Kun rojaltikone kääntyi: NFT-pakotuksen hinta 2026

Torstaina 24. syyskuuta 2026 kello 13.08 UTC yhdestä ethereum-lompakosta katosi 305 NFT:tä yhdellä ainoalla tapahtumalla. Omistaja ei klikannut kalastelulinkkiä, ei luovuttanut siemenlausettaan eikä menettänyt yksityisavaintaan. Hän oli vuosia aiemmin tehnyt jotain paljon arkisempaa: hyväksynyt Magic Edenin kauppapaikalla sopimuksen, joka sai liikuttaa hänen NFT:itään. Se vanha hyväksyntä riitti.

Lompakon tyhjentänyt koneisto ei ollut mikä tahansa haittaohjelma. Se oli Limit Breakin Payment Processor, osa sitä samaa teknistä rakennelmaa, joka pystytettiin yhtä tarkoitusta varten: pakottamaan NFT:n tekijälle kuuluva muutaman prosentin rojalti maksuun silloinkin, kun markkinapaikat ja myyjät eivät sitä halunneet maksaa. Rojaltisodan ratkaisuksi tarjottu ase oli kääntynyt osoittamaan omistajia kohti. Tämä on tarina siitä, mitä pakotus oikeasti maksaa, kun lasku lankeaa maksettavaksi.

Rojaltisota ei päättynyt aselepoon vaan hyökkäyspintaan

Rojaltisodan juoni on tuttu. Vuosina 2021 ja 2022 NFT-tekijät ansaitsivat kuvatiedostojen jälleenmyynnistä valtavia summia: Nansenin mukaan tekijänpalkkiot huipentuivat noin 269 miljoonaan dollariin kuukaudessa tammikuussa 2022. Heinäkuuhun 2023 mennessä luku oli romahtanut noin 4,3 miljoonaan dollariin, eli lähes 98 prosenttia, kun keskimääräinen maksettu rojalti putosi noin 0,6 prosenttiin tapahtumaa kohti aiemmasta viidestä prosentista. Luvut raportoi tuolloin CoinDesk Nansenin datan pohjalta.

Romahduksen moottori oli yksinkertainen kilpailuasetelma. Kun Blur avasi lokakuussa 2022 nollaprosenttisen kaupankäynnin ja houkutteli käyttäjiä token-airdropilla, OpenSea joutui perääntymään omasta rojaltien suojaustyökalustaan. Elokuussa 2023 OpenSea ilmoitti lopettavansa Operator Filterin ja tekevänsä tekijänpalkkioista vapaaehtoisia. Yhtiön perustaja ja toimitusjohtaja Devin Finzer kirjoitti, etteivät tekijänpalkkiot ole katoamassa, vaan ainoastaan niiden ”ineffective, unilateral enforcement”, siis tehoton ja yksipuolinen pakottaminen (Decrypt, elokuu 2023). Markkinajohtaja oli käytännössä myöntänyt, ettei rojaltia voi pakottaa.

Ala ei kuitenkaan tyytynyt aselepoon. Sen sijaan osa toimijoista alkoi rakentaa teknistä koneistoa, joka pakottaisi rojaltin ketjun tasolla, halusi markkinapaikka sitä tai ei. Juuri tämä koneisto on tämän jutun aihe, koska 24. syyskuuta 2026 se muuttui siksi, mitä kukaan ei ollut halunnut: hyökkäyspinnaksi, jonka kautta omistajien varat virtasivat ulos. Rojaltisodan todellinen opetus ei lopulta ole se, kuka maksaa tekijöille, vaan se, mitä maksaa yritys saada koodi pakottamaan mitä tahansa.

Miksi lohkoketju ei erota myyntiä lahjoituksesta

Ongelman ydin on teknisesti tylsä, mutta se selittää koko sodan. Tavallinen NFT noudattaa ERC-721-standardia, jonka siirtofunktio transferFrom vain siirtää tokenin osoitteesta toiseen. Se ei tiedä eikä välitä, onko kyseessä kauppa, lahja, lompakon vaihto vai laina. Jos rojalti pitäisi periä vain myynnistä, koodin pitäisi erottaa myynti muusta siirrosta, ja sitä perus-ERC-721 ei osaa.

Alan standardiyritys tähän oli EIP-2981. Se on hyödyllinen, mutta rajallinen: sen royaltyInfo-funktio kertoo markkinapaikalle, kuinka paljon rojaltia kuuluisi maksaa ja kenelle, mutta se ei peri mitään. Kyse on pelkästä ilmoituksesta, ei pakotuksesta. Standardin oma teksti toteaa, ettei se määrittele rojaltin maksamisen pakottamista (eips.ethereum.org). Jos markkinapaikka päättää olla välittämättä luvusta, mikään ketjussa ei estä kauppaa toteutumasta ilman rojaltia.

Tästä seuraa koko ongelman logiikka. Koska perussiirto ei tunnista myyntiä eikä EIP-2981 pakota mitään, jokaisen aidon pakotusmekanismin on pakko lisätä väliin portinvartija: sopimus tai sääntö, jonka läpi siirron on kuljettava ja joka voi estää kaupan, jos rojaltia ei makseta. Jokainen portinvartija vaatii puolestaan käyttäjältä hyväksynnän, luvan liikuttaa hänen tokeneitaan. Juuri nuo hyväksynnät, pysyvät ja usein unohdetut, ovat se materiaali, josta syyskuun 2026 katastrofi tehtiin. Pakotus ei ole ilmaista: se maksetaan uutena luottamuspintana.

Rojaltikoneen anatomia: Limit Breakin CAPS

Pisimmälle viety yritys rakentaa pakottava koneisto on Limit Breakin kokonaisuus, jota yhtiö kutsuu nimellä CAPS (Creator Advanced Protection Suite). Pelistudio Limit Break, jonka perusti FarmVillen aikoinaan luonut Gabriel Leydon, julkaisi sen ratkaisuksi juuri siihen ongelmaan, että OpenSea oli antanut periksi. CAPS koostuu kolmesta osasta, ja niiden yhteispeli ratkaisee, miksi murto oli mahdollinen.

Ensimmäinen osa on token-standardi ERC-721C, jossa kirjain C tulee sanasta creator. Se lisää NFT:hen siirron validaattorin, CreatorTokenTransferValidator-sopimuksen, joka pitää kirjaa sallituista ja estetyistä osoitteista. Käytännössä tekijä voi päättää, että NFT:tä saa liikuttaa vain tiettyjen hyväksyttyjen sopimusten kautta. Toinen osa on Payment Processor, kauppamoottori, joka toteuttaa itse kaupan ja perii rojaltin EIP-2981:n royaltyInfo-tiedon mukaan. Jos tekijä sallii siirrot vain Payment Processorin kautta, rojalti muuttuu aidosti pakolliseksi: kauppaa ei voi tehdä ohi maksun (Limit Breakin Creator Token Standards, GitHub).

Kolmas osa on se, joka petti. Trusted Forwarder on ERC-2771-tyylinen välittäjäsopimus, jonka kautta kauppoja voi ketjuttaa niin sanottuina meta-transaktioina. Sen tehtävä on kertoa Payment Processorille, kenen puolesta toimitaan. Koko koneen toiminta nojaa yhteen hyväksyntään: käyttäjän on annettava Payment Processorille lupa liikuttaa tokeneitaan ja WETH-saldoaan. Ilman tuota pysyvää hyväksyntää pakotus ei toimi. Juuri siitä syystä valtava määrä lompakoita oli antanut sen, ja juuri se teki niistä haavoittuvia.

24. syyskuuta 2026: kun kone kääntyi

Hyökkäys alkoi torstaina 24. syyskuuta 2026 kello 13.08 UTC, kun hyökkääjä siirsi 305 NFT:tä yhdestä lompakosta ilman omistajan allekirjoitusta. Mekanismi oli Trusted Forwarderin virhe: Payment Processor V2 luotti lähettäjän osoitteeseen, jonka hyväksytty välittäjäsopimus sille ilmoitti, ja tuo osoite voitiin väärentää. Käytännössä hyökkääjä pystyi luomaan nollahintaisen ostotarjouksen toisen lompakon NFT:stä ja saamaan sopimuksen uskomaan, että omistaja oli hyväksynyt kaupan. Samalla tempulla sai tyhjennettyä hyväksytyt token-saldot pakottamalla lompakon ”ostamaan” arvottomia NFT:itä.

Vahingot jakautuivat useaan ketjuun. CryptoTickerin raportoiman analyysin mukaan pelkästään Ethereumissa varastettiin 530,7 WETH 911 lompakosta, arvoltaan noin 1,43 miljoonaa dollaria, minkä lisäksi vietiin 8 380 USDC:tä, noin 549 000 WILD-tokenia ja 7 680 WAPE-tokenia ApeChainissa. Shattered.ion koosteen mukaan varkauden kokonaissumma nousi noin 2,8 miljoonaan dollariin NFT:t ja tokenit yhteen laskien. Alla olevaan taulukkoon on koottu murron keskeiset luvut.

Zombie-hyväksynnät: miksi vanha lupa tappaa

Murron julmin yksityiskohta on se, että uhrit eivät olleet tehneet mitään väärää syyskuussa 2026. He olivat antaneet hyväksyntänsä vuosia aiemmin. Magic Eden käytti Payment Processor V2:ta EVM-kauppoihinsa helmikuusta lokakuuhun 2024 ja lopetti sen käytön loka-kuussa 2024, ja sulki koko EVM-kauppapaikkansa alkuvuonna 2026. Hyväksynnät eivät kuitenkaan vanhene itsestään. Ne jäivät lompakoihin voimaan, nukkuviksi luviksi, jotka odottivat käyttäjää, joka ei enää koskaan käyttäisi niitä. Alalla näitä kutsutaan zombie-hyväksynnöiksi.

Pahinta on, ettei niitä voi korjata keskitetysti. Payment Processor V2 on muuttumaton sopimus: sitä ei voi pysäyttää eikä paikata jälkikäteen, koska siihen ei rakennettu ylläpito-oikeutta. Juuri se oli alun perin myyntivaltti, koska muuttumaton sopimus on sensuurin ja peukaloinnin kestävä. Nyt se tarkoitti, että haavoittuvuus jää voimaan niin kauaksi aikaa kuin lompakoissa on aktiivisia hyväksyntöjä. Limit Break pysäytti uudemman V3-version muilla ketjuilla, mutta ApeChainissa se jäi Revoke.cashin mukaan haavoittuvaksi 30. marraskuuta 2026 asti.

Käyttäjille annettiin yksi ohje: perukaa hyväksynnät. Revoke.cash listasi sekä Payment Processor V2:n että V3:n sopimusosoitteet ja kehotti perumaan niiden luvat kaikilla ketjuilla, myös WETH-saldoa koskevat token-hyväksynnät. Palvelu varoitti selvin sanoin, ettei listauksen peruminen riitä, koska hyökkäys tarvitsee vain hyväksynnän. Se muistutti myös, että laitelompakko suojaa yksityisavaimen, ei niitä oikeuksia, jotka olet jo myöntänyt. Tämä on murron tärkein opetus tavalliselle omistajalle: hyväksyntä on vastuu, ei kertakäyttöinen asetus.

Valkohattu vastaan kello: 0xQuitin pelastusoperaatio

Katastrofi olisi voinut olla paljon suurempi ilman nopeaa vastahyökkäystä. Perjantaina 25. syyskuuta noin kello 01.00 UTC valkohattututkija nimimerkiltään 0xQuit alkoi käyttää samaa haavoittuvuutta uhrien hyväksi. Hän on Yuga Labsin lohkoketju-osaston varatoimitusjohtaja (Vice President of Blockchain) sekä Solidity-kehittäjä ja -auditoija. Ironia on paksu: juuri Yuga Labsin Bored Ape -kokoelma oli aikanaan rojaltisodan näkyvin uhri, ja nyt sen johtaja siivosi pakotuskoneen jälkiä.

0xQuit kuvasi vikaa suoraan: Payment Processor V2 luotti lähettäjän osoitteeseen, jonka hyväksytty välittäjäsopimus sille antoi, ja tuo osoite voitiin väärentää. Hänen johtamansa ryhmä siirsi noin vuorokaudessa turvaan 23 155 NFT:tä, joiden arvo oli yli 5,7 miljoonaa dollaria, 16 117 siirtona Ethereumissa ja 9 795 siirtona ApeChainissa. Pelastetut NFT:t voi lunastaa takaisin sen jälkeen, kun on perunut haavoittuvat hyväksynnät.

Kaikkea ei ehditty pelastaa. 0xQuitin mukaan noin 660 WETH, arvoltaan noin 1,7 miljoonaa dollaria, jäi lopullisesti palauttamatta. Ja kuten Revoke.cash huomautti, peruminen suojaa vain sen, mikä on yhä lompakossa, mutta ei palauta jo vietyjä varoja. Pelastusoperaatio oli taidonnäyte, mutta se ei muuta perusasiaa: koneisto, joka piti suojella tekijöiden muutaman prosentin palkkioita, antoi hyökkääjälle mahdollisuuden ottaa sata prosenttia.

Ethereum ja Solana: kaksi tapaa rakentaa sama ase

Syyskuun murto osui Ethereumin puolelle, mutta sama pakotuksen logiikka toistuu Solanassa toisin keinoin, ja ero kertoo paljon. Ethereumissa NFT-standardi on lupaa vaatimaton yhteismaa, jota kukaan ei omista. Siksi yksikään toimija ei voi asettaa koko verkolle oletusarvoa, joka pakottaisi rojaltin. OpenSean Operator Filter yritti estolistaa ja epäonnistui, koska kilpailijat kiersivät sen. Limit Breakin ERC-721C taas toimii vain, jos tekijä valitsee sen erikseen, joten se jää vähemmistöön. Pakotus on Ethereumissa aina valinnaista, ja siksi myös sen hyökkäyspinta on valinnainen: vain ne, jotka liittyivät koneistoon, altistuivat.

Solanassa tilanne on päinvastainen, koska standardin omistaa käytännössä yksi taho. Metaplexin työkaluja käyttää valtaosa Solanan NFT:istä, joten kun Metaplex asettaa oletusarvon, se puree. Metaplex Coren Royalties-laajennus pakottaa tekijänpalkkion oletuksena ja ylläpitää sallittujen ja estettyjen osoitteiden listaa (developers.metaplex.com). Lisäksi Solanan Token-2022-standardin siirtokoukut (transfer hooks) voivat ajaa oman ohjelmansa jokaisen siirron yhteydessä ja perua kaupan, jos sääntö ei täyty. Se, kuka maksaa Solanan tekijöille, on oma lukunsa, jota HOGE Wire on käsitellyt erikseen Tensorin tekijätaloutta koskevassa analyysissä.

Keskittäminen, joka tekee pakotuksen mahdolliseksi, on itsessään riski. Jo joulukuussa 2022 Magic Eden syytti Metaplexia liiallisesta vallasta ja väitti, että se ”voi ampua sinua ohjuksella, joka jäädyttää NFT:si paikalleen ilman että teet mitään”. Metaplex vastasi, että se ”rakennettiin nostamaan tekijät ja taiteilijat perinteisten portinvartijoiden yläpuolelle” (Decrypt, joulukuu 2022). Protokollatason pakotus siirtää vain riskin paikkaa: tietoturvayhtiö Neodyme on varoittanut, että Token-2022:n siirtokoukut tuovat mukanaan uuden virheluokan, muun muassa tuodun uudelleensyöttöhyökkäyksen riskin (neodyme.io). Toisin sanoen myös Solanan ratkaisu luo oman hyökkäyspintansa, vaikka eri kerrokseen.

Mahdoton kolmio: pysyvyys, komposoitavuus ja pakotus

Kun eri mallit asettaa rinnakkain, esiin piirtyy sama laki toistuvasti. NFT-rojaltissa voi valita kaksi kolmesta: luvaton pysyvyys (kuka tahansa voi siirtää tokenin ilman portinvartijaa), vapaa komposoitavuus (token toimii missä tahansa sovelluksessa) ja pakotettu rojalti. Kolmea ei saa yhtä aikaa. Pakotus vaatii portinvartijan, joka rikkoo komposoitavuuden ja luo uuden luottamuspisteen. Juuri siksi syyskuun murto ei ollut sattuma vaan rakenteen seuraus.

Perus-ERC-721 ei pakota mitään, mutta sen hyökkäyspinta on pienin eikä se riko mitään. Mitä pidemmälle taulukossa etenee, sitä vahvempi pakotus, mutta myös sitä suurempi hinta. Tämä on rojaltisodan matematiikka, jonka pelkkä ”pakottaako koodi vai ei” -keskustelu peittää alleen.

Vaikka pakotus toimisi, rojaltti on likviditeettivero

Oletetaan hetkeksi, että pakotus toimisi täydellisesti ja turvallisesti. Silti jäljelle jää kiusallinen talouskysymys: onko pakotettu rojalti ylipäätään hyvä idea sijoittajan kannalta? Tutkimusnäyttö viittaa siihen, että rojalti käyttäytyy kuin kaupankäyntivero. Se nostaa jokaisen jälleenmyynnin kustannusta, ja kuten mikä tahansa vero, se vähentää vaihdettua määrää ja painaa hintaa. Ostaja tietää joutuvansa itse maksamaan rojaltin seuraavassa myynnissä, joten hän tarjoaa vähemmän jo ostaessaan.

Numerot tukevat tätä. CoinLaw’n koostaman aineiston mukaan keskimääräinen rojalti oli vuonna 2025 noin 6,1 prosenttia, keskiarvona noin 7,3 prosenttia, ja yli 80 prosenttia sopimuksista pakottaa rojaltin jollakin tasolla. Silti korkeampi rojalti laskee kohteen jälleenmyynnin todennäköisyyttä noin 4,8 prosenttia ja painaa toteutunutta jälleenmyyntihintaa tuntuvasti. Rojalti on siis sananmukaisesti likviditeettivero: se kutistaa juuri sitä markkinaa, jonka varassa kokoelman lattiahinta lepää.

Tämä tekee koko sodasta nurinkurisen. Sama aineisto kertoo, että yli 63 prosenttia tekijöistä ansaitsee enemmän jälkimarkkinan rojalteista kuin alkuperäisestä myynnistä, ja että ethereum-tekijät keräsivät pelkästään vuonna 2025 yli 920 miljoonaa dollaria rojalteja, kumulatiivisesti yli 1,8 miljardia. Tekijöille summat ovat merkittäviä, mutta ne kerätään mekanismilla, joka samalla ohentaa kokoelman likviditeettiä ja laskee omistajien varallisuutta. Rojaltisota ei ollut vain tekijät vastaan markkinapaikat, vaan tekijät vastaan oman kokoelmansa jälkimarkkina.

Markkinan tila 2026: romahdus teki kiistasta puoliksi akateemisen

Kannattaa muistaa, minkä kokoisesta markkinasta nyt puhutaan. Rojaltisodan kahden päämarkkinapaikan tokenit ovat pohjalukemissa. CoinGeckon mukaan Blurin BLUR-token noteerattiin lokakuun alussa 2026 noin 0,017 eurossa, markkina-arvoltaan noin 50 miljoonaa euroa, mikä on noin 99,6 prosenttia alle helmikuun 2023 huippunsa. Magic Edenin ME-token oli noin 0,063 eurossa, markkina-arvoltaan noin 39 miljoonaa euroa, sekin noin 99,6 prosenttia alle joulukuun 2024 huippunsa. Pakotuskoneistojen ympärillä käyty kamppailu koskee markkinaa, joka on jo kutistunut murto-osaan huipustaan.

Samaan aikaan itse rojaltivirta on kuivunut. Nansenin mittaama lähes 98 prosentin romahdus tarkoittaa, että pakotettavaa on paljon vähemmän kuin sodan alkaessa. Moni entinen sinilastukokoelma on menettänyt sekä lattiahintansa että merkityksensä, ilmiö jota HOGE Wire on ruotinut DeGodsin alamäkeä koskevassa jutussa. Kun markkina itse romahtaa, kysymys siitä, kuka pakottaa muutaman prosentin, muuttuu puoliksi akateemiseksi.

Silti kysymys ei ole merkityksetön. Juuri romahtaneilla markkinoilla likviditeetti on kallista, ja jokainen ylimääräinen kitkatekijä, oli se vero tai hyökkäysriski, osuu kipeämmin. Ja kuten syyskuu osoitti, vanhat hyväksynnät eivät katoa markkinan mukana. Kuolleidenkin kokoelmien koneistot jäävät ketjuun odottamaan.

Pako joka toimi: brändi ja IP koodin sijaan

Jos pakotettu rojalti on kallis ja vaarallinen, miten tekijä sitten ansaitsee? Toimivin vastaus vuonna 2026 ei tule koodista vaan brändistä. Pudgy Penguins on tästä selkein esimerkki. Sen sijaan että se yrittäisi puristaa jokaisesta jälleenmyynnistä prosentteja ketjussa, se rakentaa tuloa pehmolelujen, lisensoinnin ja vähittäiskaupan kautta, siis ketjun ulkopuolella. Yhtiön vetäjä Luca Netz on sanonut tähtäävänsä siihen, että Pudgystä tulee ”the next Disney and Netflix” (Bloomingbit). Olennaista on, että brändiarvo ei vaadi lompakkohyväksyntää eikä muuttumatonta sopimusta, joten sillä ei ole samaa hyökkäyspintaa.

Sama logiikka toistuu muuallakin. Keskitetyt alustat osaavat jo pakottaa talouden ilman älysopimuksia: pelialustojen esinekaupassa alusta yksinkertaisesti päättää säännöt ja perii osuutensa. HOGE Wire on kuvannut, miten Valve suojelee omaa skinitalouttaan Steamin kryptokieltoa koskevassa analyysissä. Myös fyysiseen omaisuuteen sidottu arvo tarjoaa tien ulos: kun NFT:llä on todennettu vastine fyysisessä maailmassa, kuten Courtyardin holviin lukittujen keräilykorttien tapauksessa, arvo ei nojaa ketjunlaajuiseen pakotukseen. Yhteistä näille on se, että ne ratkaisevat arvon kysymyksen ilman pysyvää ketjukonetta, jota vastaan voisi hyökätä.

Suomen jälleenmyyntikorvaus: pakotus ilman hyökkäyspintaa

Kaikkein kiehtovin vertailukohta löytyy läheltä. Suomessa kuvataiteilijalla on lakisääteinen oikeus jälleenmyyntikorvaukseen, kun hänen teoksensa myydään edelleen. Tämä tekee täsmälleen sen, minkä NFT-rojalti lupasi: takaa tekijälle osuuden teoksensa jokaisesta jälleenmyynnistä. Erona on, ettei pakotus nojaa koodiin vaan lakiin ja tekijöitä edustavaan yhteisvalvontajärjestöön. Korvauksen perii Kuvasto ry, joka edustaa noin 1 900 kotimaista ja vastavuoroisin sopimuksin kymmeniä tuhansia ulkomaisia oikeudenhaltijoita (Kuvasto).

Oikeus perustuu tekijänoikeuslain pykäliin 26 i ja 26 j, ja se panee täytäntöön EU:n direktiivin 2001/84/EY. Korvaus on porrastettu: viisi prosenttia myyntihinnan ensimmäisestä osasta, mistä prosentti laskee suurilla kaupoilla. Alle 255 euron arvonlisäverottomista kaupoista ei peritä mitään, ja yhden jälleenmyynnin korvauksella on 12 500 euron yläraja. Taulukko kokoaa porrastuksen.

Vertailu paljastaa pakotuskoneen heikkouden. Jälleenmyyntikorvaus ei tarvitse lompakkohyväksyntää, muuttumatonta sopimusta eikä välittäjäsopimusta, joten sillä ei ole älysopimuksen hyökkäyspintaa. Jos laki osoittautuu vialliseksi, sitä voi muuttaa, toisin kuin Payment Processor V2:ta. Haittapuoli on yhtä selvä: korvaus koskee vain fyysisiä teoksia, ja vain silloin kun myyjänä, ostajana tai välittäjänä on taidemarkkinoiden ammattilainen. Yksityiset kaupat ja digitaaliset teokset jäävät ulkopuolelle. Laki tekee siis sen minkä koodi lupasi, mutta kapeammalla alueella.

Finanssivalvonta, MiCA ja mitä omistaja voi tehdä nyt

Suomalaisen omistajan kannattaa ymmärtää, mihin rojaltit ja NFT:t sääntelyssä asettuvat. Aidot, uniikit NFT:t on pääosin rajattu MiCA-asetuksen ulkopuolelle, koska ne eivät ole keskenään vaihdettavissa. ESMA on kuitenkin linjannut, että muotoa tärkeämpää on sisältö: suurina sarjoina tai osiin pilkottuna myydyt NFT:t voivat silti kuulua sääntelyn piiriin (ESMAn ohjeet). Suomessa kansallisena valvojana toimii Finanssivalvonta, jonka MiCA-tehtävät alkoivat kryptopalveluntarjoajien kansallisen siirtymäajan päätyttyä 30. kesäkuuta 2025 (Finanssivalvonta). Itse tekijänpalkkio ei kuitenkaan ole Finanssivalvonnan asia, vaan tekijänoikeudellinen ja sopimusoikeudellinen kysymys.

Verotus sen sijaan koskee jokaista. Verohallinto kohtelee kryptovarojen ja NFT:iden luovutuksia pääomatulona, jolloin veroa maksetaan 30 prosenttia 30 000 euroon asti ja 34 prosenttia sen ylittävältä osalta. Olennaista on, että myös NFT:n tai kryptovaran vaihtaminen toiseen on verotettava luovutus, kun taas pelkkä siirto omien lompakoiden välillä ei ole. Tämä tarkoittaa, että vilkas NFT-kauppa kerää verotapahtumia nopeasti, näkökulma jota HOGE Wire on avannut DeGodsin verotusta koskevassa jutussa.

Käytännön tietoturvaopetus on suora. Käy läpi lompakkosi antamat hyväksynnät ja peru ne, joita et enää tarvitse, erityisesti vanhojen tai lopetettujen kauppapaikkojen sopimuksille. Revoke.cashin kaltainen työkalu näyttää aktiiviset luvat ketjuittain. Muista, että laitelompakko ei suojaa jo myönnettyjä oikeuksia ja että listauksen peruminen ei poista hyväksyntää. Hyväksyntä on pysyvä valtakirja, ei kertaklikkaus, ja syyskuun 2026 murto osoitti, mitä unohdettu valtakirja voi maksaa.

Mitä rojaltisota lopulta opetti

Rojaltisotaa on tapana kertoa draamana tekijöiden, markkinapaikkojen ja keinottelijoiden välillä. Syyskuu 2026 antoi tarinalle rehellisemmän opetuksen. Kysymys ei ollut vain siitä, kuka maksaa tekijöille, vaan siitä, mitä maksaa yritys saada koodi pakottamaan mitä tahansa. Jokainen pakotuskeino siirtää portinvartijan paikkaa, ja jokainen portinvartija on uusi luottamuspiste, joka voi pettää. Limit Breakin koneisto oli pisimmälle viety yritys, ja juuri siksi se tarjosi hyökkääjälle suurimman pinnan.

Kestävimmät vastaukset löytyivät sieltä, missä pakotusta ei yritetty ketjun sisällä. Brändi ja lisensointi ratkaisevat arvon kysymyksen ketjun ulkopuolella ilman pysyvää konetta. Laki, kuten suomalainen jälleenmyyntikorvaus, pakottaa korvauksen yhteisvalvontajärjestön ja oikeusjärjestelmän kautta, ja sitä voi korjata virheen sattuessa. Älysopimuksen muuttumattomuus, joka oli pakotuksen vahvuus, osoittautui sen kohtalokkaaksi heikkoudeksi.

NFT-rojaltin tulevaisuus ei siis ratkea sillä, kuka keksii nokkelimman siirron validaattorin. Se ratkeaa sillä, hyväksyykö ala, että luvaton pysyvyys, komposoitavuus ja pakotus eivät mahdu samaan tokeniin. Tekijät ansaitsevat tulonsa, mutta syyskuun lasku osoitti, ettei pakotusta kannata rakentaa hinnalla, joka maksetaan omistajien lompakoista. Rojaltikone kääntyi kerran. Seuraavalla kerralla valkohattu ei välttämättä ehdi apuun.

Usein kysytyt kysymykset

Mikä oli Limit Breakin Payment Processor -murto syyskuussa 2026?

Hyökkääjät käyttivät 24. syyskuuta 2026 hyväkseen Limit Breakin Payment Processor V2:n ERC-2771-tyylisen Trusted Forwarderin virhettä. Väärentämällä lähettäjän osoitteen he pystyivät käyttämään Magic Edenin vanhoja hyväksyntöjä ja veivät yhteensä noin 2,8 miljoonan dollarin edestä NFT:itä ja tokeneita. Valkohatut pelastivat 23 155 NFT:tä, joiden arvo oli yli 5,7 miljoonaa dollaria.

Voiko NFT-rojaltin pakottaa koodilla?

Ei suoraan. Perus-ERC-721 ei erota myyntiä lahjoituksesta, ja EIP-2981 vain ilmoittaa rojaltin summan pakottamatta sitä. Pakotus vaatii väliin portinvartijan, kuten ERC-721C:n ja Payment Processorin Ethereumissa tai Metaplex Coren ja Token-2022:n Solanassa. Jokainen portinvartija maksaa komposoitavuudessa ja luo uuden hyökkäyspinnan.

Miten suojaan NFT-lompakkoni vanhoilta hyväksynnöiltä?

Käy läpi lompakkosi antamat hyväksynnät ja peru ne, joita et enää tarvitse, erityisesti vanhojen tai lopetettujen kauppapaikkojen sopimuksille. Revoke.cashin kaltainen työkalu näyttää aktiiviset luvat ketjuittain. Laitelompakko ei suojaa jo myönnettyjä oikeuksia, eikä listauksen peruminen poista itse hyväksyntää.

Mikä on Suomen jälleenmyyntikorvaus ja koskeeko se NFT:itä?

Jälleenmyyntikorvaus on kuvataiteilijoiden lakisääteinen oikeus osuuteen teostensa jälleenmyynnistä. Se on porrastettu viidestä prosentista alaspäin, kynnys on 255 euroa ja yläraja 12 500 euroa per kauppa, ja sen perii Kuvasto ry tekijänoikeuslain nojalla. Korvaus koskee vain fyysisiä teoksia, joiden kaupassa on mukana taidemarkkinoiden ammattilainen, ei NFT:itä.

Verotetaanko NFT-kauppaa Suomessa?

Kyllä. Verohallinto kohtelee NFT:iden ja kryptovarojen luovutuksia pääomatulona, jolloin veroa maksetaan 30 prosenttia 30 000 euroon asti ja 34 prosenttia sen ylittävältä osalta. Myös yhden NFT:n tai kryptovaran vaihtaminen toiseen on verotettava luovutus, kun taas pelkkä siirto omien lompakoiden välillä ei ole.

Marcus Okafor on HOGE Wiren NFT- ja web3-toimittaja.