresu. Trudno to pogodzić z opowieścią o kluczach, które zniknęły razem z założycielem.

W tamtym tekście zostawiłem dwa warianty. W pierwszym BitBay nie miała rezerwy od 2016 r. W drugim rezerwa istniała i zniknęła w 2022 r., a wtedy „musimy znaleźć na blockchainie ponad miliard złotych środków klientów”. Ten tekst idzie drugim śladem. Pytanie jest proste: skoro adres pokazany przez prezesa nie był pracującą rezerwą, to gdzie ona była i co się z nią stało.

Odpowiedź ma znaczenie praktyczne. Według własnych arkuszy spółki klientom należało się na koniec 2024 r. 2 887 bitcoinów, a w masie upadłości prawie nic nie ma. Jeżeli rezerwa istniała i ktoś ją wyprowadził, to wiadomo, kogo pytać i czego szukać.

 

Jak czytam rejestr i czego w nim nie widać

Bitcoin nie ma banku, który prowadzi rachunki. Jest za to jeden publiczny rejestr, blockchain, w którym od 2009 r. zapisuje się każdy przelew: skąd, dokąd, ile i kiedy. Rejestru nie da się poprawić wstecz i każdy może go przeczytać, także po latach. Najmniejszą jednostką jest satoshi, stumilionowa część bitcoina.

Rejestr nie zna nazwisk. Zna adresy, czyli ciągi znaków podobne do numerów rachunków. Jedna osoba albo firma używa zwykle wielu adresów. Bazy takie jak WalletExplorer łączą je w portfele, fachowo klastry, według prostej reguły: jeżeli dwa adresy wspólnie sfinansowały jeden przelew, to najpewniej rządzi nimi ta sama ręka. To mocna poszlaka, nie dowód. Gdy piszę „portfel”, mam na myśli taką grupę adresów.

Trzy rzeczy ułatwią lekturę. Po pierwsze, przelew w bitcoinie działa jak płacenie banknotem: wydaje się całą „monetę”, a niewydana część wraca do nadawcy jako reszta, zwykle na nowy adres. Po drugie, monety po drodze dzielą się i łączą, więc ślad się rozgałęzia. Miejsce, w którym zbiega się ich najwięcej, nazywam węzłem. Po trzecie, część adresów wymaga do przelewu kilku kluczy naraz, a część jednego. Te pierwsze nazywa się wielopodpisowymi.

Trop zaczyna się z innej strony niż adres prezesa. We wrześniu wyszedłem od portfela, z którego giełda wypłacała klientom bitcoiny, i poszedłem pod prąd, do portfeli, które go zasilały. Główny z nich w grudniu 2017 r. zasilił także portfel opisany w tym tekście. Dalej idę już z prądem: patrzę, dokąd ten portfel wysyłał monety i dokąd szły one stamtąd.

Wszystko, co niżej, każdy może sprawdzić sam: odesłania prowadzą do publicznej bazy WalletExplorer, daty podaję w czasie uniwersalnym. Rejestr pokazuje portfele, nie ludzi. Nie wiem, kto trzymał klucz.

 

Portfel powstał w dniu szczytu hossy

Pierwsza transakcja tego portfela to jeden bitcoin z 17 grudnia 2017 r., z dnia, w którym kurs ustanowił ówczesny rekord. Wygląda na próbę: tego samego dnia jeden bitcoin wszedł jeszcze raz i jeden wyszedł. Od 18 do 21 grudnia przyszły 1, 100, 400 i 500 BTC z klastra, który we wrześniowym tekście opisałem jako głównego żywiciela portfela wypłatowego BitBay. Potem przyszły partie po 400 i 500 BTC z adresów wielopodpisowych, między innymi z klastra znanego z tamtego tekstu. Jedna z takich transakcji, z 27 grudnia, zostawiła nadawcy niecałe 50 BTC reszty.

23 marca 2018 r. w portfelu było 13 579 BTC, a pięć ostatnich partii liczyło 501, 502, 503, 504 i 505 monet, jakby ktoś je numerował. 16 lipca 2018 r. saldo doszło do 18 691 BTC.

To wygląda na przenosiny rezerw giełdy. W sprawdzonym przykładzie 500 BTC przeszło przy tym z wyjść wymagających dwóch z trzech podpisów na wyjście, które później wydano jednym podpisem. Rezerwę, której pilnowało kilka kluczy, przeniesiono tam, gdzie wystarczał jeden. Zapewne dla wygody.

 

Certyfikat mówił 4 513,93 BTC. W portfelu leżało 11 331

W 2021 r. Sylwester Suszek podpisał certyfikat rezerw, czyli oświadczenie giełdy o tym, ile kryptowalut przechowuje. Podaje on na koniec 2020 r. 4 513,93 BTC w zimnych portfelach. Druga część portfela, o którym piszę, miała w tym samym dniu 11 331 BTC, dwa i pół raza więcej. Poświadczona liczba jest za to bliska saldu adresu 16aEn4p6: różni się od niego o niespełna 11 bitcoinów. Jeśli certyfikat opisywał tamten adres, portfela z 11 331 BTC w nim nie ma. Jak na dokument z certyfikatem w nazwie, byłoby to sporo. Która liczba opisywała rezerwę klientów, tego rejestr nie powie.

Powie co innego. Co najmniej od jesieni 2020 r. portfel co kilka dni lub tygodni wysyłał 20 do 200 BTC do jednego portfela pośredniego. Stamtąd monety szły dalej, częściowo przez kolejny portfel przelotowy, na adresy, które baza opisuje etykietami giełd Huobi i Kraken, oraz do dużego klastra bez nazwy. Według mojego zliczenia od października 2020 r. do marca 2022 r. wyszło tą drogą ponad 2 000 BTC. Portfel wypłatowy giełdy, jak pokazałem we wrześniu, zasilał się w 2020 r. skądinąd.

 

Trzy dni przed zaginięciem: 22 przelewy

6 marca 2022 r. rano portfel wysłał jeszcze rutynowe 50 BTC, a dwie godziny później 765 BTC, które nazajutrz wróciły z naddatkiem. 7 marca wieczorem miał 8 216 BTC i zaczął się opróżniać. Do 9 marca wyszło 20 przelewów, 12 marca o 6:16 dwa ostatnie. Po drodze dopłynęły jeszcze 322 BTC i też wyszły. W portfelu zostało 4 914 satoshi, wartych wtedy kilka złotych. Kwoty nie były już okrągłe: 787, 376, 456, 476, 765, 345, 543. Niemal wszystkie monety trafiły do nowych portfeli z adresami nowszego typu. W największym zebrało się 4 830 BTC.

Sylwester Suszek był widziany po raz ostatni 10 marca 2022 r., w czwartek, na stacji paliw w Czeladzi. Portfel zdążył przed nim, a dwa ostatnie przelewy zapisano w rejestrze w sobotę.

Portfel, który istniał od ponad czterech lat, w pięć dni oddał wszystko, co miał, i zrobił to w tygodniu, w którym zaginął założyciel giełdy. Cztery lata leżało to w publicznym rejestrze, widoczne dla każdego, kto wiedział, na który portfel patrzeć.

W kwietniu pokazałem na rejestrach handlowych czterech krajów, że w chwili zniknięcia Suszek nie pełnił już żadnej funkcji w spółkach prowadzących giełdę. Napisałem wtedy, że jeśli było to zaginięcie, to wyjątkowo profesjonalnie przygotowane. Rejestr bitcoina dopisuje do tych przygotowań jeszcze jedną pozycję: portfel uporządkowano na trzy dni przed. Kto porządkował, tego rejestr nie mówi.

 

Wiosną 5 750 BTC poszło na adresy BitMEX

BitMEX prowadził w 2022 r. giełdę instrumentów pochodnych, na której gra się na wzrost albo spadek kursu, zwykle za pożyczone pieniądze. Jego adresy wpłat zaczynały się od znaków 3BMEX. 19 marca 2022 r. na taki adres trafiło 500 BTC, 15 czerwca 1 000 BTC. Takich przelewów było od 18 marca do 15 czerwca dziesięć, na trzy adresy, razem 5 750 BTC, z czego 3 300 między 13 a 15 czerwca, gdy rynek się załamywał. To suma wpłat brutto, nie strata. 20 czerwca 500 BTC wróciło. Co działo się na rachunku, rejestr nie pokazuje: zabezpieczenie pozycji, sprzedaż i strata wyglądają z zewnątrz tak samo.

Pierwsza w 2022 r. wpłata na jeden z tych adresów nie wyszła jednak z nowych portfeli. 6 marca 2022 r., dzień przed rozpoczęciem opróżniania i cztery dni przed zaginięciem, 100 BTC poszło tam jeszcze ze starego portfela, z reszty po jednej z jego wcześniejszych transakcji. Pozostałe 241 BTC z tej reszty wróciło do portfela. Ten sam adres przyjął potem 400, 400 i 1 000 BTC.

Kolejne co najmniej 1 474 BTC poszło między 9 marca a 8 maja do dużego klastra bez etykiety, który zachowuje się jak giełda. 13 sierpnia 2022 r. w największym węźle, jaki znalazłem, było 1 737 BTC.

Nowy portfel zachował przy tym stare zwyczaje. 25 kwietnia i 6 czerwca wysłał po 50 BTC do tego samego portfela pośredniego, który stary portfel zasilał od 2020 r., a 28 marca i 10 maja mniejsze kwoty do znanego już portfela przelotowego. Zmieniły się adresy, rytm został. 11 kwietnia 6,76 BTC, a 4 maja 43,3137 BTC trafiło na jeden adres, który baza zalicza do klastra opisanego jako CoinJoinMess. To etykieta bazy, nie dowód mieszania.

Rezerwa giełdy na rachunku innej giełdy: klienci Zondy znają to uczucie.

 

Grudzień 2022 r.: porcje po 50 BTC i transakcja mieszająca

Jesienią ubywało powoli, po 20 do 40 BTC. 7 grudnia zostało 915,5 BTC i rytm się zmienił. Porcje po kilkadziesiąt BTC zaczęły wychodzić kilka razy dziennie, każda na świeży adres: 9 grudnia cztery, na 50, 48,5, 42,99 i 52,25 BTC. 12 grudnia o 17:01 zostało 504 BTC, a nazajutrz wyszła z nich kolejna porcja, 48,865 BTC.

Ostatnią z porcji z 9 grudnia prześledziłem dalej. Po 40 minutach weszła do transakcji z ponad dwustu wyjściami, w tym jedenastoma po 11,62261467 BTC. To 3 do potęgi 19, liczone w satoshi. Takich nominałów używa CoinJoin w portfelu Wasabi 2.0: wielu uczestników wkłada monety do jednej transakcji i wyjmuje je w identycznych porcjach, co utrudnia wskazanie, która jest czyja. Sprawdziłem jedną porcję. O pozostałych wnioskuję z wzorca.

15 grudnia opróżniono stary portfel pośredni, 23 grudnia z węzła wyszła resztka, 94,8 BTC. Dalsze transakcje są publiczne, ale po rozgałęzieniach i mieszaniu nie da się już rzetelnie przypisać kwot do tej puli.

Tymczasowy zarządca, którego estoński sąd powołał przed ogłoszeniem upadłości, datuje możliwą trwałą niewypłacalność spółki na koniec 2022 r., od utraty dostępu do zimnego portfela, o czym pisałem przy odpowiedzi Krala dla syndyka. Zbieżność dat nie dowodzi związku: spółka mówi o adresie 16aEn4p6, ja o innym portfelu. Rejestr pokazuje jednak, że w miesiącu, na który datuje się utratę dostępu, z portfela zasilonego rezerwami giełdy ktoś wydawał po kilkadziesiąt bitcoinów dziennie.

 

Co z tego wynika

Są dwa główne odczytania i żadne nie jest wygodne.

W pierwszym był to zimny portfel giełdy, tylko pod jednym kluczem. Wtedy rezerwa klientów istniała do marca 2022 r. i w dziewięć miesięcy rozeszła się po giełdach i mikserze.

W drugim rezerwy BitBay wyszły z giełdy już zimą 2017 r. i od tamtej pory były czyimś prywatnym majątkiem. Wtedy pytanie brzmi, na jakiej podstawie.

Nie wykluczam trzeciego: portfela innego podmiotu, który rozliczał się z giełdą. Przeciw niemu przemawia to, skąd przyszły pierwsze pieniądze.

Jest jeszcze wyjaśnienie najprostsze: giełda przenosiła rezerwę do profesjonalnego systemu przechowywania. Sprawdziłem je na tyle, na ile pozwalają dostępne dane. Zonda korzystała od wiosny 2021 r. z systemu Fireblocks, czyli oprogramowania do przechowywania kryptowalut pod kilkoma zabezpieczeniami, oraz z depozytariusza BitGo, firmy, która przechowuje je za klienta. Z eksportów Fireblocks, które są w dokumentach postępowania upadłościowego, wynika, że adresy bitcoinowe miały tam wtedy dwa skarbce firmowe giełdy, jak nazywają się tam wydzielone portfele. Dwa adresy nowych portfeli, które z nimi porównałem, do żadnego z nich nie należą. To test częściowy. BitGo trzymał wtedy bitcoiny w portfelach wielopodpisowych, a nowe portfele to adresy pod jeden podpis. Monety nie leżały też tam, gdzie trafiły: po tygodniu zaczęły płynąć na BitMEX, a jedna z grudniowych porcji weszła do transakcji mieszającej, w której uczestniczy się z własnego portfela. Profesjonalne przechowywanie tak nie wygląda.

Do tych odczytań pasują jeszcze dwa dokumenty z tego samego postępowania. Z umów wynika, że w 2020 r. giełda pożyczyła Sylwestrowi Suszkowi i jego spółce z Emiratów co najmniej 500 tys. euro i ponad 3 mln zł, na procent. Drugie odczytanie musi wyjaśnić, po co właściciel jedenastu tysięcy bitcoinów pożyczał od własnej giełdy. Z wyciągów wynika z kolei, że w czerwcu 2023 r., piętnaście miesięcy po zaginięciu, na rachunek giełdy w szwajcarskim banku wpłynęło 1,04 mln euro i 1,32 mln zł z rachunku prowadzonego na nazwisko Suszka. Klucze do portfela nie były więc jedyną rzeczą, której ktoś używał po 10 marca 2022 r.

W każdym z tych odczytań ktoś miał klucze po 10 marca 2022 r. i używał ich przez dziewięć miesięcy. Opowieść o kluczu, który zaginął z założycielem, nie opisuje tego portfela. Opisuje adres 16aEn4p6, z którego nic nigdy nie wyszło.

W kwietniu tłumaczyłem, po czym poznać zimny portfel giełdy: w hossie przyjmuje nadwyżki, w bessie je oddaje. Adres z nagrania nie robił ani jednego, ani drugiego, stąd dziesięć lat ciszy. Ten portfel robił jedno i drugie, aż oddał wszystko. Druga hipoteza tamtego śledztwa brzmiała: Zonda nigdy nie miała kluczy do adresu 16aEn4p6. Dziś wiadomo przynajmniej, do którego portfela ktoś klucze miał.

Skala: według własnych arkuszy spółki klientom należało się na koniec 2024 r. 2 887 BTC, a u depozytariusza leżało ich 60. Niemal całą resztę wykazywanego pokrycia stanowił adres 16aEn4p6. Portfel, o którym piszę, miał w marcu 2022 r. prawie trzy razy więcej, niż wynosił ten dług. W sierpniu w największym węźle, jaki znalazłem, było już mniej.

 

Czego nie wiem

  1. Kto trzymał klucz i kto wykonał przelewy z marca i grudnia 2022 r.
  2. Czyje są rachunki BitMEX i ile monet z nich wróciło.
  3. Co stoi za dużym klastrem bez etykiety.
  4. Jak rezerwa stopniała z 18 691 BTC w 2018 r. do 11 331 BTC w 2020 r.: wypłatami klientów czy inaczej.
  5. Czy prześledziłem wszystkie gałęzie. Liczby z sierpnia i grudnia dotyczą głównego węzła.
  6. Kto kontrolował dalsze wyjścia z gałęzi 504 BTC.
  7. Czy żaden z adresów nowych portfeli nie należy do skarbców giełdy w Fireblocks. Sprawdziłem dwa.
  8. Skąd pochodziły wpłaty, które te same adresy BitMEX przyjmowały wiosną 2020 r.

Grupowanie adresów w portfele to reguła przyjęta przez bazę: mocna poszlaka, nie dowód własności.

 

Kto może to zamknąć w tygodnie

BitMEX identyfikuje klientów tak jak bank: wymaga dokumentu tożsamości. Wie, kto jest posiadaczem rachunków z adresami 3BMEX5L5ug17eBFD3iXtYjQQ8TS1CpxMFR, 3BMEX6HKjHSyp4mTuGVWBsuJg3oQTjGePt i 3BMEXniirhvGm3rfmZo49J1duij8rg3rmJ, kto logował się na nie wiosną 2022 r. i dokąd wypłacił środki. Rachunki nie powstały po zaginięciu: te same adresy przyjmowały wpłaty już wiosną 2020 r., a na dwa z nich wpłynęło wtedy blisko 1 300 BTC. Syndyk i prokuratura mają władzę o to zapytać. Syndyk może też wyeksportować z Fireblocks i BitGo historię transakcji z marca 2022 r.: jeśli rezerwa tam trafiła, będzie to widać. Obie drogi są krótsze niż szukanie klucza do adresu, który od dziesięciu lat milczy.

We wrześniu napisałem, że prawdziwego zimnego portfela nikt nie szuka, bo wszyscy patrzą na zły adres. Teraz wiadomo przynajmniej, gdzie patrzeć i od której daty.

Pozostałe teksty kancelarii o tej sprawie zebrane są na stronie Zonda (Zondacrypto): afera, upadłość i pomoc prawna.

 

Aneks: materiał do samodzielnej weryfikacji

  1. Portfel z rezerwami, część pierwsza (17.12.2017 do 11.05.2020): 031df371ef7abacf.
  2. Portfel z rezerwami, część druga (do 12.03.2022): 007e1caaf24bbe2a.
  3. Portfel pośredni (do 15.12.2022): c025431df50f71cc.
  4. Nowe portfele z marca 2022 r.: 2b9e66e02169aa79, 3f5821dc616edde8.
  5. Klaster z adresem 3BMEX5L5…: 0b4018c6bd68b59b.
  6. Węzły z czerwca i sierpnia 2022 r.: 189e68d9092c3b6d, 4727901dd572a90e.
  7. Grudzień 2022 r., kolejne ogniwa: 2218e78c0142ed37, ec8338a59838e415, fbe27f47f9a20dd6.
  8. Dwie transakcje z wyjściem na adres, który baza zalicza do klastra CoinJoinMess: 11 kwietnia 2022 r., 4 maja 2022 r..
  9. Adresy bitcoinowe dwóch skarbców firmowych giełdy w Fireblocks istniejących w marcu 2022 r.: 19FjLStz9V2j1uzcWfuqu6FXwcnHxMaUJN i bc1qt29zkcfzyfhgpu8vjqeeuglxx32k5hg578acgn oraz 165cHABRGQ2LbxXw2FLGMfebW2LGCRFKLS i bc1qx7mmm60v0t3gsz2np3qfunje9xu5jnt39wc55q. Porównałem z nimi dwa adresy nowych portfeli: bc1qh368avg9wjrmun9p7sr53wtwlmyveda6axfczv i bc1q7nfytvt2hltuj9h54l3qsujswj5g6f9w7v9tzr.
  10. Wpłaty na adresy BitMEX w 2022 r.: 6 marca 100 BTC, 18 marca 500, 19 marca 500, 12 kwietnia 500, 8 maja 400 i 150, 16 maja 400, 13 czerwca 1 000, 15 czerwca 1 000, 800 i 500.

Sprawa Zondacrypto

Sprawą Zondacrypto zajmują się organy w kilku państwach, a losu powierzonych środków nikt dziś nie potrafi przewidzieć. Reprezentujemy poszkodowanych i dbamy o ich pozycję w toczących się postępowaniach.

Sprawdź, jak możemy pomóc