Portfele kryptowalut: rodzaje, ryzyka i przegląd pięciu portfeli

Wybór portfela kryptowalut sprowadza się do tego, kto kontroluje klucze prywatne. Opisujemy rodzaje portfeli, ryzyka i stan prawny w Polsce na październik 2026 oraz pięć portfeli, bez rekomendacji inwestycyjnych.

Ryzyko i stan prawny w Polsce (październik 2026)

Środki w kryptowalutach nie są gwarantowane przez Bankowy Fundusz Gwarancyjny, bo nie są depozytami bankowymi, co potwierdza BFG. Ten tekst nie stanowi porady inwestycyjnej. Główne zagrożenia to:

• Utrata dostępu: zgubienie lub kradzież kluczy prywatnych albo frazy odzyskiwania (seed) może oznaczać trwałą utratę środków.
• Oszustwa i ataki: phishing, złośliwe oprogramowanie i fałszywe platformy inwestycyjne. Komisja Nadzoru Finansowego publikuje listę ostrzeżeń publicznych, ale brak podmiotu na liście nie oznacza, że jest wiarygodny.
• Wysoka zmienność: wartość kryptoaktywów może gwałtownie spaść.

W Unii Europejskiej od 30 grudnia 2024 r. obowiązuje rozporządzenie MiCA w sprawie rynków kryptoaktywów. Dostawcy usług (CASP), którzy działali legalnie przed tą datą, mogli korzystać z okresu przejściowego najpóźniej do 1 lipca 2026 r., a jego długość zależała od państwa członkowskiego. Od 2 lipca 2026 r. usługi związane z kryptoaktywami mogą świadczyć wyłącznie podmioty z zezwoleniem MiCA.

W Polsce trwają prace nad ustawą o rynku kryptoaktywów. Według Kancelarii Prezydenta RP 8 września 2026 r. do Sejmu trafił drugi prezydencki projekt tej ustawy. Dotychczasowy wpis do polskiego rejestru działalności w zakresie walut wirtualnych nie jest zezwoleniem MiCA. Po 1 lipca 2026 r. nie uprawnia on do działalności ani w Polsce, ani za granicą, co potwierdza komunikat Izby Administracji Skarbowej w Katowicach.

Rozporządzenie reguluje emitentów, oferujących i dostawców usług. Zgodnie z motywem 22, usługi świadczone w pełni zdecentralizowanie, bez pośredników, nie powinny być objęte jego zakresem.

Rodzaje portfeli: kto trzyma klucze

Pełną kontrolę nad kryptoaktywami daje klucz prywatny, czyli tajny ciąg znaków powiązany z adresem publicznym portfela. Dostęp do kluczy odtwarza się zwykle z frazy odzyskiwania (ang. seed phrase), najczęściej 12 lub 24 słów.

W portfelach niepowierniczych (ang. non-custodial) użytkownik ma wyłączną kontrolę nad kluczami. W powierniczych (ang. custodial) klucze trzyma dostawca, co oznacza ryzyko kontrpartnera.

Przegląd wybranych portfeli

Trezor Safe

Portfel sprzętowy, którego konstrukcję producent opisuje jako open-source. Safe 3 ma monochromatyczny ekran OLED 0,96 cala, a Safe 5 kolorowy ekran dotykowy 1,54 cala. Sklep producenta oferuje też wersje przeznaczone wyłącznie dla Bitcoina.

• Strona producenta: Trezor Safe 5, Trezor Safe 3

Ledger

Producent oferuje między innymi modele Ledger Stax, Flex i Nano Gen5. Według strony producenta klucze prywatne pozostają na urządzeniu offline, a Ledger nigdy nie prosi o 24 słowa frazy odzyskiwania.

• Strona producenta: ledger.com

Electrum

Portfel programowy do obsługi wyłącznie Bitcoina, na licencji MIT. Działa na Windows 10 i nowszym, macOS 11 i nowszym oraz Androidzie 8.0 i nowszym. Obsługuje transakcje wielopodpisowe (multisig) i współpracuje z portfelami sprzętowymi przez wtyczki. Pliki instalacyjne są podpisane kluczami GPG, a producent zaleca weryfikację podpisów.

• Strona producenta: electrum.org

Exodus

Portfel programowy dostępny na komputerach (Windows, macOS, Linux) i urządzeniach mobilnych (iOS, Android), z synchronizacją między urządzeniami. Producent opisuje go jako portfel, w którym klucze prywatne są zapisane na urządzeniu użytkownika, a za przechowanie frazy odzyskiwania odpowiada sam użytkownik.

• Strona producenta: exodus.com

Trust Wallet

Producent opisuje go jako portfel do samodzielnego przechowywania środków (self-custody), w którym klucze zostają na urządzeniu użytkownika. Dostępny jest jako aplikacja mobilna na iOS i Androida oraz rozszerzenie przeglądarki. Producent podaje obsługę ponad 100 blockchainów.

• Strona producenta: trustwallet.com

Portfel na giełdzie i w aplikacji finansowej

Portfel na giełdzie lub w aplikacji finansowej jest zwykle powierniczy: klucze prywatne przechowuje dostawca. Status środków zależy wtedy od regulaminu usługi.

Przykładem jest Revolut. Według centrum pomocy firmy użytkownik nie otrzymuje indywidualnego portfela, a kupione kryptoaktywa są przechowywane na rachunku wirtualnym.

Przed powierzeniem środków dostawcy warto sprawdzić:

• Czy ma zezwolenie CASP zgodnie z MiCA. Wykaz prowadzi Europejski Urząd Nadzoru Giełd i Papierów Wartościowych w rejestrze ESMA.
• Czy usługa pozwala wypłacić kryptowaluty na własny, zewnętrzny adres.
• Co regulamin mówi o własności i przechowywaniu aktywów.

Jak porównać portfele: pięć kryteriów

1. Kontrola nad kluczami. Sprawdź, kto według producenta ma dostęp do klucza.

• Test praktyczny: czy podczas konfiguracji dostajesz frazę odzyskiwania i czy producent deklaruje, że nie ma do niej dostępu.

1. Wsparcie dla kryptowalut i sieci. Nie każdy portfel obsługuje wszystkie kryptoaktywa i sieci, a niektóre działają tylko z jedną, np. z Bitcoinem. Wysłanie środków na niekompatybilny adres może oznaczać ich utratę.

• Test praktyczny: przed instalacją lub zakupem znajdź na stronie producenta aktualną listę wspieranych monet, tokenów i sieci.

1. Źródło instalacji lub zakupu. Podróbki aplikacji i zmodyfikowane urządzenia służą do kradzieży środków. Kupuj sprzęt w oficjalnym sklepie producenta i pobieraj oprogramowanie wyłącznie z oficjalnych źródeł.

• Test praktyczny: przejdź do pobrania lub sklepu z linku na stronie producenta, np. electrum.org, i sprawdź adres URL.

1. Otwarty kod źródłowy i historia incydentów. Kod open-source pozwala na niezależną weryfikację. Ważna jest też reakcja zespołu na wykryte luki.

• Test praktyczny: sprawdź na stronie projektu licencję, a w wyszukiwarce nazwę portfela z hasłem „luka” lub „atak”.

1. Kopia zapasowa i odzyskiwanie. Portfel powinien mieć opisany sposób odzyskania dostępu po awarii lub utracie urządzenia.

• Test praktyczny: sprawdź w dokumentacji, jakie dane są potrzebne do odtworzenia portfela na nowym urządzeniu.

Fraza odzyskiwania i podstawowe zabezpieczenia

Frazę odzyskiwania warto zapisać wyłącznie fizycznie, na kartce lub metalowej płytce, w co najmniej dwóch bezpiecznych, oddalonych miejscach. Nie powinno się jej fotografować ani przechowywać cyfrowo (chmura, menedżer haseł, plik na komputerze), bo taki zapis mogą przechwycić atakujący. Nikomu jej nie podawaj: legalny dostawca ani pomoc techniczna o nią nie poprosi, a osoba, która ją pozna, przejmie kontrolę nad środkami.

Po konfiguracji warto wykonać test odzyskiwania: przelać niewielką kwotę, zresetować portfel i odtworzyć dostęp z zapisanej frazy. Dodatkowym zabezpieczeniem jest silny kod PIN oraz, jeśli portfel to obsługuje, hasło (passphrase), które tworzy oddzielny, ukryty portfel. Na kontach giełdowych włącz uwierzytelnianie dwuskładnikowe (2FA), najlepiej w dedykowanej aplikacji.

Podatek: kiedy trzeba złożyć PIT-38

W Polsce przychód z kryptowalut powstaje przy ich odpłatnym zbyciu, na przykład sprzedaży za pieniądze, zapłacie nimi za towar lub usługę albo spłacie zobowiązania. Wymiana jednej kryptowaluty na inną nie jest opodatkowana.

Dochód, czyli przychód pomniejszony o udokumentowane koszty, rozlicza się w zeznaniu PIT-38 według stawki 19%. Zeznanie składa się od 15 lutego do 30 kwietnia roku następującego po roku podatkowym, przez Twój e-PIT w e-Urzędzie Skarbowym, aplikację e-US albo e-Deklaracje. Platformy nie muszą wystawiać PIT-8C ani PIT-11, więc transakcje trzeba ewidencjonować samodzielnie. Szczegóły, w tym definicje kosztów, opisuje podatki.gov.pl. Ten artykuł nie jest poradą podatkową. Ogólne omówienie programów do rozliczeń PIT znajdziesz w tekście o darmowych programach do rozliczania PIT.