Цифровые депозитарии: анатомия двух моделей и их место в российском законе 282‑ФЗ

Когда речь заходит о хранении цифровых активов, рынок и регуляторы используют два внешне похожих, но принципиально разных понятия: custody‑провайдер и MPC‑провайдер. Первое описывает рольна рынке, второе — технологию, которая может использоваться внутри разных ролей. Смешение этих понятий приводит к ошибкам в оценке рисков, в комплаенсе и в понимании того, кто именно отвечает перед клиентом. Новый российский закон № 282‑ФЗ «О цифровых валютах и цифровых правах» добавляет к этой картине собственную юридическую оптику: он вводит фигуру цифрового депозитария и двух разных клиентов — депонента и получателя доступа. Разберёмся, как эти понятия соотносятся.

Больше о цифровых активах, цифровых валютах и ЦФА — ЗДЕСЬ

Custody‑провайдер: тот, кто «держит» актив вместо вас

Custody‑провайдер (кастодиан) — это организация, которая принимает на себя фидуциарную ответственность за сохранность цифровых активов клиента. В международной практике такое лицо обычно хранит приватные ключи (или иным образом контролирует доступ к активам) от имени клиента и действует в его интересах. Классическая модель предполагает, что клиент передаёт актив в «кустодию»: он больше не контролирует ключ напрямую, но получает взамен профессиональное управление рисками, страхование, соответствие регуляторным требованиям и часто — статус квалифицированного хранителя (qualified custodian).

Фидуциарная ответственность — это обязанность лица, действующего в интересах другого лица (бенефициара), действовать добросовестно, исключительно в его интересах и с должной степенью заботливости. Она включает обязанность лояльности (не извлекать личную выгоду за счёт бенефициара и не допускать конфликта интересов) и обязанность заботы (принимать решения с осмотрительностью профессионала). За нарушение такой ответственности лицо отвечает перед бенефициаром, даже если формально действовало в рамках договора.

С точки зрения взаимодействия с конечным потребителем custody‑провайдер выступает как сервисная организация. Клиент открывает счёт, проходит идентификацию, подписывает договор хранения или номинального держания. Провайдер берёт на себя операционные процессы: исполнение поручений, учёт, отчётность, взаимодействие с контрагентами. Клиент теряет техническую возможность распоряжаться активом «в обход» провайдера, но получает правовую и операционную определённость. Именно эта модель исторически ближе всего к регулируемому финансовому посредничеству: кастодиан — это лицо, которое можно проверить, лицензировать и привлечь к ответственности.

MPC‑провайдер: тот, кто «разбирает» ключ, не забирая контроль

MPC‑провайдер (Multi‑Party Computation provider) — это поставщик технологической инфраструктуры, основанной на многосторонних вычислениях. Приватный ключ не хранится целиком ни у одной стороны: он разделён на фрагменты (shards), которые находятся в разных средах — у клиента, у провайдера, в облаке, на отдельном устройстве. Чтобы подписать транзакцию, стороны совместно вычисляют подпись, но полный ключ никогда не собирается в одном месте.

Ключевое отличие MPC‑провайдера от кастодиана — в распределении контроля. Если провайдер держит только один фрагмент, а для подписи требуется авторизация клиента (и клиент может независимо восстановить доступ), такой провайдер обычно не считается кастодианом с точки зрения регулятора. Взаимодействие с клиентом здесь строится не как «передача актива на хранение», а как подключение к инфраструктуре: клиент сохраняет контроль над своей долей ключа и политикой подписи, а провайдер продаёт технологию, интеграцию и операционную поддержку.

Компания Fireblocks, например, прямо позиционирует себя как «технологический провайдер, а не кастодиан». 

Fireblocks — это технологическая компания, которая предоставляет инфраструктуру для работы с цифровыми активами на основе MPC и при этом принципиально не является кастодианом.

Если возвращаться к логике нашей статьи, Fireblocks — это хрестоматийный пример MPC‑провайдера в чистом виде. Компания сама описывает себя как поставщика «enterprise‑платформы» для перемещения, хранения и выпуска цифровых активов, которая лицензирует свою SaaS‑платформу институциональным клиентам. Её ключевая технология — многосторонние вычисления (MPC), при которых приватный ключ никогда не собирается целиком ни у одной стороны, а подпись вычисляется из фрагментов в изолированных средах.

Самый важный нюанс для понимания её места на рынке — это модель «direct custody» без кастодиального статуса. В документации Fireblocks прямо сказано: «В отличие от кастодианов, мы никогда не имеем доступа к полным приватным ключам… Вместо этого мы позволяем вам быть собственным кастодианом». Клиент сохраняет 100% контроль над активами, а Fireblocks продаёт технологию, интеграцию и операционную поддержку. Именно поэтому в предыдущей статье Fireblocks и был приведён как пример провайдера, который «прямо позиционирует себя как технологический провайдер, а не кастодиан».

По масштабу это одна из крупнейших инфраструктурных компаний в институциональном сегменте цифровых активов: она основана в 2018 году, базируется в Нью‑Йорке и обслуживает более 2 400 организаций, включая крупные традиционные финансовые институты вроде BNY Mellon и BNP Paribas. Через её инфраструктуру прошли транзакции на триллионы долларов, а количество кошельков исчисляется сотнями миллионов.

Таким образом, Fireblocks — это не «ещё один кастодиан» и не биржа, а поставщик того самого MPC‑«слоя контроля», который в терминах 282‑ФЗ ближе всего к инфраструктуре, позволяющей клиенту цифрового депозитария сохранять контроль над ключевой долей, а не просто пассивно передавать актив на учёт.

Однако граница подвижна. Если клиент не может получить доступ к активу без провайдера, то даже при использовании MPC такая модель может быть квалифицирована как кастодиальная. Поэтому MPC — это не юридический статус, а архитектура, которая может использоваться и в кастодиальной, и в некастодиальной модели.

Важно не путать MPC‑модель с multisig‑моделью. В multisig несколько сторон владеют полноценными приватными ключами, а блокчейн проверяет заранее заданное правило «m из n» подписей: каждая сторона подписывает транзакцию своим полным ключом, и такая схема обычно видна на цепи, прозрачна для аудита, но менее приватна и привязана к возможностям конкретного блокчейна. В MPC полных ключей нет ни у кого: стороны совместно вычисляют одну подпись из фрагментов, и для внешнего наблюдателя транзакция выглядит как обычная подпись одним ключом. Поэтому multisig даёт прозрачность и простую проверку правил на уровне сети, но хуже скрывает структуру управления; MPC даёт большую гибкость политик, приватность и независимость от поддержки multisig в блокчейне, но требует доверия к корректности криптографического протокола и реализации, а также более сложного восстановления доступа.

Где проходит водораздел

Сравнение удобно провести по пяти критериям.

• Первый — юридическая роль. Custody‑провайдер выступает как хранитель или номинальный держатель и несёт фидуциарную ответственность. MPC‑провайдер — поставщик технологии; его ответственность обычно ограничена SLA и качеством инфраструктуры.
  
  
• Второй — кто контролирует ключ. У custody‑провайдера ключ контролирует провайдер полностью или в решающей степени. У MPC‑провайдера клиент сохраняет контроль как минимум в том смысле, что провайдер не может обойти его авторизацию.
  
  
• Третий — модель взаимодействия с клиентом. В custody‑модели клиент передаёт активы, а провайдер управляет учётом и исполнением поручений. В MPC‑модели клиент подключается к инфраструктуре, сохраняет контроль над ключевой долей и политикой подписи.
  
  
• Четвёртый — регуляторный статус. Custody‑провайдер часто требует лицензии или включения в реестр. MPC‑провайдер может не требовать кастодиальной лицензии, если контроль не передан провайдеру.
  
  
• Пятый — риск для клиента. В custody‑модели выше контрагентский риск провайдера, но ниже операционная нагрузка. В MPC‑модели выше риск потери собственной доли ключа и операционная ответственность клиента.
  
  

Как это соотносится с 282‑ФЗ: депонент и получатель доступа

Закон № 282‑ФЗ не использует англоязычные термины «custody» и «MPC», но создаёт функциональные аналоги. Цифровой депозитарий — это регулируемая организация, которая вправе осуществлять учёт и переход цифровых валют и цифровых прав, а также предоставлять доступ к адресам‑идентификаторам. По своей экономической сути цифровой депозитарий — это российский регулируемый custody‑провайдер, включённый в реестр Банка России. Именно он несёт ответственность перед законом за сохранность и корректность учёта.

Закон разводит две категории клиентов цифрового депозитария:

• Депонент — лицо, которое пользуется услугами депозитария по учёту и переходу цифровых валют и цифровых прав. Это классическая custody‑модель: клиент передаёт актив в учёт депозитарию, депозитарий ведёт цифровые счета, исполняет поручения депонента и отчитывается перед ним. Депонент вправе рассчитывать на то, что депозитарий действует как номинальный держатель и обеспечивает сохранность актива.

• Получатель доступа — лицо, которое пользуется услугами депозитария по предоставлению доступа к адресу‑идентификатору. Это более тонкая конструкция. Депо­зитарий создаёт адрес‑идентификатор и предоставляет клиенту доступ к нему, но клиент не обязательно передаёт актив в полный учёт депозитарию. Обладателем цифровых валют на адресе, который не администрируется депозитарием, закон признаёт лицо, владеющее ключом доступа. Если же адрес администрируется депозитарием, доступ предоставляется на договорной основе, и депозитарий сохраняет контроль над инфраструктурой, но клиент получает возможность совершать операции.

Иными словами, депонент ближе к клиенту классического кастодиана: он «отдаёт» актив в учёт. Получатель доступа ближе к клиенту модели с сохранением контроля: он пользуется инфраструктурой депозитария, но его связь с активом не сводится к пассивному хранению. При этом важно подчеркнуть: и депонент, и получатель доступа — клиенты одного и того же регулируемого субъекта — цифрового депозитария. Закон не создаёт отдельного «MPC‑депозитария»; он позволяет депозитарию оказывать разные услуги в рамках одного правового статуса.

Выводы

1. Custody и MPC — это разные оси анализа. Custody описывает, кто несёт ответственность за актив и контролирует ключ. MPC описывает, как технически распределён ключ. Поэтому выражение «MPC‑кастодиан» имеет смысл только тогда, когда провайдер, использующий MPC, всё равно сохраняет решающий контроль над активом; если же клиент может обойтись без провайдера, это некастодиальная модель, даже если в ней используется MPC.
   
   

2. Для клиента разница проявляется в точке передачи контроля. В custody‑модели клиент передаёт актив и получает сервис; в MPC‑модели клиент сохраняет контроль, но берёт на себя больше операционной ответственности. Выбор зависит не от «продвинутости» технологии, а от того, готов ли клиент отказаться от прямого контроля ради снижения операционной нагрузки и регуляторной определённости.
   
   

3. Российский закон 282‑ФЗ строит регулирование вокруг цифрового депозитария как custody‑субъекта, но допускает внутри него две клиентские роли. Депонент — это аналог клиента полной кустодии: актив учитывается депозитарием, депозитарий исполняет поручения и несёт ответственность за учёт. Получатель доступа — это клиент, который пользуется инфраструктурой депозитария для доступа к адресу‑идентификатору; его модель ближе к сохранению контроля, хотя и в регулируемой среде.
   
   

4. Практический вывод для рынка: при выборе между custody‑ и MPC‑моделью в России недостаточно смотреть на технологию. Нужно смотреть на то, какую роль клиент играет в законе — депонента или получателя доступа — и какие права и обязанности из этой роли вытекают. Цифровой депозитарий может технически использовать MPC для повышения безопасности, но юридическая суть отношений с клиентом будет определяться не технологией, а договорной конструкцией и статусом клиента по 282‑ФЗ.