Lokakuun 29. päivänä, noin kahdessakymmenessä minuutissa, Binance-lompakoista katosi 6,3 miljardia dollaria. Kyseessä oli historian suurin kryptovarkaus, yli neljä kertaa suurempi kuin Bybit-hakkerointi helmikuussa 2025.
Pääsykohta, pörssin oman selvityksen mukaan, oli insinöörin tietokone, joka sai tartunnan tekaistun työhaastattelun yhteydessä.
Kaksi päivää myöhemmin Binance ilmoitti palauttaneensa 98 % varoista omilla varoillaan; seuraavana päivänä se jatkoi nostoja.
Muista tämä viimeinen tieto. Se on tärkein, vaikka siitä puhutaan vähiten.
Kun työkaluna on vasara, jokainen ongelma näyttää naulalta
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026, muutama tunnetuin mainitakseni. Ongelmat vaihtelevat, mutta vastaus on aina sama: itsehallinta, sillä ei avaimia, ei kolikoita.
Lähtökohta on teknisesti totta. Jos et omista privaattiavainta, et hallitse omaisuutta: silloin sinulla on ainoastaan vaatimus sitä kohtaan, joka avaimen omistaa.
Johtopäätös ei kuitenkaan ole, että itsehallinta olisi automaattisesti turvallisempaa.
Voitettujen hautausmaa on hiljainen, paitsi jos häviäjä on todella suuri
Kun pörssi joutuu hyökkäyksen kohteeksi, koko maailma näkee sen. Panoksina on miljardeja dollareita, julkinen tiedote julkaistaan ja kansainvälinen uutisointi seuraa.
Kun yksittäinen henkilö menettää kaiken, tuskin kukaan saa siitä tietää. Vaikka tappio on lohkoketjussa julkinen, kuka seuraa näitä tutkimuksia? Suuri yleisö seuraa mediaa.
Monet uhrit eivät tee edes rikosilmoitusta, häpeästä tai epäuskosta.
Tutkimuspuolella näkymä on tuttu: uhri tuo mukanaan tapahtumatunnuksia ja toivon siitä, että joku voisi “jäädyttää bitcoinit”.
Ja ellei kaikki osu kohdalleen (nopea ja täsmällinen ilmoitus, pätevä viranomainen, varat päätyvät pörssiin tai jäähdytettäviin tokeneihin), lopputulos on surkea.
Suuret pörssihyökkäykset eivät ole yleisimpiä. Ne vain kaikki huomaavat.
Erikoisvalikoima itsehallinnan riskimenusta
Siemenen antaminen. 10. tammikuuta 2026 sijoittaja luki laitteistolompakkonsa siemenen huijarille, joka esiintyi Trezorin tukihenkilönä. Hän menetti 1 459 BTC ja 2,05 miljoonaa LTC, yli 282 miljoonaa dollaria. Laite toimi moitteettomasti. Omistaja ei.
Siemenen vuotaminen. Kuva puhelimessa, muistiinpano pilvessä, sähköposti itselle. Kukaan ei pyytänyt sanoja; ne vain pääsivät vuotamaan.
Allekirjoitus-huijaus. Allekirjoitat viestin lohkoketjun ulkopuolella, ja tällä hyväksyt kolmansien osapuolten oikeudet siirtää tokeneitasi. He vievät varat silloin, kun hyökkääjä haluaa. Vertaa tilannetta allekirjoitettavaan blankoshekkiin, joka jää vieraaseen laatikkoon. Tammikuussa 2026 tämä aiheutti yhteensä 6,3 miljoonan dollarin menetykset.
Ironista kyllä, myös Binance-hakkerointi eteni allekirjoitusten kautta. Pörssin järjestelmää huijattiin tekemään 50 hyväksyntää yhtä aikaa, ja vain yksi näistä riitti siirtämään hyökkääjälle lompakon, joka menetti yhdessä tapahtumassa 2,2 miljardia dollaria.
Wrench attack. Hyökkäyksen nimi tulee jakoavaimesta. Mikään kryptografia ei suojaa fyysistä uhkaa vastaan sinua tai perhettäsi kohtaan. Vuoden 2026 ensimmäisellä puoliskolla CertiK laski 52 tapausta, yhteensä 124 miljoonaa dollaria; Ranskassa näistä 33.
Osoitteen myrkytys. Huijari lisää lompakkotapahtumiisi osoitteen, joka on lähes identtinen oikean kanssa. Seuraavan kerran kopioit siirrossa väärän osoitteen. Yksi tapaus tammikuussa maksoi 12,25 miljoonaa dollaria.
Laiterikko. Heinäkuun 29. päivänä ColdCardin käyttäjiltä, jotka eivät olleet koskaan yhdistäneet laitettaan internetiin, varat tyhjenivät avainluonnin satunnaisuusvirheen vuoksi. Yli tuhat bitcoinia. Käsittelin tapausta tekstissä “Ei avaimiasi – ei kolikoitasi — mutta tiedätkö, miten avaimet muodostetaan?”.
Huomaa: jokaisessa tapauksessa uhri luotti johonkin. Tukipalveluun, pilveen, verkkosivuun, omaan harkintaan, tapahtumahistoriaan, laiteohjelmistoon. Ja kaikissa tapauksissa uhri luotti omaan kykyynsä.
Itsehallinta vai pörssi? Väärä vastakkainasettelu
Jokaisessa säilytysmuodossa on riski. Omaisuusvarojen jättäminen pörssiin tarkoittaa luottamusta pörssin hallintoon ja vakavaraisuuteen. Itse säilyttäessä luotetaan itseensä, laitteeseen, ohjelmistoon ja mahdollisesti muihin, jotka tietävät bitcoin-omistuksesta. Ongelmana on ensimmäisen riskin tunnistaminen ja toisen sivuuttaminen.
Ei ole vaihtoehtoa ilman luottamusta. On tietoista luottamusta ja huomaamatonta luottamusta. Kallein riski on se, mitä ei edes huomaa.
Kenenkään ei pitäisi säilyttää kaikkea varallisuuttaan patjan alla, eikä myöskään yhdessä pankissa.
Kryptoomaisuudessa logiikan tulee olla sama: osa vahvassa pörssissä (tai kolmessa), osa hyvin hoidettuna omavaraisessa säilytyksessä, osa ETF-rahastoissa — esimerkiksi 30 %, 40 % ja 30 %.
Jako riippuu tiedoistasi, profiilistasi ja tavoitteistasi. Sitä vastuuta ei voi siirtää toiselle. Ikävä totuus, mutta parempi kuulla nyt kuin myöhemmin.
Ylihuominen
Vastuu vähentää riskejä, mutta ei poista niitä. Kannattaa siis pohtia, ei vain “mikä vaihtoehto on minulle turvallisin?” vaan myös “mitä minulle tapahtuu hyökkäyksen jälkeen?”
Omavaraisessa säilytyksessä ei ole ketään, jolle soittaa. Tammikuussa varastettua 282 miljoonaa dollaria alettiin välittömästi vaihtaa Moneroon (BTC, BTC, LTC). Varat jäädytetään usein siinä vaiheessa, kun rahat osuvat stablecoin-liikkeellelaskijalle tai pörssiin. Täydellinen palautus on harvinaista.
Pörssissä vastapuoli on olemassa. Bybit palautti asiakkaiden varat kolmen päivän kuluessa. Bitget korvasi syyskuussa viedyt 388 miljoonaa dollaria omasta suojarahastostaan.
Binance korvasi 100 % tappioista, ja palautusaste on jo 98 %, mikä voidaan todistaa heidän proof of reserves -sivultaan.
Vastapuolesta on hyötyä vain silloin, kun se on maksukykyinen. Lisäksi palautus ei aina vastaa alkuperäistä määrää.
Mt. Goxin velkojat odottivat kymmenen vuotta ja saivat takaisin vain noin 15 % siitä bitcoin-määrästä, jonka he “omistivat”. Tänä aikana bitcoinin arvonnousun ansiosta pienikin osa oli kuitenkin moninkertaisesti arvokkaampi kuin koko tilin saldo vuonna 2014.
FTX:n velkojat saivat käteistä eivätkä kryptovaroja: noin 120 % marraskuussa 2022 tapahtuneen romahduksen aikaisesta arvosta, kun bitcoinin hinta oli noin 16 000 dollaria. He saivat siis enemmän kuin varat olivat romahtaessa, mutta paljon vähemmän kuin niiden arvo olisi tänään.
Siksi Brasiliassa vuoden 2025 keskuspankin (BCB) päätöslauselmat 519, 520 ja 521 ovat tärkeitä.
Sijoittajille olennaisinta ei ole, että pörssi raportoi keskuspankille, vaan vaatimukset, joita noudatetaan: asiakkaiden varat erotetaan yhtiön omista, säilytetään erillisissä lompakoissa, proof of reserves ja ulkoiset tilintarkastukset ovat pakollisia, ja varoja ei saa käyttää yhtiön omiin tarkoituksiin.
Yhteenveto
Not your keys, not your coins on maksiimi kontrollista, ei turvallisuudesta.
Kaikki varat pois pörsseistä -ratkaisu ei poista luottamusta, vaan siirtää sen. Usein tämä tarkoittaa, että luottaa itseensä kyseenalaistamatta, onko luottamus ansaittua.
Säilytyksen ydin ei ole valinta, ketä EI luoteta – vaan se, kehen luottaa tietoisesti ja miten.
