236 000 valesivua yhdellä työkalulla – näin valekryptopörssit valmistetaan liukuhihnalta
Miksi valekryptopörssi näyttää erehdyttävän aidolta? Yksi vuotanut ohjelmistomalli riittää, ja sen ilmaisilla pohjilla satoja rikollisia rakentaa uusia huijaussivuja minuuteissa.
Tiivistelmä
Infoblox jäljitti yli 236 000 huijaussivua, jotka on rakennettu samalla kiinalaisella ohjelmistokehyksellä. Sama liukuhihna ruokkii sijoituspetoksia, jotka veivät suomalaisilta yli 24 miljoonaa euroa vuonna 2025. Tarkista alusta Finanssivalvonnan rekistereistä ennen talletusta.
Yksi ilmainen ohjelmistomalli, yli 236 000 valesivua. Näin tiivistyy koneisto, joka valmistaa sijoitushuijausten valepörssejä kuin tehdas.
Tietoturvayhtiö Infoblox kertoo jäljittäneensä 236 493 erillistä verkkotunnusta, jotka on rakennettu samalla työkalulla petostarkoituksiin vuoden 2022 puolivälistä lähtien. Tahti ei ole hidastunut. RainbowEx-skandaalin jälkeen loppuvuodesta 2024 uusia sivuja on ilmestynyt noin 15 000 kuukaudessa.
Työkalu on DCloud Uni-App, pekingiläinen avoimen lähdekoodin kehys täysin laillisten monialustasovellusten tekemiseen. Rikolliset eivät ole murtaneet sitä, vaan käyttävät sen ilmaisia malleja väärin.
DCloud itse ei ole osallisena.
Tästä syntyy kysymys, jota moni uhri jälkikäteen pohtii. Miksi valepörssi näytti todella aidolta?
Vastaus on teollinen. Kun pohjamalli on valmis ja hiottu, uuden valesivun pystyttäminen vie minuutteja eikä viikkoja.
Kuusi huijaustyyppiä samalta liukuhihnalta
Infoblox erottaa malliperheestä kuusi käyttötapaa. Suurin ryhmä on valepörssit, jotka matkivat oikeita kauppapaikkoja kuten HKEX:ää ja Nasdaqia ja estävät uhrin kotiutukset heti, kun rahat on saatu sisään.
Loput viisi ovat lompakkotyhjentäjiä, manipuloituja ennustemarkkina- ja kasinoklooneja, WhatsApp-kalastelua, tunnusten keruuseen tehtyjä kirjautumissivuja ja jopa fyysisen maailman sijoitusskeemoja. Viimeksi mainittuihin kuuluu sähköpotkulauta- ja pyöränjakofirmoja, joilla on oikeat yritysrekisteröinnit uskottavuuden vuoksi.
Sikateurastus (pig butchering)
Pitkäkestoinen luottamushuijaus, jossa uhri houkutellaan ensin ystävyys- tai romanssisuhteeseen ja sitten sijoittamaan valealustalle. Tuotot näyttävät aluksi nousevan ja rohkaisevat panostamaan lisää. Kotiutus ei kuitenkaan koskaan onnistu.
Suuri osa sivuista piileskelee tavallisten pilvipalvelujen takana. Infoblox kertoo, että noin 94 % infrastruktuurista nojaa laillisiin tarjoajiin kuten Cloudflareen, AWS:ään, Alibabaan ja Tencentiin. Vain noin 6 % käyttää niin sanottua bulletproof-palvelua, valtaosin hongkongilaista AS152194 CTG Server Limitediä. Verkkotunnuksia tuotetaan massana algoritmeilla.
Konkreettisia uhreja on jo paljon. Argentiinalainen RainbowEx kosketti viidennestä San Pedron kaupungin asukkaista, ja kalifornialaisessa Salinasissa Lightning Shared Scooter Co. vei sijoittajilta noin 370 700 dollaria. Yksi alusta, Yuechi Sharing Technology, hankki jopa aidon hongkongilaisen yhtiörekisteröinnin ja yhdysvaltalaisen FinCEN-rekisteröinnin näyttääkseen luotettavalta.
Sama liukuhihna yltää Suomeen
Kaukaiset kaupungit tuntuvat etäisiltä, mutta sama tehdas ruokkii myös Suomeen suunnattuja valepörssejä. Poliisin mukaan petosrikollisuus kasvaa nopeammin kuin mikään muu järjestäytyneen rikollisuuden muoto maassamme.
– Petosrikollisuus on Suomen nopeimmin kasvava järjestäytyneen rikollisuuden muoto, poliisi toteaa.
Sijoituspetosten tappiot ylittivät 24 miljoonaa euroa vuonna 2025. Finanssiala arvioi, että huijarit yrittivät viedä suomalaisilta noin 148 miljoonaa euroa viime vuonna. Yhdessä poikkeustapauksessa yksittäinen uhri menetti noin 25 miljoonaa euroa, ja tutkinta avattiin toukokuussa 2026.
Petetyt rahat eivät katoa tyhjään. Aiemmin uutisoitu Huione-rahanpesualusta on tämän talouden toinen pää – liukuhihna tekee valesivut, pesukoneisto siivoaa saaliin.
Suoraa lukua suomalaisuhreista juuri näiltä sivuilta ei ole saatavilla, sillä kehys jää tavalliselta käyttäjältä täysin näkymättömiin. Sen jäljet näkyvät vain tutkijoiden työkaluissa, eivät selaimen osoiterivillä.
Kyse ei myöskään ole yhdestä nimetystä rikollisjengistä, vaan hajautetusta malliekosysteemistä, jossa kuka tahansa osaava voi ottaa valmiin pohjan käyttöön.
Tunnistusmerkit
- Talletukset hyväksytään vain stablecoineina tai muuna kryptona.
- Tuotot luvataan taattuina tai epärealistisen korkeina.
- Kotiutukset on estetty tai niiltä vaaditaan yllättäviä maksuja.
- Ensimmäinen yhteydenotto tuli WhatsAppista tai sosiaalisesta mediasta.
- Alustaa ei löydy Finanssivalvonnan rekistereistä.
Mitä tehdä
Tarkista alusta ennen ensimmäistäkään talletusta. Finanssivalvonta ylläpitää varoituslistaa luvattomista toimijoista, ja toimiluvan voi tarkistaa osoitteessa finanssivalvonta.fi/rekisterit.
Jos olet jo sijoittanut, älä maksa enempää saadaksesi rahojasi takaisin. Se on sama ansa uudelleen. Tee rikosilmoitus poliisi.fi-palvelussa, ilmoita asiasta Finanssivalvonnalle ja Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Valesivujen tehdas ei ole hiljentynyt toistaiseksi, joten paras suoja on tarkistaa toimija ennen kuin rahat liikkuvat. Kuinka monta uutta valepörssiä ehtii syntyä sinä aikana kun luet tämän? Jää nähtäväksi.
Lähteet
- Infoblox Threat Intel (29.06.2026)
- The Hacker News (29.06.2026)
- Finanssivalvonta
- Finanssiala ry
- Poliisi