Steam kielsi kryptot, mutta ei huijareita: pelaajan turva 2026

Syyskuussa 2025 latvialainen striimaaja Raivo Plavnieks keräsi suorassa lähetyksessä rahaa syöpähoitoihinsa, kun pieni Steam-tasohyppelypeli nimeltä BlockBlasters tyhjensi hänen kryptolompakkonsa kesken lähetyksen: yli 32 000 dollaria (noin 30 000 euroa) katosi hetkessä (Kotaku). Hän oli yksi sadoista uhreista. Peli oli ollut Steamissä heinäkuusta asti, siisti ja hyvin arvosteltu, kunnes yksi päivitys muutti sen kryptovarkaaksi.

Tässä on ironia. Valve kielsi kryptot ja NFT:t Steamistä jo vuonna 2021 nimenomaan pitääkseen reaalimaailman arvoa kantavat esineet ja niiden riskit poissa alustalta. Silti syksyllä 2026 Yhdysvaltain liittovaltion poliisi FBI tutkii kahdeksaa Steam-peliä, joita on käytetty pelaajien kryptovarojen viemiseen (BleepingComputer). Kielto ei poistanut riskiä pelaajan lompakolle. Se siirsi sen.

Tämä juttu ei käsittele sitä, miksi muuri seisoo tai miten pelistudiot kiertävät sen; siitä kertovat aiemmat juttumme. Tämä on pelaajan turvakartta: missä kryptolompakkoa uhkaava vaara oikeasti asuu vuonna 2026, kun Steam muodollisesti kieltää kryptot. Vaara tulee kahdesta suunnasta. Ensin haittaohjelmana, joka on ujutettu tavalliselta näyttävän Steam-pelin sisään ja joka lukee lompakkotietosi suoraan koneelta. Toiseksi token- ja NFT-taloutena, joka on työnnetty Steamin ulkopuolelle valvomattomaan maastoon, jossa lompakon tyhjentäjät eli wallet drainerit odottavat.

Miksi Valve sulki kryptot ulos

Valve lisäsi lokakuussa 2021 Steamin julkaisusääntöihin kohdan, joka kieltää sovellukset, jotka on rakennettu lohkoketjuteknologian varaan ja jotka laskevat liikkeelle tai mahdollistavat kryptovaluuttojen tai NFT:iden vaihdon (PC Gamer). Ensimmäisenä poistui Age of Rust. Kehittäjien mukaan Valven perustelu oli yksinkertainen: alustalla ei sallita esineitä, joilla voi olla reaalimaailman arvoa.

Taustalla vaikuttaa yhtiön pitkä epäluulo kryptomaksuja kohtaan. Steam hyväksyi Bitcoinia maksuvälineenä vuosina 2016 ja 2017, mutta lopetti sen. Myöhemmin Gabe Newell kertoi, että noin puolet kryptovaluutalla maksetuista tapahtumista osoittautui petolliseksi (PC Gamer). Petosherkkyys istuu Valven DNA:ssa.

Olennaista on tämä: kyseessä on yksityisen alustan sisältösääntö, ei laki. Suomessa Finanssivalvonta ja EU-tasolla MiCA-asetus valvovat kryptovarapalvelun tarjoajia eli pörssejä, säilytyspalveluita ja liikkeeseenlaskijoita, eivät pelikauppaa tai yksittäistä peliä; Steam ei ole kryptovarapalvelun tarjoaja. Suomen MiCA-siirtymäaika päättyi jo 30. kesäkuuta 2025, yksi EU- ja ETA-alueen lyhimmistä (Finanssivalvonta). Valven kielto on siis Valven oma valinta, ja sen suoja loppuu siihen, mihin Valven alusta loppuu. Miksi muuri seisoo ja mistä se vuotaa, sitä käsittelimme erillisessä taustajutussa.

Kielto ei poistanut riskiä, se siirsi sen

Lohduttava tarina kuuluu näin: kun Steamissä ei ole kryptoja, Steamissä ei ole kryptoriskiä. Vuonna 2026 tuo tarina hajoaa kahdesta kohdasta.

Ensimmäinen vektori tuo riskin sisään. Haittaohjelma naamioidaan tavalliseksi peliksi, ja se lukee kryptolompakkosi suoraan koneelta ilman että allekirjoitat mitään. Toinen vektori pitää kryptot ulkona: koska Valve kieltää ketjulla olevat varat, token- ja NFT-kerros ajetaan Steamin ulkopuolella, ja koskeakseen siihen pelaaja poistuu Steamin hiekkalaatikosta sivustoille, joilla lompakon tyhjentäjät vaanivat. Molemmilla vektoreilla on sama ydin: Steamin suoja on täsmälleen yhtä leveä kuin Steamin muurit, ja raha ylittää muureja vaivatta.

Vektori 1: haittaohjelma pelin sisällä

Ensimmäinen vektori on tietovaras eli info-stealer. Sen tarkoitus ei ole huijata sinua allekirjoittamaan haitallista tapahtumaa vaan lukea kovalevysi. Vidar, StealC, Fickle Stealer ja macOS-puolen Atomic macOS Stealer (AMOS) kalastavat selaimeen tallennetut salasanat, istuntoevästeet (joilla hyökkääjä kirjautuu sinuna ilman salasanaa), selaimen lompakkolaajennusten holvitiedostot (kuten MetaMaskin tai Phantomin), kaksivaiheisen tunnistuksen tiedostot ja jopa ruutukaappaukset.

Jos kryptolompakkosi tai sen selainlaajennus asuu samalla koneella, jolla lataat pelejä, peliin niputettu tietovaras voi viedä sen. Tässä ei tarvita wallet-connectia eikä allekirjoitusta; kyseessä on suora datavarkaus koneelta. Juuri siksi Steam on hyökkääjälle houkutteleva jakelukanava: se on luotettu kauppa, se päivittää pelit automaattisesti, ja pelaajat käynnistävät rutiininomaisesti tuntemattomia pieniä pelejä.

Steamin haittaohjelmavuosi 2025

Vuosi 2025 oli maailman suurimmalle PC-pelikaupalle nolo. Ainakin neljä peliä ehti levittää kryptoa kalastavaa haittaohjelmaa ennen kuin Valve veti ne pois.

PirateFi oli ilmainen selviytymispeli, joka oli tarjolla 6.-12. helmikuuta 2025 ja sisälsi Vidar-tietovarkaan. Sen ehti ladata jopa 1 500 käyttäjää, ja Valve varoitti heitä ajamaan virustorjunnan ja harkitsemaan jopa käyttöjärjestelmän uudelleenasennusta (TechCrunch). Maaliskuussa seurasi Sniper: Phantom’s Resolution, jonka demolataus ohjasi Steamin ulkopuolelle GitHubissa majaileviin tiedostoihin ja valeltuun Windows Defender -nimiseen suoritettavaan tiedostoon; Valve poisti pelin 21. maaliskuuta 2025 (BleepingComputer).

Heinäkuussa rikollisryhmä EncryptHub (tunnetaan myös nimellä Larva-208) ujutti varhaisen vaiheen selviytymispeliin Chemia kolme haittaohjelmaa: HijackLoaderin, Vidar Stealerin ja Fickle Stealerin, joista jälkimmäinen lisättiin tunteja myöhemmin DLL-tiedoston kautta, joka haki hyötykuorman ulkopuoliselta sivustolta; komentokanava kulki Telegramissa (BleepingComputer). Vuoden pahin tapaus oli BlockBlasters, johon palataan seuraavaksi. Alla oleva taulukko kokoaa vuoden yhteen.

BlockBlasters ja päivityksen aukko

BlockBlasters julkaistiin Steamissä 31. heinäkuuta 2025. Se oli siisti kaksiulotteinen tasohyppely, sai myönteisiä arvosteluja ja rakensi luottamusta. Sitten 30. elokuuta 2025 julkaistu päivitys ujutti peliin StealC-pohjaisen kryptovarkaan ja Python-takaoven. Steam toimitti haitallisen päivityksen automaattisesti kaikille, joilla peli oli jo asennettuna (G Data).

Tässä on rakenteellinen opetus. Steam tarkastaa pelin julkaisuvaiheessa, ei jokaista päivitystä erikseen. Peli voi siis läpäistä tarkastuksen puhtaana, kerätä arvosteluja ja luottamusta ja aseistautua vasta päivityksellä. Se ei ole yksittäinen kömmähdys vaan malli. G Datan tutkija Arvin Lauren Tan kuvasi, kuinka koodi kiersi virustorjuntaa useilla skripteillä ja suoritettavilla tiedostoilla.

Vahinko oli tuntuva: hyökkäys vei arviolta yli 150 000 dollaria (likimain 140 000 euroa) noin 261-478 uhrilta ja kohdisti iskunsa striimaajiin valesponsorointien kautta. Raivo Plavnieks menetti yli 32 000 dollaria suorassa keräyslähetyksessä. Valve poisti pelin 21. syyskuuta. Nyt FBI:n Seattlen yksikkö tutkii kahdeksaa haitallista Steam-peliä, jotka toimivat toukokuun 2024 ja tammikuun 2026 välillä; joukossa ovat BlockBlasters, Chemia ja PirateFi, ja uhreja pyydetään ottamaan yhteyttä osoitteeseen [email protected] mahdollista korvausta varten (BleepingComputer). Pidä tuo korvauspolku mielessä; muurin ulkopuolella sitä ei yleensä ole.

Vektori 2: kryptotalous muurin ulkopuolella

Koska Valve kieltää ketjulla olevat varat, lohkoketjuun nojaavat pelit toimittavat Steamiin version, josta kryptot on riisuttu, ja ajavat token-talouden muualla. Kanoninen esimerkki on Gunzillan (Neill Blomkampin taustayhtiön) Off The Grid: Steam-versio julkaistiin kesällä 2025 GUNZ-testiverkossa ilman elävää token- ja NFT-taloutta, kun taas oikea GUN-talous pyörii Avalanche-pohjaisessa GUNZ-ketjussa konsoleilla ja Epicissä; yli 21 000 pelaajaa siirtyi mainnetiin loppuvuoteen 2025 mennessä (Esports Insider). Horroripeli The Bornless ilmoittaa suoraan, ettei se ole lohkoketjupeli: Web3-ominaisuudet ovat valinnainen, alustan ulkopuolinen kosmeettinen kerros ilman lompakkoa ydinpelissä.

Sama kuvio näkyy laitepuolella. SuiPlay0X1, Mysten Labsin Sui-ekosysteemin ja Playtronin käsikonsoli, tuo lompakon takaisin itse laitteeseen (sisäänrakennettu lompakko ja zkLogin), mutta edelleen Steamin ulkopuolelle. Peliketjut, joilla nämä taloudet elävät, ovat samalla omia maailmojaan; olemme käsitelleet niitä esimerkiksi Beamin ja Aptos-pelien kohdalla.

Turvaseuraus on suora. Token-kerros on tarkoituksella sijoitettu Steamin ulkopuolelle. Lunastaakseen, vaihtaakseen tai siltatakseen varoja pelaaja seuraa linkkiä Discordista, sivustolta tai erillisestä käynnistimestä ja kytkee lompakkonsa sivustoon, jota Valve ei koskaan näe. Juuri tuo on lompakon tyhjentäjien kotikenttä. Kiellon rakenne työntää riskialttiin toiminnon valvomattomalle alueelle.

Lompakon tyhjentäjät: allekirjoitus on ase

Lompakon tyhjentäjä ei tarvitse siemenlausettasi (seed phrase) eikä salasanaasi. Se saa sinut allekirjoittamaan tai hyväksymään yhden haitallisen tapahtuman. Allekirjoitus itse on ase. Tyypilliset temput ovat approve tai increaseAllowance (oikeus siirtää tiettyä tokenia), Permit ja Permit2 (ketjun ulkopuolinen, kaasuton hyväksyntä yhdellä allekirjoituksella), setApprovalForAll (oikeus siirtää kaikki kokoelman NFT:t) sekä uudempi EIP-7702-delegointi, jolla koko lompakon hallinta voidaan luovuttaa haitalliselle koodille.

Pelaajaa pitäisi pelottaa erityisesti setApprovalForAll. Yksi klikkaus, jossa lukee vaikkapa kytke ja hyväksy nähdäksesi palkintosi, voi antaa sopimukselle luvan siirtää koko peliskini- tai esinekokoelmasi. NFT-kauppapaikoilla tällaiset kytke ja hyväksy -virrat ovat arkipäivää; niiden mekaniikkaa avasimme Tensor-jutussa. Mittakaava on iso mutta kääntynyt laskuun: Scam Sniffer laski vuonna 2025 tyhjentäjien vieneen 83,85 miljoonaa dollaria (noin 77 miljoonaa euroa) 106 106 lompakosta, mikä on 83 prosenttia vähemmän kuin vuoden 2024 noin 494 miljoonaa; suurin yksittäinen varkaus oli 6,5 miljoonaa dollaria, ja tappiot seurasivat markkinasykliä kuin todennäköisyysfunktio (Scam Sniffer). Alaspäin, ei pois.

Kun peli on syötti: väärennetyt Web3-pelit ja beta-kutsut

Väärennetty peli on itsessään syötti. Darktracen tutkija Tara Gould dokumentoi vuonna 2025 kampanjan, jossa toistakymmentä olematonta peli- ja tekoälyfirmaa (esimerkiksi lohkoketjupeliksi tekeytynyt Eternal Decay) värväsi testaajia X:ssä, Telegramissa ja Discordissa lupaamalla maksun kryptoina ja toimitti sitten Windowsin tietovarkaita ja macOS-puolen AMOS-haittaohjelman; toimintatavat muistuttivat Crazy Evil -nimistä ryhmää (The Hacker News).

Myös peliuutinen voi olla ansa. Malwarebytesin tutkija Stefan Dasic purki syyskuussa 2026 väärennetyn GTA 6 -vuotosivuston, joka myi väitettyä vuotokopiota 50 dollarilla tai yhdellä SOLilla mutta latasikin tyhjentäjän, joka toimi Solanassa ja seitsemällä EVM-ketjulla ja pyysi hyväksyntöjä ennen varojen viemistä; sivusto jopa esti tiettyjen maiden kävijät (Malwarebytes). Samaan sarjaan kuuluvat valeairdropit, valeminttaukset ja whitelist-linkit, jotka esitetään pelin virallisina palkintoina.

Sääntö on yksinkertainen: älä koskaan kytke lompakkoa sivustoon, jolle sinut ohjasi yksityisviesti, mainos tai käynnistin. Jos beta-kutsu tai lunasta palkintosi -viesti saapuu Discordissa tai Telegramissa, kohtele sitä vihamielisenä.

Miksi pelaaja on erityisen houkutteleva kohde

Pelaajilla on yhä useammin ketjulla olevaa omaisuutta: ansaintapelien tokeneita, NFT-skinejä ja esineitä sekä pelivaluuttoja. Play-to-earnin nousun ja notkahdusten kaari selittää, miksi lompakoita ylipäätään pidetään; kirjoitimme siitä ansaintapelien evoluutiojutussa. Toinen syy on tottumus: pelaaja asentaa rutiinilla käynnistimiä, modeja, betaversioita ja yhteisötyökaluja, joten varautuminen on matalampi kuin rahamaailmassa.

Striimaajat ovat oma lukunsa. He ovat julkisia ja reaaliaikaisia, ja lompakko voi näkyä ruudulla; BlockBlasters kohdisti iskunsa nimenomaan striimaajiin, ja suora tappio toimii hyökkääjälle jopa sosiaalisena todisteena. Arvo myös kasautuu: pelikillat ja stipendiohjelmat hallinnoivat useita lompakoita ja yhteiskassoja, joten yksi kaappaus skaalautuu. Tätä rakennetta käsittelimme pelikiltajutussa. Lisäksi yleisö on nuorta ja mobiilipainotteista, eikä allekirjoitushygienia ole kaikille tuttua.

Drainer-talous ja markkinasykli

Lompakon tyhjentäjät ovat palvelutuote. Valmiita työkalupakkeja vuokrataan kumppaneille, jotka saavat noin 20-30 prosenttia saaliista. Inferno Drainer ilmoitti lopettavansa loppuvuodesta 2023, mutta Check Point osoitti sen jatkaneen toimintaa: puolen vuoden aikana se tyhjensi yli 30 000 lompakkoa käyttäen kertakäyttöisiä, lyhytikäisiä sopimuksia ja ketjulla säilytettyjä salattuja asetuksia estolistojen kiertämiseksi (Check Point Research).

Miksi tappiot putosivat 83 prosenttia vuonna 2025, vaikka uhka ei kadonnut? Massamittainen tyhjentäjäkalastelu romahti, mutta tekijät siirtyivät kahteen suuntaan: valikoivaan valaanpyyntiin (harvempia mutta isompia iskuja) ja tietovarashaittaohjelmiin, eli juuri siihen Steam-vektoriin, josta tämä juttu alkoi. Raha ei poistunut; se vaihtoi kaistaa. Markkinasykli kytkeytyy tähän suoraan: kun aktiivisuus nousee, kytkettyjä lompakoita on enemmän ja kohteita on enemmän. Pelaajalle hypesyklit, kuten iso token-julkaisu tai airdrop, ovat vaaran huippuhetkiä.

Näin suojaat lompakkosi

Puolustus ei vaadi paranoiaa vaan muutaman rutiinin. Alla on pelaajan tarkistuslista.

• Käytä arvokkaaseen omaisuuteen laitelompakkoa (hardware wallet) ja hyväksy tapahtumat laitteen ruudulla, joka näyttää mitä allekirjoitat. Ethereum-säätiö otti keväällä 2026 vastuulleen clear signing -standardin (ERC-7730), jonka tavoite on tehdä allekirjoituksista luettavia (Ethereum Foundation). Älä koskaan allekirjoita sokkona.
• Pidä erillinen peli- tai kertakäyttölompakko, jossa on vain se, minkä olet valmis menettämään. Älä koskaan kytke pää- tai säästölompakkoasi peliin tai sen dApp-sivustoihin.
• Älä säilytä päälompakkoa (tai sen selainlaajennusta) samalla koneella, jolla lataat satunnaisia pelejä. Tietovarkaat lukevat kovalevyn.
• Simuloi tapahtumat ennen allekirjoitusta (esimerkiksi Blockaidin tai Scam Snifferin lompakkointegraatiot), jotta näet lopputuloksen etukäteen.
• Peru vanhat hyväksynnät säännöllisesti palvelussa revoke.cash. setApprovalForAll-luvat ovat voimassa, kunnes ne perutaan.
• Varmista verkko-osoitteet itse kirjoittamalla, äläkä kytke lompakkoa yksityisviestien, mainosten tai käynnistinten linkeistä.
• Steamissä: ota Steam Guard käyttöön, tarkkaile käytöksen muutoksia päivityksen jälkeen (uudet järjestelmänvalvojan pyynnöt, selaimen avautuminen), aja luotettava virustorjunta ja jos ajoit merkityn pelin, oleta tunnusten ja evästeiden vaarantuneen: vaihda salasanat, mitätöi istunnot ja siirrä varat pois jokaisesta lompakosta, joka kosketti tuota konetta.

Sääntely, vastuu ja mihin ilmoittaa Suomessa

Valven sääntö on yksityistä politiikkaa, ei lakia. Se voi olla tiukempi tai löysempi kuin mikään valvoja, ja se muuttuu Valven harkinnan mukaan. MiCA ja Finanssivalvonta valvovat kryptovarapalvelun tarjoajia (pörssit, säilytys, liikkeeseenlasku), eivät pelikauppaa saati anonyymiä tyhjentäjäsopimusta. Toimiluvallinen suomalainen pörssi on valvottu; Discordin kautta levitetty tyhjentäjä on yksinkertaisesti rikos.

Vastuu on tässä karu. Omasäilytys tarkoittaa, että olet itse pankki. Ei takaisinperintää, ei talletussuojaa. Toisin kuin BlockBlasters-tapauksessa, jossa FBI avasi uhreille korvauspolun, muurin ulkopuolisen tyhjennyksen uhri ei yleensä saa mitään takaisin. Siksi ilmoittaminen ja ennaltaehkäisy ovat tärkeämpiä kuin toivo takaisinperinnästä. Suomessa kyberhäiriön voi ilmoittaa Traficomin Kyberturvallisuuskeskukselle, varkaudesta tehdään rikosilmoitus poliisille, ja Finanssivalvonnan varoituslistat kannattaa tarkistaa epäilyttävien palveluntarjoajien varalta. Verotuksessa varastetun krypton vähennysoikeus on kapea, joten älä oleta automaattista tappiovähennystä Verohallinnolta.

Mihin tämä on menossa 2026-2027

Kolme kehityssuuntaa erottuu. Ensinnäkin clear signing ja tapahtumien simulointi ovat muuttumassa oletukseksi suurissa lompakoissa, mikä kaventaa tyhjentäjän etulyöntiä, muttei tietovarkaan; info-stealer lukee levyn riippumatta siitä, mitä ruudulla lukee. Toiseksi Valven kannuste tarkastaa päivitykset tiukemmin kasvaa, kun FBI-tutkinta ja julkisuus painavat; silti julkaise ensin, saastuta päivityksellä -aukko on rakenteellinen, ei helppo paikata.

Kolmanneksi SuiPlay0X1:n kaltaiset laitteet vetävät lompakon takaisin itse laitteeseen (turvallisempi avainten säilytys), mutta pitävät sen Steamin ulkopuolella; jako säilyy. Kielto ei siis poistu. Kokonaiskuva pysyy: Steam pysyy nimellisesti kryptovapaana, talous pysyy alustan ulkopuolella, ja pelaaja on viimeinen puolustuslinja. Todellinen suoja on lukutaito, eli se, että tiedät mitä allekirjoitat ja mitä asennat.

Usein kysytyt kysymykset

Onko Steamissä kryptopelejä vuonna 2026?

Ei virallisesti. Vuoden 2021 kielto on yhä voimassa: lohkoketjuun nojaavat pelit pääsevät Steamiin vain, jos krypto-osuus on riisuttu Steam-versiosta (kuten Off The Grid, joka julkaistiin testiverkossa). Token- ja NFT-talous pyörii tällöin alustan ulkopuolella konsoleilla, Epicissä tai omissa peliketjuissa.

Voiko Steam-peli varastaa kryptolompakkoni?

Voi. Vuonna 2025 ainakin PirateFi, Sniper: Phantom’s Resolution, Chemia ja BlockBlasters toimittivat tietovarkaita, jotka keräsivät lompakko- ja tunnustietoja suoraan koneelta. FBI tutkii kahdeksaa tällaista peliä. Riski on suurin, jos päälompakkosi on samalla koneella, jolla pelaat.

Mikä on wallet drainer ja miten se eroaa haittaohjelmasta?

Lompakon tyhjentäjä huijaa sinut allekirjoittamaan haitallisen hyväksynnän tai tapahtuman (esimerkiksi setApprovalForAll), eikä se tarvitse siemenlausettasi. Tietovaras taas lukee lompakon ja tunnukset suoraan koneen levyltä. Kaksi eri hyökkäystä, sama tavoite: sinun kryptosi.

Miten suojaan lompakkoni pelatessa?

Käytä laitelompakkoa ja clear signingiä, pidä erillistä peli- tai kertakäyttölompakkoa äläkä koskaan kytke päälompakkoasi peliin, älä säilytä päälompakkoa pelikoneella, peru vanhat hyväksynnät palvelussa revoke.cash äläkä kytke lompakkoa yksityisviestien tai mainosten linkeistä.

Mihin ilmoitan kryptohuijauksesta Suomessa?

Ilmoita kyberhäiriöstä Traficomin Kyberturvallisuuskeskukselle, tee varkaudesta rikosilmoitus poliisille ja tarkista Finanssivalvonnan varoituslistat. Varojen takaisinsaanti on harvoin mahdollista, joten ennaltaehkäisy on tärkeintä.

Kirjoittanut Aleksi Nieminen, HOGE Wire