Czy Bitcoin jest anonimowy i jakie ma to implikacje prawne? Co blockchain mówi o Twoich transakcjach?
W grudniu 2020 roku człowiek posługujący się pseudonimem PapaLegba napisał na szyfrowanym komunikatorze, że lepiej odsiedzieć pięć lat w Niemczech niż dożywocie w Stanach. Prowadził wówczas Versus Project, platformę dark webu z 380 tysiącami zarejestrowanych użytkowników, i mieszkał w rybackiej miejscowości na karaibskim wybrzeżu Kolumbii. Serwery chował za Torem, płatności przyjmował w Bitcoinie i Monero, pracownikom płacił wyłącznie w Monero. 29 kwietnia 2026 roku Patrick Schmitz, bo tak nazywa się PapaLegba, został wydany Stanom Zjednoczonym. Tę sprawę opisałem szerzej w tekście Cyberprzestrzeń ma adres zwrotny; tutaj interesuje mnie coś innego.
Interesuje mnie czytelnik, który nie prowadzi darknetowego bazaru. Ma konto na giełdzie, portfel sprzętowy w szufladzie i przekonanie, wyniesione z 2013 roku, że Bitcoin jest anonimowy. Nie jest. Był co najwyżej pseudonimowy, a od kilku lat przestaje być nawet tym. Poniżej odpowiadam na trzy pytania: co łańcuch ujawnia, kto potrafi to odczytać oraz co z tym odczytem robi prawo, polskie i unijne, według stanu na wrzesień 2026 roku.
Pseudonimowość to nie anonimowość
Blockchain Bitcoina jest jawnym rejestrem. Każda transakcja od stycznia 2009 roku jest zapisana na stałe i dostępna dla każdego, kto otworzy publiczny eksplorator. Rejestr nie zna imion, zna adresy, ciągi znaków pełniące rolę pseudonimów. Anonimowość kończy się w chwili, w której pseudonim da się połączyć z osobą, a da się to zrobić na kilka sposobów i żaden z nich nie wymaga łamania kryptografii.
Pierwszy sposób to punkty styku z regulowanym światem. Giełda, na której kupujesz Bitcoina, zna Twoje imię, numer dokumentu i rachunek bankowy, bo wymaga tego prawo. Zna też adres, na który wypłaciłeś środki. Od tej chwili ten adres ma właściciela, a wraz z nim ma go wszystko, co z tego adresu wyjdzie i co do niego wróci.
Drugi sposób to heurystyki klastrowania. Jeżeli jedna transakcja wydaje środki z kilku adresów naraz, analityk zakłada, że wszystkie należą do tego samego portfela. Adres, na który wraca reszta, przypisuje temu samemu właścicielowi. Adres użyty dwukrotnie łączy dwie historie w jedną. Firmy takie jak Chainalysis, TRM Labs czy Elliptic budują na tych regułach rozległe bazy atrybucji, zasilane danymi z giełd, z postępowań karnych i ze źródeł ogólnodostępnych: forów, mediów społecznościowych, adresów do darowizn publikowanych pod własnym nazwiskiem.
Trzeci sposób jest najmniej intuicyjny i najgroźniejszy: czas pracuje przeciwko pseudonimowi. Transakcja z 2017 roku, wówczas nieprzypisana nikomu, zostaje przypisana w 2026 roku, kiedy jeden z adresów w łańcuchu trafi na giełdę z KYC albo pojawi się w aktach jakiejś sprawy. Bank przechowuje dokumentację przez ustawowe pięć lat; blockchain przechowuje ją wiecznie, a bazy atrybucji rosną wstecz. Kto planuje prywatność na dziś, planuje ją wyłącznie na dziś.
W sprawie zondacrypto widać to jak na dłoni. Przepływy z portfeli giełdy śledzą dziś równolegle syndyk, prokuratura, pełnomocnicy poszkodowanych i anonimowi użytkownicy platformy X, wszyscy na tym samym publicznym eksploratorze. Do czytania łańcucha nie potrzeba uprawnień, potrzeba cierpliwości.
Kto czyta łańcuch?
Praktyczne znaczenie mają trzy grupy czytelników.
Organy ścigania. Narzędzia klasy Chainalysis Reactor czy TRM są dziś standardowym wyposażeniem śledczych po obu stronach Atlantyku, a analiza przepływów trafia do akt jako opinia biegłego. W sprawie Versus najbardziej obciążające dowody pochodziły z czatów samego oskarżonego, ale analiza blockchainu leżała w aktach obok nich. Według raportu Chainalysis z 2026 roku adresy powiązane z przestępczością otrzymały w 2025 roku co najmniej 154 miliardy dolarów, a mimo tej rekordowej kwoty udział nielegalnego obrotu w całym przypisanym wolumenie pozostał poniżej jednego procenta. Ta dysproporcja ma dwie strony: przestępczość jest marginesem rynku, ale margines w całości siedzi w tym samym jawnym rejestrze, co Twoje oszczędności.
Same giełdy. Dostawcy usług w zakresie kryptoaktywów prowadzą screening transakcji, a od 30 grudnia 2024 roku stosują unijne rozporządzenie 2023/1113, znane jako travel rule: każdy transfer między dostawcami niesie dane nadawcy i odbiorcy bez jakiegokolwiek progu kwotowego, a przy transferach powyżej 1 000 euro na adres niepowierniczy lub z takiego adresu giełda musi ustalić, czy portfel należy do jej klienta. W praktyce wpłata z adresu, który analityka giełdy uzna za skażony (mikser, darknet, sankcje), kończy się blokadą i pytaniem o pochodzenie środków, niezależnie od tego, czy klient wiedział, jaką historię mają monety, które przyjął.
Administracja skarbowa. Od 1 stycznia 2026 roku stosuje się dyrektywę DAC8 (2023/2226), wdrożoną w Polsce ustawą z 13 lutego 2026 roku. Giełdy i inni dostawcy zbierają dane o rezydencji podatkowej klientów oraz roczne zestawienia ich transakcji. Pierwsze raporty, za rok 2026, trafią do Szefa Krajowej Administracji Skarbowej w 2027 roku, a wymiana między administracjami państw członkowskich nastąpi do końca września 2027 roku. Obejmuje to giełdy zagraniczne obsługujące polskich rezydentów. Urząd skarbowy nie musi już pytać, czy handlujesz kryptowalutami. Dostanie zestawienie.
Co z tego wynika prawnie?
Prawo karne. Samo korzystanie z narzędzi podnoszących prywatność, takich jak CoinJoin, miksery czy kryptowaluty prywatnościowe, nie jest w Polsce przestępstwem. Przestępstwem jest pranie pieniędzy z art. 299 Kodeksu karnego, a to wymaga środków pochodzących z czynu zabronionego. Problem leży gdzie indziej: zmieszane monety odwracają w praktyce ciężar dowodu. Giełda, bank i organ podatkowy zapytają o źródło, a ślad, który miał chronić prywatność, uniemożliwia odpowiedź. Operatorzy takich usług ścigani są konsekwentnie. Twórcy Samourai Wallet zostali w listopadzie 2025 roku skazani w Nowym Jorku na pięć i cztery lata pozbawienia wolności za prowadzenie nielicencjonowanej działalności w zakresie transferu pieniędzy; przez ich mikser przeszło ponad 80 tysięcy Bitcoinów. Roman Storm z Tornado Cash został w sierpniu 2025 roku uznany za winnego tego samego zarzutu; co do prania pieniędzy i naruszenia sankcji ława przysięgłych nie osiągnęła jednomyślności, a prokuratura zmierza do ponownego procesu. Alexey Pertsev, deweloper Tornado Cash, usłyszał w Holandii w maju 2024 roku wyrok 64 miesięcy pozbawienia wolności, od którego się odwołał.
Unia dopisuje do tego datę. Rozporządzenie 2024/1624, czyli AMLR, w art. 79 zakazuje instytucjom kredytowym, finansowym i dostawcom usług kryptoaktywów prowadzenia anonimowych rachunków oraz rachunków pozwalających na anonimizację lub zwiększone zaciemnienie transakcji, w tym za pomocą kryptowalut zwiększających anonimowość. Przepis stosuje się od 10 lipca 2027 roku. Posiadanie Monero we własnym portfelu pozostanie legalne; regulowany rynek europejski przestanie je obsługiwać. Kto trzyma takie aktywa na giełdzie, ma niecały rok na decyzję, gdzie i jak je przenieść.
Prawo podatkowe. Dochód ze sprzedaży kryptowalut opodatkowany jest stawką 19 procent (art. 30b ust. 1a ustawy o podatku dochodowym od osób fizycznych), a zamiana jednej kryptowaluty na inną jest neutralna. Kosztem są wyłącznie udokumentowane wydatki bezpośrednio poniesione na nabycie (art. 22 ust. 14). Tu anonimowość obraca się przeciw podatnikowi: kto nie potrafi udokumentować, za ile kupił, płaci 19 procent od całej kwoty sprzedaży. Kto nie wykaże dochodu, a raport DAC8 wykaże obrót, ryzykuje postępowanie w sprawie nieujawnionych źródeł przychodów ze stawką 75 procent (art. 25e). Blockchain jest w tym układzie także dowodem podatnika: identyfikatory transakcji, eksporty historii z giełd i potwierdzenia przelewów to dokumentacja, którą urząd przyjmie bez dyskusji, i jedyna, jaka istnieje.
Ochrona danych. Europejska Rada Ochrony Danych przyjęła 7 lipca 2026 roku ostateczną wersję wytycznych 02/2025 w sprawie przetwarzania danych osobowych w technologiach blockchain. Metadane i treść transakcji, w tym klucze publiczne, są co do zasady danymi osobowymi w rozumieniu RODO, także gdy są zaszyfrowane lub zahaszowane. Dla użytkownika to paradoks: prawo uznaje jego adresy za dane osobowe i zarazem nie potrafi nakazać ich usunięcia, bo łańcuch tego nie przewiduje. Prawo do bycia zapomnianym kończy się na krawędzi bloku.
Na marginesie stanu prawnego: Polska wciąż nie ma ustawy wdrażającej MiCA. Prezydent zawetował ją po raz trzeci 11 czerwca 2026 roku, a Sejm głosuje nad odrzuceniem weta na posiedzeniu w dniach 2 do 4 września. Dla giełd, które od 1 lipca nie mają w kraju organu wydającego zezwolenia CASP, to sprawa zasadnicza; dla opisanych wyżej obowiązków nie zmienia nic. Travel rule i DAC8 działają, a ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nakazuje identyfikację klienta przy transakcjach okazjonalnych w walutach wirtualnych już od równowartości 1 000 euro.
Co wolno, a co się opłaca?
Prywatność finansowa jest wartością chronioną prawem i nikt nie musi tłumaczyć, dlaczego nie chce, by sąsiad znał jego saldo. Legalna higiena prywatności jest prosta: własny portfel zamiast trzymania środków na giełdzie, nowy adres do każdej transakcji (dobre portfele robią to same), niepublikowanie adresów, rozdzielenie środków bieżących od oszczędności. To chroni przed ciekawskimi, przed skanowaniem przez boty i przed skutkami wycieku bazy klientów giełdy.
Nie chroni przed państwem i nie powinno być na to obliczone. Każde przecięcie z regulowanym światem, a prędzej czy później przecina się każdy, kto chce z kryptowalut zapłacić za mieszkanie, wymaga udowodnienia pochodzenia środków. Racjonalna strategia inwestora działającego legalnie brzmi więc: prywatność wobec świata, przejrzystość wobec własnej dokumentacji. Zachowuj identyfikatory transakcji, eksportuj historię z każdej giełdy raz na kwartał, archiwizuj potwierdzenia przelewów. Jeżeli korzystasz z CoinJoin, rób to ze świadomością, że giełda może zapytać, i miej gotową odpowiedź. Jeżeli trzymasz kryptowaluty prywatnościowe, zaplanuj wyjście przed lipcem 2027 roku, pamiętając, że zamiana na inną kryptowalutę jest neutralna podatkowo, a sprzedaż za walutę fiducjarną już nie.
Adres zwrotny
Sprawa Versus uczy czegoś, co dotyczy nie tylko darknetu. Pseudonim nie wymazuje portfela; portfel nie wymazuje giełdy, na której kiedyś nastąpiła wymiana na fiat; giełda ma KYC. Kolejność kruszenia kolejnych zapór bywa różna, sam ciąg jest powtarzalny, a od 2026 roku administracja skarbowa dostaje jego kluczowe ogniwo w raporcie rocznym.
Bitcoin nie jest anonimowy. Jest pseudonimowy z opóźnionym zapłonem: to, czego dziś nie da się przypisać, zostanie przypisane, gdy pojawi się brakujące ogniwo. Dla uczciwego inwestora wniosek jest prostszy, niż się wydaje. Załóż, że wszystko zostanie przeczytane, i zadbaj, by to, co zostanie przeczytane, opowiadało historię, którą potrafisz udokumentować. Podatek od kryptowalut rozlicza się wtedy bez nerwów, a pytanie giełdy o źródło środków z groźby staje się formalnością.
