1. Polska po 1 lipca 2026 r. i po utrzymaniu weta 4 września: rynek regulowany bez polskiej Ustawy.
Punktem wyjścia jest art. 143 ust. 3 rozporządzenia (UE) 2023/1114 (MiCA), który pozwalał dostawcom świadczącym usługi w zakresie kryptoaktywów zgodnie z prawem krajowym przed 30 grudnia 2024 r. kontynuować działalność w okresie przejściowym, najdłużej do 1 lipca 2026 r. Okres ten upłynął i dla usług objętych MiCA podstawowym standardem stało się zezwolenie. Polska nie wyznaczyła jednak organu właściwego: ustawę o rynku kryptoaktywów uchwaloną 15 maja 2026 r. Prezydent zawetował 11 czerwca, a 4 września 2026 r. Sejm nie zdołał odrzucić weta (241 głosów za przy wymaganych 266). UKNF w informacji z 23 czerwca 2026 r. stwierdził, że żaden krajowy organ, w tym KNF, nie został wyznaczony jako właściwy dla działalności objętej MiCA, z wyjątkiem działalności emitentów tokenów będących e-pieniądzem.
Moduł rozdziela dwa porządki prawne, które w praktyce bankowej bywają mylone. Na gruncie MiCA wpis do rejestru działalności w zakresie walut wirtualnych nie jest zezwoleniem: Dyrektor Izby Administracji Skarbowej w Katowicach w komunikacie z 19 czerwca 2026 r. wskazał, że po 1 lipca wpis nie uprawnia do prowadzenia tej działalności ani w Polsce, ani poza jej granicami. Na gruncie ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: ustawa AML) rejestr pozostaje natomiast elementem obowiązującego reżimu. Art. 129m tej ustawy stanowi, że świadczenie usług, o których mowa w art. 2 ust. 1 pkt 12, jest działalnością regulowaną wykonywaną po uzyskaniu wpisu do rejestru, a art. 153b przewiduje karę pieniężną do 100 000 zł za prowadzenie tej działalności bez wpisu. Wpis jest więc wymogiem ustawy AML, ale od 1 lipca 2026 r. nie zastępuje zezwolenia wymaganego przez MiCA.
Część praktyczna dotyczy konsekwencji dla banku prowadzącego rachunki takich podmiotów. Uczestnicy odróżniają działalność istniejącą faktycznie od działalności prowadzonej legalnie, analizują oświadczenia ESMA z 17 kwietnia i 23 czerwca 2026 r., w których urząd oczekuje od podmiotów bez zezwolenia uporządkowanego wygaszenia działalności z zachowaniem ochrony inwestorów, i ustalają, jakie dokumenty potwierdzają realizację planu zakończenia działalności oraz przeniesienia klientów do dostawcy posiadającego zezwolenie.
2. Zagraniczny CASP w Polsce: paszport MiCA zamiast polskiego zezwolenia
Brak polskiego organu właściwego nie zamyka rynku dla dostawców z innych państw członkowskich. W stanowisku dotyczącym prowadzenia działalności na terytorium Polski do czasu wejścia w życie przepisów krajowych UKNF wskazał, że dostawca z innego państwa członkowskiego, który przekazał organowi państwa macierzystego informację o zamiarze świadczenia usług w Polsce, może je świadczyć na podstawie art. 59 ust. 7 i art. 65 MiCA. Świadczenie usług jest dopuszczalne od dnia przekazania tej informacji przez organ państwa macierzystego, a najpóźniej od 15. dnia kalendarzowego po jej złożeniu. Uczestnicy przechodzą przez model państwa macierzystego i przyjmującego oraz praktyczną weryfikację statusu dostawcy w rejestrze prowadzonym przez ESMA.
Moduł rozróżnia cztery sytuacje o odmiennych skutkach prawnych. Pierwsza to dostawca z zezwoleniem wydanym w innym państwie członkowskim, który notyfikował usługi transgraniczne. Druga to podmiot, który działał wyłącznie w okresie przejściowym; w odpowiedzi ESMA_QA_2086 wskazano, że podmioty takie nie korzystają z paszportu unijnego. Trzecia to instytucja finansowa świadcząca usługi na podstawie art. 60 MiCA, zgodnie z którym instytucja kredytowa może świadczyć usługi w zakresie kryptoaktywów, jeżeli co najmniej 40 dni roboczych przed ich rozpoczęciem przekaże wymagane informacje organowi właściwemu państwa macierzystego. Skoro w Polsce organu właściwego nie wyznaczono, moduł analizuje, czy i w jakim zakresie ta droga jest dziś dostępna dla polskich banków. Czwarta to firma z państwa trzeciego powołująca się na świadczenie usług z wyłącznej inicjatywy klienta (art. 61 MiCA); ESMA w oświadczeniu z 23 czerwca 2026 r. przypomniała, że dostawcy spoza Unii nie mogą świadczyć usług klientom unijnym ani ich pozyskiwać, także w relacjach między przedsiębiorcami.
Szczególny nacisk pada na rozpoznawanie marketingu „MiCA compliant”, gdy zakres zezwolenia nie obejmuje danej usługi albo model biznesowy wykracza poza to, co zostało autoryzowane. Osobno omawiamy konstrukcje pośrednictwa. W odpowiedzi ESMA_QA_2143 Komisja Europejska wyjaśniła, że MiCA nie zawiera przepisu pozwalającego dostawcy wyznaczać agentów przyjmujących i przekazujących zlecenia klientów, a art. 75 ust. 9 MiCA wymaga, aby dostawca przechowujący kryptoaktywa, który korzysta z usług innych dostawców przechowywania, powierzał je wyłącznie podmiotom posiadającym zezwolenie.
3. Polska spółka, klienci tylko spoza UE: czy można „wyjść” poza MiCA?
Siedziba klienta poza Unią nie tworzy automatycznego wyłączenia. Art. 59 ust. 1 MiCA zakazuje świadczenia usług w zakresie kryptoaktywów na terytorium Unii przez podmiot, który nie jest dostawcą z zezwoleniem ani instytucją uprawnioną na podstawie art. 60. Art. 59 ust. 2 wymaga, aby dostawca miał siedzibę statutową w państwie członkowskim, w którym świadczy przynajmniej część usług, miejsce faktycznego zarządu w Unii i co najmniej jednego członka zarządu zamieszkałego w Unii. MiCA nie rozstrzyga wprost statusu spółki z siedzibą w Polsce, która obsługuje wyłącznie klientów spoza Unii, dlatego moduł traktuje to zagadnienie jako problem wykładni pojęcia świadczenia usług na terytorium Unii.
Analiza obejmuje okoliczności, które przesądzają o kwalifikacji: skąd faktycznie świadczona jest usługa, gdzie działa zarząd i kto wykonuje kluczowe funkcje, gdzie znajduje się infrastruktura operacyjna, jak zawierana i wykonywana jest relacja z klientem oraz czy oferta rzeczywiście nie dociera do klientów w Unii. Art. 61 MiCA nie stanowi rozwiązania dla polskiej spółki, ponieważ wyłącza wymóg zezwolenia wyłącznie wtedy, gdy klient z Unii z własnej inicjatywy zwraca się do firmy z państwa trzeciego.
Kwalifikacja na gruncie MiCA nie przesądza o obowiązkach wynikających z ustawy AML. Spółka prowadząca działalność, o której mowa w art. 2 ust. 1 pkt 12 tej ustawy, pozostaje instytucją obowiązaną i podlega wymogowi wpisu do rejestru z art. 129m. Uczestnicy dostają matrycę faktów do ustalenia przed wydaniem oceny regulacyjnej i oceny ryzyka prania pieniędzy, z podziałem na informacje uzyskiwane od klienta, z rejestrów publicznych i z analizy przepływów na rachunku.
4. Przestępczość kryptowalutowa 2026: stablecoiny, sankcje, centra oszustw i państwowe systemy obchodzenia restrykcji.
Szkolenie odchodzi od obrazu przestępcy używającego wyłącznie bitcoina i miksera. Chainalysis w raporcie 2026 szacuje, że adresy zidentyfikowane jako nielegalne otrzymały w 2025 r. co najmniej 154 mld USD, o 162 proc. więcej niż rok wcześniej, a wzrost wynikał przede wszystkim ze zwiększenia o 694 proc. wartości trafiającej do podmiotów objętych sankcjami; stablecoiny odpowiadały za 84 proc. nielegalnego wolumenu. TRM Labs, stosując inną metodologię, podaje 158 mld USD, wzrost przypisuje głównie przepływom związanym z Rosją i zaznacza, że część przyrostu wynika z udoskonalenia metod wykrywania.
Moduł traktuje te liczby jako materiał do analizy, a nie jako miarę skali prania pieniędzy. Obie firmy mierzą wpływy na adresy zaklasyfikowane jako nielegalne, obie traktują swoje szacunki jako minimalne, a w obu zestawieniach dominują przepływy sankcyjne: według Chainalysis sam rublowy stablecoin A7A5 przetworzył 93,3 mld USD, według TRM ponad 72 mld USD. Uczestnicy uczą się czytać raporty analityki blockchain z uwzględnieniem definicji kategorii, sposobu przypisywania adresów i ograniczeń metodologicznych, zanim wykorzystają je w ocenie ryzyka klienta.
Na tym tle omawiamy rosyjski ekosystem A7 i A7A5, wykorzystywanie stablecoinów do rozliczeń transgranicznych, profesjonalne sieci prania pieniędzy, brokerów OTC, rachunki słupów, platformy wysokiego ryzyka i kasyna internetowe. Tło regulacyjne wyznacza siódmy przegląd wdrażania standardów FATF dotyczących aktywów wirtualnych z 16 lipca 2026 r.: 83 proc. badanych jurysdykcji przyjęło przepisy o Travel Rule, ale grupy przestępcze wykorzystują luki między przyjętymi przepisami a ich praktycznym stosowaniem do przemieszczania miliardów. Uzupełnieniem jest raport FATF z 21 lipca 2026 r. o wyzwaniach regulacyjnych związanych ze zdecentralizowanymi finansami, według którego około 93 proc. jurysdykcji, które odpowiedziały na ankietę, nie stosuje jeszcze standardów FATF wobec kwalifikujących się rozwiązań DeFi.
5. Jak przestępcy przemieszczają środki w 2026 r.: mosty międzyłańcuchowe, DeFi, deepfake i coraz krótszy czas na reakcję.
Praktyczna analiza obejmuje nowe typologie: szybkie przenoszenie środków między sieciami blockchain, mosty międzyłańcuchowe (cross-chain), zamiany aktywów, zdecentralizowane protokoły, usługi bez weryfikacji klienta oraz podmioty zagnieżdżone (nested), działające na infrastrukturze innego dostawcy. TRM Labs w raporcie 2026 wskazuje, że od 2024 r. wiele sieci związanych z oszustwami skróciło czas przetrzymywania środków i przenosi je dalej często w ciągu 48 godzin, zamieniając je na aktywa trudniejsze do zamrożenia, takie jak ETH lub DAI, i wracając do stablecoinów dopiero w pobliżu punktu wypłaty.
Skrócenie tego okna zmienia wymagania wobec monitorowania. Zawiadomienie przekazane kilka dni po wpływie środków trafia do organów w chwili, gdy aktywa są już w innych sieciach, dlatego typologie łączymy z mechanizmami ustawy AML. Art. 86 dotyczy transakcji, którą instytucja zamierza przeprowadzić, i uruchamia procedurę jej wstrzymania, a art. 74 obejmuje okoliczności, które mogą wskazywać na podejrzenie prania pieniędzy lub finansowania terroryzmu, i wymaga zawiadomienia Generalnego Inspektora Informacji Finansowej niezwłocznie, nie później niż w terminie 2 dni roboczych od potwierdzenia podejrzenia. Uczestnicy ustalają, w których sytuacjach szybkość reakcji zależy od reguł automatycznych, a w których od decyzji analityka.
Obraz uzupełniają raporty organów ścigania z 2026 r. o wykorzystaniu AI, deepfake’ów głosu i obrazu, platform cyfrowych i wyspecjalizowanych grup prania pieniędzy do skalowania oszustw inwestycyjnych, oszustw na uczucia (romance scams), podszywania się pod kontrahenta (BEC) i cyberprzestępczości. INTERPOL w ocenie zagrożeń z 16 marca 2026 r. opisuje coraz ściślejszą współpracę sieci oszustów z grupami wyspecjalizowanymi w praniu pieniędzy, a Europol w raporcie z 26 czerwca 2026 r. wskazuje, że najgroźniejsze sieci przestępcze wykorzystują kryptowaluty, AI i legalne struktury biznesowe.
6. AML dla CASP i banku obsługującego sektor kryptoaktywów: Travel Rule, adresy samodzielnie hostowane i decyzja, co zrobić z ryzykiem.
Moduł przekłada regulacje na decyzje operacyjne. Podstawą jest rozporządzenie (UE) 2023/1113 w sprawie informacji towarzyszących transferom środków pieniężnych i niektórych kryptoaktywów. Art. 14 ust. 5 i art. 16 ust. 2 wymagają, aby przy transferze na adres samodzielnie hostowany albo z takiego adresu dostawca pozyskał i przechowywał informacje o nadawcy i odbiorcy oraz zapewnił możliwość indywidualnej identyfikacji transferu, a przy kwocie przekraczającej 1000 EUR podjął odpowiednie środki w celu ustalenia, czy adres należy do klienta lub jest przez niego kontrolowany. Art. 14 ust. 6 nakazuje dostawcy nadawcy zweryfikować prawidłowość informacji przed transferem na podstawie wiarygodnego i niezależnego źródła. Uzupełnieniem są wytyczne EBA dotyczące Travel Rule (EBA/GL/2024/11), do których stosowania GIIF odniósł się w Komunikacie nr 113.
Perspektywa AMLR, czyli rozporządzenia (UE) 2024/1624 stosowanego od 10 lipca 2027 r., obejmuje art. 37, ustanawiający szczególne wzmożone środki należytej staranności wobec transgranicznych relacji korespondencyjnych dostawców usług w zakresie kryptoaktywów, oraz art. 40, poświęcony środkom ograniczającym ryzyko transakcji z adresem samodzielnie hostowanym. Na poziomie krajowym punktem odniesienia jest Komunikat GIIF nr 116: działalność prowadzona bez wymaganego zezwolenia MiCA stanowi okoliczność zwiększającą ryzyko prania pieniędzy i finansowania terroryzmu, ale odpowiedzią nie mogą być bezwarunkowe i automatyczne działania wobec wszystkich takich podmiotów. GIIF odwołuje się przy tym do noty doradczej AMLA z 29 czerwca 2026 r., która jako czynniki częściowo ograniczające ryzyko wskazuje rzetelnie stosowany plan zakończenia działalności i właściwe stosowanie procedur AML, oraz do Komunikatu nr 73 w sprawie wykluczania niektórych kategorii klientów (derisking).
Uczestnik pracuje na scenariuszach: klient korzystający z usług podmiotu bez zezwolenia, wpływy z protokołów DeFi wysokiego ryzyka, kontakt z adresem objętym sankcjami, szybkie przejście przez kilka sieci, poprawne dane identyfikacyjne przy niespójnym zachowaniu na blockchainie. Dla każdego scenariusza ustala się ścieżkę opartą na ryzyku: wzmożone środki bezpieczeństwa finansowego, ograniczenie relacji, zawiadomienie na podstawie art. 74 albo art. 86 ustawy AML, odmowę przeprowadzenia transakcji lub rozwiązanie stosunków gospodarczych, jeżeli nie da się zastosować środków bezpieczeństwa finansowego (art. 41 ust. 1), albo kontynuację z dodatkowymi kontrolami. Art. 41 ust. 2 wymaga przy tym oceny, czy sama niemożność zastosowania tych środków uzasadnia zawiadomienie Generalnego Inspektora.