NSA orzekł, że kryptowaluta nie jest rzeczą, więc w świetle polskiego prawa nie da się jej ani znaleźć, ani oddać jak zguby. Dla przedsiębiorcy z portfelem kryptowalut oznacza to, że niechciana wpłata od anonimowego nadawcy, której przyjęcia nie sposób technicznie odmówić, zostaje na jego rachunku bez procedury wyjścia, za to z ryzykiem blokady środków, podatku 19 proc. od pełnej kwoty przy zbyciu i zarzutów karnych, gdy środki pochodzą z przestępstwa.

Cudze kryptoaktywa na rachunku

Wrzesień 2017 r. Mieszkaniec Podkarpacia, który dwa miesiące wcześniej założył konto na giełdzie kryptowalut, żeby poznać mechanikę tego rynku, otrzymuje wiadomość: na jego rachunku zaksięgowano wpłatę. Jednostki kryptowaluty, których nie kupił, od nadawcy, którego nie zna i którego, jak zapewnia giełda, ustalić się nie da. Znalazł zgubę tam, gdzie nikt niczego nie gubi: na własnym koncie.

Dalej zachowuje się tak, jak nakazywałby podręcznik obywatelskiej staranności. Zgłasza wpłatę na policji, zawiadamia prokuraturę. Gdy jesienią 2017 r. prasa wieszczy pęknięcie bańki, wymienia kryptowalutę na złote i deponuje je na rachunku bankowym, o czym również informuje prokuratora – z perspektywy późniejszych kursów była to decyzja zawstydzająco trafna. Nagrodą jest trzymiesięczna blokada środków, a w czerwcu 2018 r. umorzenie dochodzenia o czyn z art. 267 k.k.: nieznany sprawca, uzyskawszy bez uprawnienia dostęp do konta na nieustalonej platformie, wykonał nieautoryzowany transfer na rachunek zgłaszającego. Prokurator uznał za dowód rzeczowy otrzymaną przez „znalazcę” równowartość kryptowalut, oddał mu ją na przechowanie i jednocześnie zarządził złożenie do depozytu sądowego odpowiedniej kwoty do czasu wyjaśnienia uprawnienia do odbioru.

W 2022 r., gdy ścieżka karna dawno wygasła, mężczyzna sięga po jedyną procedurę, jaką polskie prawo oferuje uczciwemu znalazcy: zawiadamia prezydenta miasta o znalezieniu rzeczy. Ustawa z 20 lutego 2015 r. o rzeczach znalezionych każe organowi poszukiwać uprawnionego, a znalazcy, po bezskutecznym upływie terminów z art. 187 k.c., daje własność. Odpowiedź organu, kolegium, dwóch sądów administracyjnych i wreszcie NSA zamyka sprawę po blisko dziewięciu latach: procedury nie będzie, bo nie ma rzeczy. Po drodze kolegium dorzuciło jeszcze piętro proceduralne: czynności starosty przy zawiadomieniu o znalezieniu mają charakter materialno-techniczny, więc postępowania administracyjnego w ogóle skutecznie nie wszczęto. Obywatel usłyszał zatem podwójne nie: nie ma rzeczy i nie ma nawet procedury, w której mógłby o tym usłyszeć.

Tylko przedmioty materialne

Wyrok NSA z 3 marca 2026 r. (sygn. III OSK 2149/25; tego samego dnia zapadł bliźniaczy o sygn. III OSK 585/23) jest w warstwie dogmatycznej trudny do podważenia. Pojęcie rzeczy w ustawie o rzeczach znalezionych znaczy to samo co w art. 45 k.c., a rzeczami są tylko przedmioty materialne. Kryptowaluta jest zapisem w rozproszonym rejestrze: nie jest rzeczą, nie jest pieniądzem w rozumieniu ustawy o NBP, nie jest papierem wartościowym ani pieniądzem elektronicznym. Na postulat wykładni funkcjonalnej, która wypełniłaby lukę, NSA odpowiada art. 7 konstytucji: organy działają na podstawie i w granicach prawa. Luki wypełnia ustawodawca, nie starosta.

To stanowisko wypada wzmocnić, zanim się je skrytykuje. Cała maszyneria ustawy zakłada fizyczność: protokół przyjęcia, przechowanie w kasie pancernej, wezwanie uprawnionego do odbioru, sprzedaż rzeczy szybko psującej się. Czym byłoby przechowanie kryptowaluty przez starostwo? Depozytem klucza prywatnego, czyli wiedzy, której nie sposób wydać, nie zatrzymując kopii? Wezwaniem do odbioru adresowanym do ciągu kilkudziesięciu znaków? Wyceną znaleźnego od aktywa, które potrafi w dobę stracić jedną piątą wartości? Wykładnia funkcjonalna nie zlikwidowałaby luki; przeniosłaby ją jedynie z sali sądowej do pokoju urzędnika.

Paradoks leży gdzie indziej. Ten sam zapis księgowy fiskus od dawna widzi jako prawo majątkowe (wyrok NSA z 6 marca 2018 r., sygn. II FSK 488/16), Trybunał Sprawiedliwości UE jako środek płatniczy zwolniony z VAT (C-264/14 Hedqvist), prokurator jako mienie, które można przywłaszczyć i wyprać, a rozporządzenie MiCA jako kryptoaktywo poddane nadzorowi. Jedynie rdzeń prawa rzeczowego, projektowany w czasach, gdy szczytem dematerializacji był weksel, nie widzi nic. Kryptowalutę można w Polsce opodatkować, zająć, przywłaszczyć i wyprać. Nie można jej tylko zgubić ani znaleźć.

Nie wybierasz, kto ci wysyła

Gdyby chodziło o jednostkowy kaprys losu, wyrok byłby ciekawostką. Nie chodzi. Rzeszowski zapis nastąpił wprawdzie na rachunku giełdowym, lecz wniosek przenosi się a fortiori na publiczne blockchainy, bo adres depozytowy tak samo przyjmie każdą wpłatę, a poza giełdą nie ma nawet operatora, którego można spytać o nadawcę. Konstrukcja publicznych blockchainów sprawia, że każdy, kto zna adres portfela, może na niego wysłać środki; zgody odbiorcy nikt nie pyta i nie istnieje techniczna możliwość odmowy. Na tej właściwości zbudowano przemysł ataku zwanego zatruwaniem adresów (address poisoning). Napastnik generuje adres łudząco podobny do tego, z którym ofiara koresponduje (identyczne pierwsze i ostatnie znaki, bo tylko tyle pokazują interfejsy portfeli), po czym wysyła z niego groszowy lub zerowy przelew, zatruwając historię transakcji. Ofiara, kopiując przy kolejnej płatności adres z historii, kieruje środki wprost do napastnika. Transakcja jest nieodwracalna.

Skala nie jest anegdotyczna. Badacze z Carnegie Mellon University naliczyli od lipca 2022 r. do czerwca 2024 r. około 270 mln prób zatrucia wymierzonych w 17 mln adresów, z potwierdzonymi stratami co najmniej 83,8 mln dol. W maju 2024 r. jedna pomyłka kosztowała ofiarę 1155 WBTC, wówczas około 68 mln dol.; napastnik, przyciśnięty publiczną analizą śladów, oddał niemal wszystko. W grudniu 2025 r. inny inwestor stracił tą metodą blisko 50 mln dol. w USDT. Każdy z owych 17 mln zaatakowanych adresów ma zaś w historii dokładnie to, co bohater rzeszowskiej sprawy: cudzą, niechcianą wpłatę od anonimowego nadawcy. Polskie prawo mówi im dziś zgodnym chórem: to nie nasz problem. A problem jest trojaki: zatruta historia przygotowuje pomyłkę wychodzącą, podrzucony token bywa przynętą uruchamiającą złośliwą autoryzację, środki zaś mogą być skażone, co bywa atakiem samym w sobie: mikropłatność z adresu objętego sankcjami degraduje profil odbiorcy w systemach analityki łańcucha (Chainalysis, TRM Labs, Elliptic), ściągając blokady giełd i banków. Bohater rzeszowskiej sprawy doświadczył tego ostatniego osobiście: za zgłoszenie cudzej wpłaty zapłacił blokadą własnego rachunku.

Dwie drogi wyjścia

Świat zna ten dylemat i zna dwa wyjścia. Systemy common law rozstrzygnęły go orzeczniczo: sądy Anglii (AA v Persons Unknown, 2019; D’Aloia, 2024), Nowej Zelandii (Ruscoe v Cryptopia, 2020), Singapuru i Indii uznały kryptoaktywa za przedmiot praw majątkowych, jedne rozciągając stare kategorie (Singapur: chose in action), inne, jak Anglia w sprawie D’Aloia, sięgając po kategorię trzecią, którą brytyjski parlament przypieczętował w Property (Digital Assets etc) Act 2025, ustawie mieszczącej się w jednym zdaniu normatywnym. Systemy kontynentalne, z identyczną jak nasza pułapką materialności, poszły drogą ustawową. Japonia, gdzie sąd w Tokio oddalił w 2015 r. roszczenie klienta upadłej giełdy Mt Gox, bo bitcoin nie jest rzeczą z art. 85 tamtejszego kodeksu, przebudowała w reakcji ustawę o usługach płatniczych. Niemcy fikcją prawną zrównały elektroniczne papiery wartościowe z rzeczami, Szwajcaria stworzyła prawa rejestrowe, a UNIDROIT ogłosił w 2023 r. zasady, w których funkcję posiadania pełni kontrola nad aktywem.

Polska nie wybrała żadnej drogi. Ustawodawca zdążył w maju 2026 r. znowelizować samą ustawę o rzeczach znalezionych, nie poświęcając aktywom cyfrowym ani słowa. Ustawa wdrażająca MiCA została w ciągu pół roku trzykrotnie zawetowana (1 grudnia 2025 r., w lutym oraz 11 czerwca 2026 r.), a Sejmowi dwukrotnie zabrakło głosów do odrzucenia weta, przez co 1 lipca 2026 r. minął bez wyznaczenia nadzorcy rynku. Wraz z upływem okresu przejściowego z art. 143 MiCA krajowe podmioty utraciły możliwość legalnego świadczenia usług kryptoaktywowych, przed czym KNF ostrzegała już w lutym. Trudno o czytelniejszy komunikat: luka nie jest przeoczeniem z 2015 r., lecz stanem utrzymywanym.

Co robić, gdy spadnie z nieba

Do czasu interwencji ustawodawcy odbiorcy niechcianych wpłat pozostaje higiena i dokumentacja. Nie wchodzić w żadną interakcję z nieznanymi tokenami; próba ich odesłania lub sprzedaży bywa dokładnie tym ruchem, na który liczy napastnik. Adresy kopiować ze zweryfikowanego źródła i sprawdzać w całości, nie po skrajnych znakach. Wpłatę udokumentować, a gdy jest istotna, zawiadomić organy ścigania; buduje to dowód dobrej wiary, na wypadek gdyby środki pochodziły z przestępstwa, choć rzeszowska sprawa uczy, że wdzięczności państwa oczekiwać nie należy. Cywilnoprawnie odbiorca jest wzbogacony bez podstawy prawnej (art. 405 k.c.) wobec wierzyciela, którego nie zna; długu nie ma jak spełnić ani złożyć do depozytu, pozostaje więc czekać, aż roszczenie nieznajomego się przedawni (co do zasady sześć lat, z końcem roku kalendarzowego), pamiętając, że przedawnienie cywilne nie chroni przed art. 291 i 299 k.k., gdy środki pochodzą z przestępstwa, a ewentualne zbycie fiskus opodatkuje stawką 19 proc. od pełnej kwoty, bo kosztów nabycia brak. I omijać szerokim łukiem specjalistów od odzyskiwania, którzy za zaliczkę obiecują ustalić nadawcę; to zwykle drugi akt tego samego przedstawienia. Finał alternatywny jest zresztą ustawowo przesądzony: wartość złożona do depozytu, po którą uprawniony się nie zgłosi, podlega po latach likwidacji na rzecz Skarbu Państwa.

Prawo rzymskie mawiało, że posiadanie to dziewięć dziesiątych prawa. W blockchainie posiadanie klucza jest na razie prawem całym, bo o brakującą jedną dziesiątą polski ustawodawca dotąd się nie upomniał. Wyrok NSA jest poprawny; niepokoić powinno co innego. System, który uczciwego znalazcę częstuje blokadą rachunku i dziewięcioma latami procedur zakończonych odmową, wychowuje znalazców, którzy następnym razem nie zgłoszą nic. A wtedy zguby przestaną wracać nie tylko w blockchainie.

autor: Robert Nogacki, radca prawny, partner zarządzający Kancelarii Prawnej Skarbiec