Kryptohuijaukset – yleisimmät huijaustavat ja miten toimia

Kryptohuijaukset ovat Suomessakin yleisiä, ja ne muuttuvat jatkuvasti uskottavammiksi. Lähes jokainen kryptohuijaus perustuu samaan ajatukseen: uhri saadaan itse siirtämään varansa tai antamaan pääsy lompakkoonsa. Kun tunnet yleisimmät kaavat, tunnistat myös niiden uudet muunnelmat.

Miksi kryptot houkuttelevat huijareita

Kryptosiirtoa ei voi perua. Kun varat on lähetetty lohkoketjussa toiseen osoitteeseen, mikään pankki tai asiakaspalvelu ei voi palauttaa niitä. Osoitteet eivät kerro omistajan henkilöllisyyttä, ja varat voidaan siirtää ulkomaille minuuteissa. Finanssivalvonta on todennut kryptosijoitushuijausten lisääntyneen ja uhrien keinojen saada rahansa takaisin olevan vähäisiä.

Huijaukset nojaavat myös tunteisiin. Kiire, pelko tilin sulkemisesta, lupaus nopeasta voitosta tai yksinäisyys saavat ihmisen toimimaan ennen kuin hän ehtii harkita. Huijari pyrkii usein pitämään uhrin kiireisenä ja erillään läheisistä, jotta kukaan ulkopuolinen ei ehdi kyseenalaistaa tilannetta. Uhriksi voi joutua kuka tahansa, sillä huijaukset on suunniteltu ammattimaisesti.

Väärennetty asiakaspalvelu ja kopiosivustot

Yksi yleisimmistä kaavoista on esiintyminen tunnetun kryptopörssin nimissä. Moni hakee sanoilla “binance huijaus”, koska Binance on maailman tunnetuimpia pörssejä ja siksi myös suosittu naamio. Kyse ei ole siitä, että pörssi itse olisi huijaus: huijarit lainaavat suurten kryptopörssien nimiä, koska ne herättävät luottamusta. Sama kaava toistuu kaikkien tunnettujen palveluiden kohdalla.

Tyypillisiä muotoja ovat:

• Tekstiviesti tai sähköposti, jossa kerrotaan epäilyttävästä kirjautumisesta tai nostosta ja pyydetään soittamaan “tukeen”.
• Kopiosivusto, jonka osoite muistuttaa aitoa ja joka voi näkyä hakukoneen mainoksena.
• Väärennetty sovellus, joka näyttää pörssin sovellukselta mutta välittää tunnukset huijareille.
• “Tukihenkilö” viestisovelluksessa, joka pyytää siirtämään varat “turvalliseen lompakkoon” tai asentamaan etäyhteysohjelman.

Aito palvelu ei pyydä salasanaa, kertakäyttökoodia tai lompakon palautuslausetta eikä käske siirtämään varoja uuteen osoitteeseen. Poliisin mukaan poliisi, pankit ja muut viranomaiset eivät kysy tunnuksia puhelimitse, sähköpostilla tai viestisovelluksissa. Kirjoita pörssin osoite itse selaimeen tai käytä kirjanmerkkiä. Binancella on esimerkiksi oma tarkistustyökalu, jolla kuka tahansa voi tarkistaa, onko verkko-osoite, sähköposti, puhelinnumero tai somekanava aidosti pörssin oma. Pörssistä kerrotaan tarkemmin Binance-arviossa.

Sijoitusromanssit ja “pig butchering”

Pitkäkestoisessa sijoitushuijauksessa huijari solmii ensin ystävyys- tai romanttisen suhteen esimerkiksi deittisovelluksessa, somessa tai “väärään numeroon” lähetetyn viestin kautta. Viikkojen tai kuukausien jälkeen puheeksi tulee kryptosijoittaminen, ja uhri ohjataan alustalle, joka näyttää aidolta kaupankäyntipalvelulta.

Alusta näyttää nopeasti kasvavia tuottoja, ja uhria kannustetaan sijoittamaan yhä enemmän. Nostoa yrittäessä eteen tulee “vero”, “vapautusmaksu” tai muu maksu. Todellisuudessa tuottoja ei ole, ja kaikki rahat ovat huijareiden hallussa.

Usein uhria neuvotaan ostamaan kryptot ensin aidosta ja tunnetusta pörssistä ja siirtämään ne sieltä huijarin osoittamalle alustalle. Aidon pörssin käyttö saa kaiken näyttämään turvalliselta, mutta rahat katoavat vasta viimeisessä siirrossa. Jos joku pyytää siirtämään ostamasi kryptot hänen antamaansa osoitteeseen tai sovellukseen, pysähdy. Englanniksi kaavaa kutsutaan nimellä pig butchering: uhria “lihotetaan” ennen kuin hänet tyhjennetään. Yhdysvaltain liittovaltion poliisi FBI pitää kryptosijoitushuijauksia yhtenä yleisimmistä ja vahingollisimmista petosmuodoista.

Suomessa on levinnyt myös valemainoksia, joissa käytetään julkisuuden henkilöiden nimiä ja kuvia. Poliisi kehottaa olemaan avaamatta tällaisten mainosten linkkejä ja olemaan asentamatta ohjelmia, joita pyydetään asentamaan sijoittamisen avuksi.

Väärennetyt airdropit ja lompakon tyhjentäjät

Airdrop tarkoittaa tokenien jakoa lompakoiden omistajille. Huijarit hyödyntävät ilmiötä lupaamalla ilmaisia tokeneita: linkki vie sivulle, joka pyytää yhdistämään lompakon ja “vahvistamaan kelpoisuuden”.

Todellisuudessa sivu pyytää allekirjoitusta, joka antaa hyökkääjän älysopimukselle luvan siirtää tokeneitasi. Tällaisia huijaussivujen työkaluja kutsutaan lompakon tyhjentäjiksi (wallet drainer). Yksi huolimaton allekirjoitus voi riittää, eikä huijari tarvitse palautuslausettasi. Siksi on tärkeää lukea, mitä lompakko pyytää hyväksymään, ja perua tarpeettomat käyttöluvat. Käyttöluvista kerrotaan lisää DeFi-oppaassa ja lompakon suojaamisesta kryptolompakko-oppaassa.

Lähisukuisia ovat “arvonnat”, joissa luvataan palauttaa lähetetyt kryptot kaksinkertaisina. Tällaisia jakoja ei ole olemassa, ja lähetetyt varat menetetään.

Palautushuijaus: toinen isku samalle uhrille

Huijauksen jälkeen uhriin ottaa usein yhteyttä taho, joka lupaa saada menetetyt varat takaisin. Se voi esiintyä asianajotoimistona, perintäyhtiönä tai jopa viranomaisena. Yhteydenotto voi tulla vasta kuukausien päästä, ja taho voi kertoa tietävänsä tapauksesta paljon. Kumpikaan ei todista sen aitoutta. FBI on varoittanut toistuvasti tekaistuista lakitoimistoista, jotka etsivät kryptohuijausten uhreja ja pyytävät heiltä ennakkomaksuja.

Nyrkkisääntö on yksinkertainen: viranomaiset eivät peri maksua rikoksen tutkimisesta, eikä kukaan voi luvata palauttavansa lohkoketjussa siirrettyjä varoja. Jos joku pyytää maksua tai lompakkotietoja varojen palauttamiseksi, kyse on todennäköisesti uudesta huijauksesta.

Näin suojaat itsesi etukäteen

Useimmat kryptohuijaukset voi torjua muutamalla tavalla, jotka kannattaa ottaa käyttöön ennen kuin mitään tapahtuu:

• Ota käyttöön kaksivaiheinen tunnistautuminen pörssitilillä, mieluiten todennussovelluksella tai fyysisellä turva-avaimella tekstiviestin sijaan.
• Säilytä palautuslause paperilla tai metallilevyllä, ei puhelimessa, pilvipalvelussa tai kuvakaappauksena.
• Pidä kokeiluille erillinen lompakko. Kun yhdistät lompakon uuteen palveluun, siinä kannattaa olla vain pieni summa.
• Tarkista vastaanottajan osoite ennen jokaista siirtoa ja tee suurista siirroista ensin pieni koesiirto.
• Älä kerro omistuksistasi somessa tai keskustelupalstoilla, sillä se tekee sinusta houkuttelevan kohteen.
• Puhu läheisen kanssa ennen suurta sijoitusta tai siirtoa. Ulkopuolinen huomaa varoitusmerkit usein helpommin.

Varoitusmerkit lyhyesti

• Taattu tai epärealistisen suuri tuotto.
• Kiire: “tarjous päättyy tänään” tai “tilisi suljetaan”.
• Pyyntö asentaa etäyhteysohjelma tai kertoa palautuslause.
• Nosto vaatii ensin uuden maksun.
• Tuntematon, joka siirtää keskustelun nopeasti yksityiseen viestisovellukseen.
• Palvelu, jota ei löydy ESMAn MiCA-rekisteristä tai joka on Finanssivalvonnan varoituslistalla.

Näin toimit ja ilmoitat Suomessa

Jos epäilet joutuneesi huijatuksi, toimi heti:

1. Lopeta maksut ja katkaise yhteys huijariin. Älä maksa “vapautusmaksuja”.
2. Ota yhteys pankkiisi heti, jos olet maksanut kortilla tai tilisiirrolla. Poliisin mukaan mitä nopeammin pankki ja poliisi saavat tiedon, sitä paremmat ovat mahdollisuudet saada rahat takaisin.
3. Tee rikosilmoitus poliisin verkkopalvelussa. Ilmoita, vaikka mahdollisuus saada varat takaisin olisi pieni, sillä ilmoitukset auttavat poliisia tunnistamaan rikossarjoja.
4. Tallenna todisteet: viestit, sivujen osoitteet, lompakko-osoitteet ja siirtojen tunnisteet.
5. Kerro palvelulle, jonka kautta varat lähtivät, ja anna sille vastaanottajan osoitteet.
6. Ilmoita tietojenkalastelusta Traficomin Kyberturvallisuuskeskukselle.
7. Tarkista toimijat Finanssivalvonnan varoituslistoilta.

Jos annoit huijarille etäyhteyden tietokoneeseen tai kerroit tunnuksiasi, vaihda salasanat puhtaalta laitteelta ja siirrä jäljellä olevat kryptot uuteen lompakkoon, jonka palautuslausetta kukaan muu ei ole nähnyt.

Rikosuhripäivystys (RIKU) tarjoaa tukea ja neuvoja rikoksen uhreille. Verotuksessa huijauksessa menetettyjä kryptoja ei Verohallinnon ohjeen mukaan voi vähentää luovutustappiona. Paras suoja on edelleen hidastaa: aito sijoitusmahdollisuus ei katoa, jos pysähdyt tarkistamaan sen.