MiCA-murros jätti 1 062 kryptoyritystä ilman lupaa – samalla käynnistyivät muuttamishuijaukset

EU:n Markets in Crypto-Assets -asetus eli MiCA siirtyi täysimääräiseen täytäntöönpanoon 1. heinäkuuta 2026, kun viimeinen siirtymäaika päättyi. Sen jälkeen kryptovarapalveluita EU-asiakkaille tarjoavan yrityksen oli oltava asianmukaisesti hyväksytty tai lopetettava kyseiset palvelut hallitusti. Euroopan arvopaperimarkkinaviranomainen ESMA ilmoitti, ettei koko EU:lle tule enää uutta jatkoaikaa.

Lopputuloksena oli laaja markkinoiden karsinta, mutta julkisuudessa esitettyjä lukuja on syytä tulkita tarkasti. TRM Labsin aineistossa Euroopan talousalueelta (EEA) tunnistettiin 1 343 kryptopalveluntarjoajaa. Niistä 281 oli saanut MiCA-luvan ja 1 062 ei ollut saanut lupaa määräpäivään mennessä. Nämä 1 062 yritystä joutuivat poistumaan markkinoilta, järjestelemään toimintaansa tai siirtämään asiakkaansa luvan saaneelle toimijalle – luku ei tarkoita, että kaikki olisivat välittömästi sulkeneet kaiken toimintansa.

Mitä määräajan jälkeen tapahtui?

MiCA ei pyyhkäissyt kaikkia luvattomia alustoja pois verkosta yhdessä yössä. Luvattomien palveluntarjoajien oli lopetettava EU-asiakkaiden palveleminen, rajattava toimintaansa tai ajettava liiketoimintansa hallitusti alas. Luvan saaneilta yrityksiltä puolestaan odotettiin olemassa olevien asiakkaiden siirron aktiivista järjestämistä.

Tämä ero selittää, miksi eri lähteissä nähdään erilaisia kokonaismääriä. Myöhemmissä uutisissa mainittiin yli 1 700 luvatonta alustaa, 323 luvan saanutta yritystä ja noin 10 miljoonaa käyttäjää, joiden varoja saatettaisiin joutua siirtämään. Luvut perustuvat eri aineistoihin ja raportointiajankohtiin, joten niitä on pidettävä arvioina – eivätkä ne ole ESMA:n virallinen tilasto toteutuneista sulkemisista tai siitä, kuinka moni asiakas todella siirsi varansa.

Varmimmin voidaan sanoa, että MiCA vähensi jyrkästi niiden palveluntarjoajien määrää, jotka voivat toimia Euroopan markkinoilla vanhojen kansallisten järjestelyjen nojalla. Ei ole osoitettu, että jokainen luvaton yritys olisi jo lopettanut kaiken toimintansa tai että kaikki vaikutuksen piirissä olevat käyttäjät olisivat saaneet siirron päätökseen.

Miksi muutos avasi oven huijauksille?

Siirtymä loi huijareille uskottavan syyn ottaa asiakkaisiin kiireellisesti yhteyttä. Rikolliset saattoivat esiintyä oikeana kryptopörssinä, ESMA:na, kansallisena valvojana tai asiakkaiden siirroista vastaavana yhteistyökumppanina. Viesteissä käyttäjää saatettiin kehottaa ”vahvistamaan” tili, siirtämään varat, avaamaan lompakko tai nostamaan rahat ennen määräaikaa.

Eurooppalaiset valvojat kertoivat huijausten lisääntyneen 1. heinäkuuta jälkeen. Käytössä on ollut muun muassa väärennettyjä viranomaisilmoituksia, tekaistuja lupatodistuksia, kloonattuja verkkosivustoja ja viestejä, joissa käyttäjiä ohjataan vilpillisille alustoille.

Tilanne on erityisen petollinen siksi, että luvallinenkin palveluntarjoaja voi aidosti pyytää asiakkaita nostamaan tai siirtämään varoja. Todellinen sääntelymuutos ei kuitenkaan tee pyytämättä lähetetystä linkistä luotettavaa. Suhtaudu jokaiseen tällaiseen viestiin epäilyttävänä, kunnes olet tarkistanut sen tunnettua virallista kanavaa pitkin.

Mitkä kryptopörssit olivat tiettävästi luvan saaneita?

Raportoiduissa esimerkeissä suurista MiCA-luvan saaneista pörsseistä mainittiin Coinbase, Kraken, OKX, Crypto.com, Bitstamp ja Bitpanda. Luvat on myönnetty tiettyjen EU-jäsenmaiden kautta, ja MiCA mahdollistaa hyväksytyille palveluntarjoajille palvelujen tarjoamisen muualla sisämarkkinoilla niin sanotun passituksen avulla.

Nimiä ei kuitenkaan pidä pitää pysyvänä korvikkeena viralliselle tarkistukselle. Lupa kuuluu tietylle oikeushenkilölle, ja se voi koskea vain tiettyjä palveluja. ESMA:n sijoittajaohjeiden mukaan käyttäjän on tarkistettava sekä palveluntarjoajan asema että luvan laajuus.

Binancella ei ollut 1. heinäkuuta määräaikaan mennessä vastaavaa MiCA-lupaa. Sen Euroopan-toiminta ei siten voinut perustua koko EU:n kattavaan MiCA-passiin. Raporttien mukaan yhtiö lopetti asiaankuuluvien uusien palvelujen tarjoamisen ja keskittyi käyttäjäpositioiden hallittuun sulkemiseen.

Saatavilla oleva aineisto ei anna riittävän luotettavaa perustaa nimetä tiettyjä pankkeja, jotka olisivat ”saaneet MiCA-luvan”. Kysymys vaatii muutenkin tarkkuutta: jotkin rahoitusalan toimijat voivat tarjota kryptovarapalveluja MiCA:n ilmoitusmenettelyn kautta ilman, että niillä olisi pörssin kaltaista erillistä CASP-toimilupaa.

Mitä MiCA muutti aiempaan järjestelmään verrattuna?

Ennen siirtymäajan päättymistä kelpoisuusehdot täyttävät yritykset saattoivat jatkaa toimintaansa kansallisten järjestelyjen nojalla ja hakea samalla MiCA-lupaa. Kansalliset järjestelmät olivat hajanaisia. MiCA toi niiden tilalle yhteisen EU-kehyksen kryptovarapalveluntarjoajien luvitukselle ja valvonnalle.

Keskeisiä vaatimuksia ovat:

• Lupa ja valvonta: Palveluntarjoajalla on oltava toimilupa tai sen on käytettävä soveltuvaa ilmoitusmenettelyä ennen säänneltyjen palvelujen tarjoamista.
• Hallinto ja vakavaraisuuden turvaaminen: MiCA edellyttää organisatorisia, hallinnollisia ja taloudellisia suojatoimia. Pääomavaatimukset vaihtelevat palvelun mukaan, ja ne voivat liittyä myös kiinteisiin yleiskustannuksiin.
• Asiakasvarojen suoja: Säännöissä käsitellään asiakkaiden kryptovarojen ja rahavarojen säilyttämistä.
• Kirjanpito ja valitusten käsittely: Palveluntarjoajien on säilytettävä tietoja ja järjestettävä menettelyt asiakasvalitusten käsittelyä varten.
• Avoimuus ja markkinasäännöt: MiCA asettaa kryptovarojen liikkeeseenlaskulle ja kaupankäynnille avoimuus-, tiedonanto-, lupa- ja valvontavaatimuksia. Säännöt koskevat myös omaisuusreferenssitokeneita ja sähkörahakkeita.

MiCA-lupa parantaa valvontaa, mutta se ei takaa suojaa tappioilta, kurssivaihteluilta, hakkeroinneilta, toimintahäiriöiltä tai petoksilta.

Näin tarkistat palveluntarjoajan

1. Etsi täsmällinen oikeushenkilö. Älä luota pelkkään brändinimeen, sovelluskaupan listaukseen tai hakumainokseen. Tarkista yritys ESMA:n rekisteristä ja varmista, että lupa kattaa käyttämäsi palvelun ja oman maasi. Katso lisäksi kansallisen valvojan varoituslista.

2. Aloita tunnetusta virallisesta kanavasta. Kirjoita pörssin tuttu verkkosivuston osoite itse selaimeen tai avaa vahvistettu sovellus. Älä käytä pyytämättömien sähköpostien, tekstiviestien, sosiaalisen median viestien tai suoraviestien linkkejä, QR-koodeja, puhelinnumeroita tai liitteitä.

3. Älä luovuta salaisuuksia. Mikään aito viranomainen tai kryptopörssi ei tarvitse palautuslausettasi, yksityistä avaintasi, salasanaasi tai kertakäyttöistä vahvistuskoodia tilin siirtämiseen.

4. Varmista siirto-ohjeet itsenäisesti. Tarkista kohdeosoite ja käytettävä verkko luotetusta kanavasta. Lähetä tarvittaessa ensin pieni testisiirto ja säilytä asiaankuuluvat tiedot.

5. Tarkista uuden palvelun todellinen tarjonta. Varmista ennen saldon siirtämistä, että tarvitsemasi varat, kaupankäyntiparit, säilytysjärjestelyt ja nostomahdollisuudet ovat edelleen saatavilla.

6. Rajaa pörssissä säilytettävää summaa. Pidä keskitetyllä alustalla vain kaupankäyntiin tarvittava saldo. Jos säilytät varoja itse pitkään, pidä palautustiedot offline-tilassa ja huolehdi toimivasta varmuuskopiointisuunnitelmasta.

MiCA-määräajan tärkein opetus ei ole vain se, että monet yritykset menettivät mahdollisuuden palvella EU-asiakkaita. Aito sääntelymuutos voi samalla luoda erittäin uskottavan tietojenkalastelutilanteen. Varmista oikeushenkilö ja viestin aitous toisistaan riippumattomilla tavoilla ennen kuin siirrät yhtäkään varaa.