Viisi kryptovarkautta, jotka ravistelivat alaa

Tämän vertailun suurin kryptovarkaus on noin 1,5 miljardin dollarin arvosta kryptovaluuttaa, joka vietiin Bybit-pörssiltä helmikuussa 2025. Tapaukset osoittavat, ettei hyökkäyksen kohteena aina ole itse lohkoketju: haavoittuvuus voi löytyä myös pörssin lompakoista, siirtojen hyväksymisestä tai eri lohkoketjuja yhdistävästä sillasta. Summat ovat arvioita varojen arvosta varkaushetkellä, ja eri lähteiden luvut voivat vaihdella. 2

Viisi suurta tapausta yhdellä silmäyksellä

Tapaus	Ajankohta	Arvioitu menetys	Kohde ja ilmoitettu heikkous	Seuraukset
Bybit	Helmikuu 2025	1,5 mrd. dollaria	Kylmälompakosta tehty siirto; tapahtuman allekirjoitus- ja hyväksymisprosessi vaarantui	FBI syytti varkaudesta pohjoiskorealaisia hakkereita. Bybit ilmoitti turvanneensa asiakkaiden saldot, mutta se ei tarkoita varastettujen kryptojen palautuneen. 2
Ronin Network	Maaliskuu 2022	625 milj. dollaria	Axie Infinity -pelin yhteydessä käytetty lohkoketjusilta; hyökkääjät saivat haltuunsa riittävästi validaattorien tunnistetietoja nostaakseen varoja	Yhdysvaltain viranomaiset yhdistivät hyökkäyksen Pohjois-Korean Lazarus Groupiin. Osa varoista saatiin myöhemmin takaisin, ja sillan ylläpitäjä järjesti korvaukset. 2
Poly Network	Elokuu 2021	610 milj. dollaria	Lohkoketjujen välisten siirtojen hallintamekanismit	Hyökkääjä palautti lähes kaikki varat. Tekijää ei pystytty lähteissä vahvistamaan.
Coincheck	Tammikuu 2018	530 milj. dollaria	NEM-tokenit pörssin internetiin kytketyssä lompakossa	Coincheck korvasi menetyksiä kärsineille asiakkaille. Tekijöitä ei pystytty lähteissä varmuudella tunnistamaan.
Mt. Gox	Tuli ilmi helmikuussa 2014	450–500 milj. dollaria	Noin 850 000 bitcoinia katosi pörssin turvallisuus- ja kirjanpito-ongelmien keskellä	Pörssi romahti. Vastuu varkaudesta on yhä kiistanalainen, ja osa velkojista on saanut korvauksia pitkän prosessin aikana. 2

Miten hyökkäykset toteutettiin?

Bybit: hyväksymisprosessi joutui hyökkäyksen kohteeksi

Hyökkääjät veivät Bybitiltä 21. helmikuuta 2025 etheriä noin 1,5 miljardin dollarin arvosta. Raporttien mukaan varat siirrettiin kylmälompakosta, ja siirron hyväksyjät johdettiin harhaan siitä, mitä he olivat hyväksymässä. Kylmälompakolla tarkoitetaan yleensä verkosta erillään säilytettävää lompakkoa. FBI yhdisti varkauden pohjoiskorealaisiin hakkereihin. Bybit ilmoitti turvanneensa asiakkaiden saldot, mutta varastettujen varojen korvaaminen asiakkaille ei ole sama asia kuin niiden saaminen takaisin. 2

Ronin: varastetut tunnistetiedot mahdollistivat nostot

Maaliskuussa 2022 Ronin-verkosta vietiin noin 625 miljoonan dollarin arvosta kryptovaluuttaa. Verkko liittyy Axie Infinity -peliin, ja hyökkääjät saivat haltuunsa riittävästi validaattorien tunnistetietoja hyväksyäkseen nostoja verkkoja yhdistävästä sillasta. Yhdysvaltain viranomaiset yhdistivät hyökkäyksen Pohjois-Korean Lazarus Groupiin. Osa varoista saatiin myöhemmin takaisin, ja sillan ylläpitäjä järjesti korvaukset. 2

Poly Network: ongelma lohkoketjujen välisissä siirroissa

Poly Networkistä vietiin elokuussa 2021 noin 610 miljoonan dollarin edestä varoja. Alustan eri lohkoketjujen välisiä siirtoja ohjanneissa mekanismeissa ollut heikkous antoi hyökkääjälle mahdollisuuden siirtää varoja. Hyökkääjä palautti lähes kaiken, mikä oli poikkeuksellinen lopputulos näin suuressa varkaudessa.

Coincheck: varat olivat verkkoon kytketyssä lompakossa

Coincheckiltä vietiin tammikuussa 2018 noin 530 miljoonan dollarin arvosta NEM-tokeneita. Ne säilytettiin internetiin kytketyssä lompakossa, mikä altisti pörssin varat verkkohyökkäykselle. Coincheck korvasi menetyksiä kärsineille asiakkaille, mutta tekijöitä ei pystytty lähteissä varmuudella tunnistamaan.

Mt. Gox: menetys johti pörssin romahtamiseen

Mt. Gox ilmoitti helmikuussa 2014, että noin 850 000 bitcoinia oli kadonnut. Niiden arvo oli tuolloin arviolta 450–500 miljoonaa dollaria. Pörssi romahti, eikä vastuuta tapahtuneesta ole ratkaistu yksiselitteisesti. Osa velkojista on saanut korvauksia, mutta prosessi on ollut pitkä. 2

Bitget ja varkauksien laajempi mittakaava

Syyskuussa 2026 kryptopörssi Bitget ilmoitti lompakoistaan tehdyistä luvattomista siirroista. Alkuarvio menetyksestä oli noin 351,6 miljoonaa dollaria, ja pörssi keskeytti nostot tilapäisesti. Bitgetin mukaan asiakkaiden varat olivat turvassa ja yhtiö kattaisi menetyksen omista varoistaan. Myöhemmässä raportissa arvioksi annettiin noin 387,5 miljoonaa dollaria, joten julkisuudessa esitetty summa vaihteli päivitysten välillä. Yhtiön toimitusjohtaja kertoi epäilevänsä Pohjois-Korean osallisuutta, mutta tätä arviota ei ollut vahvistettu. 1349

Yksittäiset tapaukset ovat osa laajempaa ongelmaa. TRM Labs arvioi, että laittomat toimijat varastivat vuonna 2025 noin 2,87 miljardia dollaria lähes 150 eri hyökkäyksessä. Bybitin tapaus muodosti summasta noin 1,46 miljardia dollaria eli 51 prosenttia.

Viranomaiset ovat lisäksi varoittaneet järjestäytyneiden rikollisryhmien käyttävän kryptovaluuttoja varojen nopeaan siirtämiseen maiden rajojen yli ja perinteisen rahoitusjärjestelmän ohi. 13 Tapaukset havainnollistavat, että kryptoturvallisuus ei riipu vain yksityisten avainten suojaamisesta. Myös siirtojen valmistelu, hyväksyminen, lompakoiden käyttö ja lohkoketjusiltojen hallinta voivat muodostua heikoiksi lenkeiksi.