MiCA-skæringsdatoen efterlod 1.062 kryptofirmaer uden tilladelse

EU’s sidste overgangsperiode under MiCA – forordningen om markeder for kryptoaktiver – udløb 1. juli 2026. Fra den dato måtte en udbyder af kryptotjenester, der betjente EU-kunder uden den nødvendige tilladelse, ikke længere tilbyde de pågældende tjenester. Virksomheden skulle i stedet afvikle aktiviteterne ordnet, herunder sørge for kundemigrering, hvor det var nødvendigt. Den Europæiske Værdipapir- og Markedstilsynsmyndighed, ESMA, havde på forhånd fastslået, at der ikke ville komme en yderligere fælleseuropæisk forlængelse.

Resultatet blev en markant oprydning på markedet, men tallene skal læses med omtanke. En opgørelse fra TRM Labs identificerede 1.343 kryptotjenesteudbydere i Det Europæiske Økonomiske Samarbejdsområde, EØS. Af dem havde 281 MiCA-tilladelse, mens 1.062 ikke havde ved fristen. De 1.062 virksomheder skulle derfor forlade markedet, omstrukturere eller overføre kunder til en autoriseret udbyder – men tallet beviser ikke, at alle havde lukket samtlige aktiviteter med det samme.

Hvad skete der efter fristen?

MiCA fjernede ikke automatisk alle platforme uden tilladelse fra den ene dag til den anden. Udbydere uden autorisation skulle stoppe med at betjene EU-kunder, begrænse deres aktiviteter eller afvikle forretningen på en ordnet måde. Autoriserede virksomheder forventedes samtidig at håndtere flytningen af eksisterende kunder.

Det er også forklaringen på, at forskellige medier rapporterer forskellige totaler. Senere dækning nævnte mere end 1.700 platforme uden tilladelse, 323 autoriserede virksomheder og omkring 10 millioner brugere, der kunne få brug for at flytte deres aktiver. Tallene kommer fra forskellige opgørelser og bør derfor betragtes som estimater – ikke som en officiel ESMA-optælling af afsluttede lukninger eller brugere, der rent faktisk har flyttet deres aktiver.

Den mest holdbare konklusion er, at MiCA kraftigt reducerede antallet af udbydere, der kunne betjene det europæiske marked under de gamle nationale ordninger. Det er ikke dokumenteret, at alle virksomheder uden tilladelse allerede havde indstillet enhver aktivitet, eller at alle berørte brugere havde gennemført en overførsel.

Hvorfor skabte oprydningen nye muligheder for svindel?

Overgangen gav svindlere et troværdigt påskud til at kontakte kunder med beskeder om deres konti. Kriminelle kunne udgive sig for at være en rigtig kryptobørs, ESMA, en national tilsynsmyndighed eller en partner, der skulle hjælpe med migreringen. Brugerne blev eksempelvis bedt om at “verificere” kontoen, flytte penge, låse en wallet op eller hæve midler inden en påstået deadline.

Europæiske tilsynsmyndigheder meldte om flere identitetssvindelnumre efter 1. juli. Metoderne omfattede falske myndighedsmeddelelser, forfalskede autorisationsdokumenter, kopierede hjemmesider og beskeder, der ledte brugerne videre til svigagtige platforme.

Faren er særlig stor, fordi en legitim udbyder faktisk kan bede kunder om at hæve eller flytte deres aktiver. En ægte reguleringsændring gør dog ikke et uopfordret link troværdigt. Behandl enhver besked som ubekræftet, indtil den er kontrolleret via en kendt, officiel kanal.

Hvilke børser blev rapporteret som autoriserede?

Blandt de større børser, der er blevet rapporteret som MiCA-autoriserede, er Coinbase, Kraken, OKX, Crypto.com, Bitstamp og Bitpanda. Tilladelserne er udstedt gennem bestemte EU-lande, og MiCA-rammen gør det muligt for autoriserede udbydere at tilbyde tilladte tjenester på tværs af det indre marked via såkaldt pasportering.

Listen bør ikke opfattes som en permanent erstatning for selv at kontrollere registret. En autorisation tilhører en bestemt juridisk enhed og kan være begrænset til bestemte tjenester. ESMA anbefaler, at brugerne kontrollerer både virksomhedens status og omfanget af dens tilladelser.

Binance havde ikke en tilsvarende MiCA-autorisation ved fristen 1. juli. Koncernens europæiske aktiviteter kunne derfor ikke basere sig på et EU-dækkende MiCA-pas, og rapporteringen lød, at Binance ville stoppe med at tilbyde relevante nye tjenester, mens brugernes positioner blev afviklet ordnet.

Det tilgængelige materiale giver ikke et tilstrækkeligt pålideligt grundlag for at navngive bestemte banker, der skulle have “sikret MiCA-tilladelser”. Spørgsmålet kræver desuden en vigtig sondring: Visse finansielle virksomheder kan tilbyde kryptotjenester gennem MiCA’s anmeldelsesordning uden at have den samme selvstændige CASP-autorisation som en kryptobørs.

Hvad ændrede MiCA i forhold til de gamle regler?

Før overgangsperioden udløb, kunne kvalificerede virksomheder, der allerede opererede under nationale ordninger, midlertidigt fortsætte, mens de søgte MiCA-autorisation. De nationale systemer var fragmenterede. MiCA indførte i stedet en fælles EU-ramme for autorisation og tilsyn med udbydere af kryptotjenester.

Reglerne omfatter blandt andet:

• Autorisation og tilsyn: Udbydere skal være autoriserede eller benytte en relevant anmeldelsesordning, før de tilbyder omfattede tjenester.
• Ledelse og økonomiske sikkerhedsforanstaltninger: MiCA stiller krav til organisation, ledelse og finansielle sikkerhedsforanstaltninger. Kapitaldækningskravene varierer efter tjenesten og kan også være knyttet til virksomhedens faste omkostninger.
• Beskyttelse af kunders aktiver: Reglerne omhandler opbevaring af kundernes kryptoaktiver og midler.
• Registre og klagebehandling: Udbydere skal føre registre og have procedurer til håndtering af klager.
• Oplysninger og markedsregler: MiCA fastlægger krav til gennemsigtighed, oplysninger, autorisation og tilsyn med udstedelse og handel med kryptoaktiver, herunder aktivbaserede tokens og e-pengetokens.

En MiCA-autorisation forbedrer det regulatoriske tilsyn, men er ikke en garanti mod tab, kursudsving, hacking, driftsproblemer eller svindel.

Sådan kontrollerer du en kryptoudbyder

1. Find den præcise juridiske enhed. Stol ikke kun på et brandnavn, en app eller en annonce i søgeresultaterne. Slå virksomheden op i ESMA’s register, og kontrollér, at tilladelserne dækker den tjeneste, du vil bruge, samt dit land. Tjek også den relevante nationale tilsynsmyndigheds advarselsliste.

2. Brug en kendt kanal. Åbn selv børsens etablerede hjemmeside eller verificerede app. Brug ikke links, QR-koder, telefonnumre eller vedhæftede filer fra uopfordrede e-mails, sms’er, opslag på sociale medier eller direkte beskeder.

3. Afvis forespørgsler om hemmelige oplysninger. Ingen legitim tilsynsmyndighed eller kryptobørs bør have brug for din seed phrase, private nøgle, adgangskode eller engangskode for at flytte en konto.

4. Kontrollér flytteinstruktioner uafhængigt. Bekræft modtageradressen og netværket via en betroet kanal. Hvis det er relevant, kan du først sende en lille testtransaktion og gemme de relevante oplysninger.

5. Undersøg, hvad den nye udbyder faktisk understøtter. Kontrollér, at dine aktiver, handelspar, opbevaringsforhold og hævemuligheder fortsat er tilgængelige, før du flytter en saldo.

6. Begræns beløbet på børsen. Opbevar kun det beløb, du har brug for til handel, på en centraliseret platform. Ved langsigtet selvopbevaring bør gendannelsesoplysninger sikres offline, og du bør have en testet backup-plan.

Den vigtigste læring fra MiCA-fristen er derfor ikke kun, at mange virksomheder mistede muligheden for at betjene EU-kunder. En ægte overgang til nye regler kan også skabe særdeles overbevisende phishingforsøg. Kontrollér den juridiske enhed og kommunikationen via uafhængige, officielle kanaler, før du flytter et eneste aktiv.