CertiK-asiantuntija: hakkerit ovat toistaiseksi voitolla kilpajuoksussa

​Kryptovaluutta-ala menettää edelleen miljardeja dollareita hakkerihyökkäysten vuoksi. Jotkin suurimmista uhkista eivät kuitenkaan johdu lohkoketjuteknologian itsensä haavoittuvuuksista, vaan sitä ympäröivien järjestelmien ja ihmisten heikkouksista. Haastattelussa Traders Union -sivustolle CertiKin vanhempi lohkoketjututkija Natalie Newson selitti, miksi hakkerit pysyvät tietoturva-ammattilaisten edellä, kuinka turvallisia kryptolompakot todella ovat ja mitä käyttäjät voivat tehdä varojensa suojaamiseksi.

Hakkerit muuttavat taktiikoitaan

CertiKin Hack3D-raportin mukaan kryptovaluutta-ala menetti vuoden 2026 ensimmäisellä puoliskolla noin $1,31 miljardia 344 tietoturvapoikkeaman seurauksena. Ensi silmäyksellä tilanne näyttää parantuneen viime vuoteen verrattuna, mutta Natalie Newsonin mukaan nämä luvut antavat harhaanjohtavan kuvan.

Näennäinen parannus johtuu suurelta osin vuoden 2025 ensimmäisen puoliskon $1,45 miljardin suuruisesta Bybit-hakkeroinnista. Kun tämä yksittäinen tapaus jätetään pois, alan tappiot itse asiassa kasvoivat noin 28% vuodessa.

“Perustavanlaatuinen toimintaympäristö ei siis ole parantunut, ja joiltakin osin se on jopa heikentynyt. Suurin osa vahingoista ei johtunut nerokkaasta koodinmurtamisesta, vaan vaarantuneista lompakoista ja ihmisistä, joita manipuloitiin sosiaalisesti.”

Koodin haavoittuvuudet ovat edelleen hyökkäysten yleisin syy tapausmäärällä mitattuna. Vuoden 2026 kuuden ensimmäisen kuukauden aikana CertiK kirjasi 204 tällaista tapausta, jotka aiheuttivat noin $152 miljoonan tappiot. Lompakoiden vaarantuminen osoittautui kuitenkin tuhoisimmaksi: vain 33 tapausta aiheutti yli $444 miljoonan tappiot.

Tietojenkalasteluhyökkäykset aiheuttivat lisäksi $366 miljoonan tappiot. Vaikka tietojenkalastelutapausten määrä laski yli puolella edellisvuoteen verrattuna, taloudelliset tappiot vähenivät vain 11%.

“Hyökkääjät siirtyvät laajoista kampanjoista muutamiin erittäin kohdennettuihin sosiaalisen manipuloinnin hyökkäyksiin, ja vain neljä tapausta aiheutti noin 85% kaikista tietojenkalastelusta johtuneista tappioista.”

Suurin haavoittuvuus on lohkoketjun ulkopuolella

Hakkerit kohdistavat hyökkäyksensä yleensä ekosysteemeihin, joihin on keskittynyt suuria määriä pääomaa. Vuoden 2026 ensimmäisellä puoliskolla Ethereumissa kirjattiin eniten tapauksia: 153 hyökkäystä aiheutti noin $523 miljoonan tappiot. Solanaan kohdistui huomattavasti vähemmän hyökkäyksiä, mutta tappiot olivat silti $315 miljoonaa.

Huomattava osa vahingoista johtui vain kahdesta hakkeroinnista. Huhtikuussa hyökkääjät varastivat $291 miljoonaa Kelp DAO:lta ja $285 miljoonaa Drift Protocolilta. Yhdessä nämä tapaukset vastasivat lähes 44%:sta kryptovaluutta-alan kokonaismenetyksistä kuuden kuukauden ajanjaksolla.

“Suurin heikkous ei oikeastaan ole itse lohkoketjussa. Se on lohkoketjun ulkopuolinen kerros, josta kaikki riippuu: avainten hallinta, allekirjoitustyönkulut, käyttöliittymät ja infrastruktuuri, kuten RPC-palveluntarjoajat.”

Nämä lohkoketjun ulkopuolisen kerroksen heikkoudet auttavat selittämään, miksi jopa riippumattomissa tietoturva-auditoinneissa tarkastetut projektit voivat edelleen joutua hakkereiden uhreiksi.

“Auditointi on tilannekuva tietystä koodista tietyllä hetkellä, ei pysyvä hyväksyntäleima.”

Newson huomauttaa myös, että hyökkääjät kohdistavat hyökkäyksiä yhä useammin vanhempiin älysopimuksiin, jotka ovat olleet toiminnassa yli vuoden. Niiden haavoittuvuudet ovat saattaneet jäädä huomaamatta aiemmissa tarkastuksissa. Siksi CertiK suosittelee auditointien täydentämistä jatkuvalla valvonnalla, bug bounty -ohjelmilla ja ylimääräisillä tietoturvatarkastuksilla koodimuutosten jälkeen.

Tekoäly antaa hakkereille väliaikaisen etulyöntiaseman

Tekoäly muuttaa kyberrikollisten ja kryptovaluutta-alaa suojaavien yritysten välistä kamppailua. Hakkerit voivat nyt luoda vakuuttavia deepfakeja, tuottaa tietojenkalasteluviestejä useilla kielillä ja automatisoida petollisia toimintoja.

Tekoäly auttaa hyökkääjiä myös tunnistamaan koodin haavoittuvuudet nopeammin, mikä vähentää kehittyneiden hyökkäysten käynnistämiseen tarvittavaa teknistä asiantuntemusta. Kyberturvallisuusyritykset puolestaan käyttävät samaa teknologiaa koodin laajamittaiseen skannaamiseen, epäilyttävien transaktioiden havaitsemiseen ja monimutkaisten kryptovaluuttojen rahanpesujärjestelyjen jäljittämiseen.

“Molemmat osapuolet hyötyvät, ja tällä hetkellä kyse on todellisesta kilpavarustelusta.”

Osapuolten toimintaa rajoittavat kuitenkin hyvin erilaiset tekijät. Toisin kuin rikollisten, kyberturvallisuusyritysten on noudatettava sääntelyvaatimuksia ja varmistettava, että niiden työkalut tuottavat luotettavia tuloksia.

“Lyhyellä aikavälillä uskon hyökkääjien olevan etulyöntiasemassa, koska he ottavat uudet työkalut käyttöön ilman sääntelyyn tai tarkkuuteen liittyviä rajoitteita.”

Tasapaino voi muuttua pidemmällä aikavälillä. Newson uskoo, että tietoturva-ammattilaiset voivat lopulta saavuttaa etulyöntiaseman, koska heillä on käytettävissään suuria määriä dataa ja mahdollisuus skaalata puolustustoimiaan. Tämä edellyttää kuitenkin, että kryptovaluutta-ala investoi aktiivisemmin näihin teknologioihin.

Hakkerit siirtyvät digitaalisista hyökkäyksistä fyysiseen väkivaltaan

Rikolliset kohdistavat hyökkäyksiä yhä useammin suoraan kryptovaluuttojen haltijoihin ja käyttävät fyysistä väkivaltaa sekä uhkailua päästäkseen käsiksi heidän varoihinsa. Hyökkäyksiin voi liittyä kidnappauksia, kotiin tunkeutumisia ja kiristystä. Uhrit ovat muun muassa kryptoprojektien perustajia, yritysjohtajia, varakkaita sijoittajia ja jopa heidän perheenjäseniään.

Näitä niin kutsuttuja wrench-hyökkäyksiä leimaa fyysinen pakottaminen, jolla uhrit pyritään pakottamaan luovuttamaan kryptovaluuttansa. Niiden yleistymistä vauhdittavat kryptovaluuttasiirtojen välittömyys ja peruuttamattomuus, henkilötietojen vuodot sekä sijoittajien oma julkinen toiminta.

”Tässä on myös ironinen puoli: digitaalisen turvallisuuden parantuessa ihmisestä tulee helpoin reitti järjestelmään.”

Newson neuvoo huomattavia kryptovaluuttamääriä hallussaan pitäviä välttämään varojensa julkista esittelyä ja käyttämään turvamekanismeja, jotka estävät ketä tahansa yksittäistä henkilöä siirtämästä kaikkia varoja itsenäisesti.

Tällaisia ovat multisignature-lompakot ja aikalukitut transaktiot. Ne voivat vaikeuttaa varkautta jopa fyysisen pakottamisen yhteydessä, sillä rikolliset eivät voi yksinkertaisesti päästä käsiksi yhteen lompakkoon tai pakottaa sen omistajaa siirtämään varoja välittömästi.

Voiko kylmälompakoihin yhä luottaa?

Fyysiset uhat herättävät myös kysymyksiä siitä, miten kryptovaluuttoja tulisi säilyttää. Jopa internetistä erillään pysyvät laitteet ovat riippuvaisia laiteohjelmistonsa, toimitusketjujensa ja omistajiensa toiminnan luotettavuudesta.

Newson ei kuitenkaan usko näiden riskien tekevän hardware-lompakoista vanhentuneita.

”Kylmäsäilytys on yhä vahvin vaihtoehto, joka useimmilla ihmisillä on.”

Asiantuntija suosittelee hankkimaan laitteet suoraan valmistajilta, tarkistamaan ja päivittämään laiteohjelmiston säännöllisesti sekä säilyttämään seed phraset turvallisesti.

Suurten varojen kohdalla hän suosittelee lisäksi multisignature-ratkaisuja, jotta varojen turvallisuus ei olisi yhden laitteen tai valmistajan varassa. Private key -avainten säilyttäminen offline-tilassa tarjoaa edelleen merkittävää suojaa verkkohyökkäyksiä vastaan.

Voiko Web3:sta koskaan tulla turvallinen?

CertiKin mukaan vuoden 2026 ensimmäisellä puoliskolla menetetystä 1,31 miljardista dollarista vain noin 115 miljoonaa dollaria jäädytettiin tai saatiin takaisin. Raportointijakson aikana jäljelle jääneitä varoja ei ollut jäädytetty eikä saatu takaisin.

Yhden tapauksen keskimääräinen tappio oli noin 3,8 miljoonaa dollaria, mutta mediaani oli huomattavasti pienempi, noin 139 000 dollaria. Tämä kertoo suuresta määrästä pienempiä hyökkäyksiä, jotka kohdistuvat vähemmän tunnettuihin projekteihin ja niiden käyttäjiin.

Newson uskoo kryptovaluutta-alan voivan parantaa turvallisuutta merkittävästi, mutta se edellyttää erilaista lähestymistapaa tuotekehitykseen.

”Kukaan ei ajattele salausta käyttäessään verkkopankkia, ja tälle tasolle Web3:n on päästävä.”

Hänen mukaansa kryptolompakoiden pitäisi selittää selkeästi, mitä käyttäjät ovat allekirjoittamassa, ja varoittaa heitä ennen vuorovaikutusta mahdollisesti haitallisten palveluiden kanssa. Yhtä tärkeitä ovat paremmat työkalut käyttöoikeuksien ja varojen palauttamiseen tietoturvapoikkeamien jälkeen.

Käyttäjiltä ei pitäisi edellyttää syvällistä blockchain-teknologian tuntemusta varojensa turvalliseen hallintaan.

”Riski ei koskaan ole nolla, kuten ei perinteisessä rahoituksessakaan, mutta suunta on oikea.”

Loppujen lopuksi Web3:n tuleva kehitys riippuu paitsi lohkoketjujen ja älysopimusten parannuksista myös siitä, kuinka tehokkaasti ala pystyy suojaamaan tavallisia käyttäjiä virheiltä, petoksilta ja uusilta hyökkäysmuodoilta.