Ledger, Trezor eller Tangem: slik velger du riktig i 2026

2026 ble året kaldlager ble stresstestet på ordentlig. I slutten av juli begynte en angriper å tømme bitcoin ut av lommebøker som var sikret med Coldcard-enheter; da støvet la seg, hadde rundt 1 816 bitcoin, verdt nær 116 millioner dollar, forsvunnet fra mer enn 5 200 adresser over fire bølger, ifølge TRM Labs. Ingen av ofrene hadde koblet enheten til nett, og ingen tastet inn en frase på en falsk side. Feilen lå i selve nøkkelgenereringen.

For norske sparere som vil flytte kryptoen bort fra en børs, ender kortlisten nesten alltid på tre navn: Ledger, Trezor og Tangem. De tre selger vidt forskjellige løsninger på det samme problemet, og valget mellom dem handler mindre om hvilken skjerm som er penest enn om hvilke trusler du faktisk er utsatt for. Vi har tidligere satt de tre opp mot hverandre som tre ulike filosofier, og fulgt en maskinvarelommebok gjennom hele eierskapet. Denne guiden gjør noe annet: den rangerer dem mot angrepene som tømte ekte lommebøker i 2026, og sier til slutt hvem hver enkelt passer for.

Prisene er oppgitt i kroner, med forbehold om valutakurs, 25 prosent merverdiavgift og frakt. Der reguleringen er relevant, viser vi til Finanstilsynet og Skatteetaten. Ingen av produsentene har betalt for eller sett denne artikkelen før publisering.

Kort om de tre: hva du faktisk kjøper

Før vi rangerer, er det verdt å slå fast hva de tre faktisk er, for de løser oppbevaring på tre ulike måter.

Ledger er det franske selskapet som har solgt flest enheter; bransjetall antyder i størrelsesorden åtte millioner solgte over årene (CoinLaw). Kjernen er en sertifisert secure element, samme klasse brikke som sitter i pass og bankkort, med sertifisering på EAL5+ og EAL6+. Operativsystemet BOLOS er lukket kildekode. Du får bred støtte for tusenvis av tokens, en app-butikk og, i 2026-modellene, berøringsskjerm.

Trezor, utviklet av tsjekkiske SatoshiLabs, er den åpne motpolen. Alt fra firmware til maskinvaredesign er offentlig, og med Safe 7 (lansert 21. oktober 2025) ble selskapet det første som bygde inn TROPIC01, en secure element som kan revideres åpent, ved siden av en EAL6+ Optiga-brikke. Der Ledger ber deg stole på en sertifisering du ikke kan lese, ber Trezor deg lese koden selv.

Tangem bryter med hele formatet. I stedet for en enhet med skjerm og batteri får du et sett med kort (to eller tre) på størrelse med et bankkort, med en Samsung-produsert secure element sertifisert til EAL6+. Det finnes ingen seed-frase å skrive ned; nøkkelen genereres på kortet og finnes bare der og på de andre kortene i settet. Du signerer ved å holde kortet mot telefonen (NFC).

Tre trusler som tømte lommebøker i 2026

En maskinvarelommebok skal beskytte den private nøkkelen. Men i 2026 ble tap sjelden forårsaket av at noen knakk selve brikken. Pengene forsvant via tre helt andre veier, og det er disse tre en fornuftig kjøper bør vekte tyngst.

• Svak entropi i nøkkelen. Hvis tilfeldigheten som genererer seed-frasen er for dårlig, kan en angriper gjette nøkkelen uten å røre enheten. Det var dette som skjedde med Coldcard.
• Blind signering. Enheten viser deg en uleselig datablokk i stedet for hva du faktisk godkjenner, og du signerer bort tilgangen din uten å vite det.
• Fysiske og forsyningskjede-angrep. Alt fra en manipulert enhet kjøpt i et gråmarked til ran med vold (såkalte wrench attacks) retter seg mot eieren, ikke koden.

De neste seksjonene tar for seg hvert produkt, men merk at ingen spesifikasjonstabell fanger disse tre risikoene godt. Derfor starter vi med saken som gjorde nettopp det poenget smertelig tydelig.

Coldcard-saken: hvorfor entropi slår spesifikasjoner

Coldcard er ikke med i denne testen (den er en bitcoin-only-enhet fra kanadiske Coinkite), men saken er umulig å hoppe over, for den avlivet en utbredt antakelse: at en enhet som aldri kobles til nett, er trygg per definisjon.

Angrepet startet 30. juli 2026, og det gikk fort. Den første bølgen tømte rundt 70 millioner dollar i bitcoin fra cirka 1 200 adresser på bare 41 minutter (The Hacker News). Verken enhetene eller eierne hadde gjort noe galt i vanlig forstand. Underveis rapporterte CoinDesk at angrepet spredte seg til rundt 4 500 adresser mens tapene nærmet seg 89 millioner dollar.

Årsaken var en byggefeil fra mars 2021 som slo av maskinvarens tilfeldighetsgenerator, slik at nøkkelgenereringen falt tilbake på en svak programvarebasert kilde. Effektiv entropi falt fra 128 bit til så lite som 40 bit, lavt nok til at nøklene kunne gjettes eksternt uten fysisk tilgang (crypto.news). En passordfrase hjalp ikke, for det var selve tilfeldigheten som var svekket. Coldcard-tapet ble det tredje største kryptotyveriet i 2026, et år der samlede tap passerte 1,2 milliarder dollar (TRM Labs).

Poenget for en kjøper er ubehagelig: den viktigste sikkerhetsegenskapen, kvaliteten på tilfeldigheten i det øyeblikket nøkkelen skapes, står ikke i noen produktbrosjyre. Saken sier noe om hvorfor åpen kildekode og uavhengige revisjoner betyr noe, og hvorfor «bare kjøp den med best skjerm» er dårlig råd. Den er også en påminnelse om at feil kan ligge latent i årevis; du kan lese mer om hvordan slike kompromisser brer seg gjennom en portefølje i vår gjennomgang av privatnøkkelkompromiss.

Ledger i 2026: forseglet brikke, lukket programvare

Ledger selger i dag et bredt spenn: inngangsmodellen Nano S Plus, den berøringsstyrte Nano Gen5 (selskapets nye hovedmodell), og de større Flex og Stax med e-blekk-skjerm. Alle bygger på en sertifisert secure element. Styrken er nettopp den brikken. En EAL5+/EAL6+-sertifisert secure element er svært vanskelig å tømme fysisk, og Ledger har lang fartstid på dette. Bredden i token-støtte og en polert app gjør enhetene til de mest nybegynnervennlige av de tre for den som holder mange ulike kryptoaktiva.

Prisen er at du må stole på det du ikke kan se. BOLOS er lukket, og tre episoder har testet den tilliten. I mai 2023 annonserte Ledger tjenesten Recover, som kunne dele en kryptert kopi av nøkkelen i tre deler mot ID-sjekk; reaksjonene var så sterke at lanseringen ble utsatt (CoinDesk). I desember 2023 ble Ledgers Connect Kit kapret i et forsyningskjede-angrep som injiserte skadelig kode i flere DeFi-grensesnitt og tappet over 600 000 dollar før feilen ble rettet (TechCrunch). Og i 2020 lekket et databaseinnbrudd person- og adresseopplysninger til flere hundre tusen kunder, noe som førte til phishing og fysiske trusselbrev (Bitdefender).

Ledgers egen toppsjef er åpen om avveiningen. Pascal Gauthier, styreleder og administrerende direktør, skrev i 2026 at «a device built to do everything cannot fully protect anything» (Ledger). Det er en ærlig innrømmelse fra en produsent som nettopp selger multifunksjonsenheter med skjerm og apper. Poenget hans er verdt å ta med videre: jo mer en enhet skal kunne, desto større er angrepsflaten.

Trezor i 2026: åpen kildekode helt ned til brikken

Trezor-serien går fra den rimelige Safe 3, via Safe 5, til toppmodellen Safe 7. Alle er åpne, men Safe 7 er den store nyheten: den er den første maskinvarelommeboken med TROPIC01, en secure element utviklet av Tropic Square som kan revideres åpent, uten taushetsavtaler, med koden tilgjengelig på GitHub. Den kjører ved siden av en EAL6+ Optiga-brikke, og enheten er også den første med etterkvante-signering av firmware, i tillegg til Bluetooth og Qi2-lading. For den som holder mye i bitcoin, finnes Safe 3 også i en ren bitcoin-only-variant.

Trezor-sjef Matej Žák la ikke skjul på strategien da Safe 7 ble lansert. Selskapet er «the most secure because we are the most open-source», sa han, og pekte på svakheten ved lukkede brikker: tidligere brukte de deler under taushetsavtale, og «if we found a problem, we couldn’t warn anyone» (DL News). Argumentet treffer rett i Coldcard-saken: en åpen brikke og åpen firmware gjør at flere øyne kan finne en svak entropikilde før den blir utnyttet.

Åpenhet betyr ikke feilfrihet. I 2020 viste Kraken Security Labs at eldre STM32-baserte Trezor-enheter kunne tømmes fysisk med rundt 15 minutter og utstyr for under 100 dollar (Kraken); Trezor svarte at en passordfrase demper angrepet, og at nyere modeller med secure element ikke er utsatt (Trezor). I januar 2024 ble en tredjeparts støtteportal brutt, og navn og e-post til rundt 66 000 kunder ble eksponert (BleepingComputer). Forskjellen fra Ledger-hendelsene er delvis at en fysisk glitch krever at noen har enheten din i hånden, mens de fleste Ledger-episodene rammet på avstand.

Tangem i 2026: kort uten seed-frase

Tangem snur på hele premisset. Du får to eller tre identiske kort; nøkkelen genereres på kortets Samsung-produserte secure element (EAL6+) og forlater det aldri. Det finnes ingen 24 ord å skrive ned, ingen skjerm, ingen batterier. Vil du signere, åpner du appen og holder et kort mot telefonen.

For nybegynneren er dette befriende. Den vanligste feilen i selvforvaring er dårlig håndtering av seed-frasen (et bilde på telefonen, et ark i en skuff), og Tangem fjerner hele det angrepspunktet. Enhetene er revidert av Kudelski Security (2018), Riscure (2023) og Cure53 (2026), og de tre gjennomgangene fant ingen kritiske sårbarheter (Tangem).

Avveiningen er reell. Uten en standard seed-frase er du bundet til Tangems eget kortsett: mister du alle kortene i settet, finnes det ingen 24-ords nødutgang du kan taste inn i en annen lommebok. Backup handler derfor om å oppbevare de ekstra kortene trygt og adskilt, ikke om å beskytte et papir. For noen er det en fordel (ingenting å fotografere), for andre en begrensning (mindre fleksibilitet ved arv og migrering). Standardoppsettet er bevisst frasefritt, og det er nettopp der Tangem skiller seg mest fra de to andre.

Én praktisk konsekvens er at Tangem er avhengig av telefonen din. Uten skjerm på selve kortet skjer all verifisering i appen, og da inngår telefonens sikkerhet i trusselbildet på en annen måte enn for en enhet med egen skjerm. For de fleste hverdagsbeløp er det en akseptabel avveining; for svært store summer vil mange foretrekke en enhet der de kan lese transaksjonen på et display som ikke deler angrepsflate med en internettilkoblet telefon.

Sikkerhetsmodellene side om side

Tabellen viser at det ikke finnes ett svar som slår de andre på alle akser. Ledgers styrke er en velprøvd, sertifisert brikke og den bredeste app-støtten; svakheten er at du ikke kan etterprøve koden selv. Trezors styrke er full åpenhet og, med Safe 7, en brikke som endelig kan revideres uten taushetsavtale; svakheten er at åpenhet ikke i seg selv stopper en fysisk angriper. Tangems styrke er at den fjerner frasen og dermed den vanligste brukerfeilen; svakheten er mindre fleksibilitet og full avhengighet av telefonen. Valget er derfor mindre «hvem er best» og mer «hvilken svakhet kan du leve med».

Blind signering mot klarsignering

Den nest største risikoen i listen er blind signering. Når du godkjenner en transaksjon i DeFi, viser mange oppsett bare en lang, uleselig datablokk. Du bekrefter at noe skal skje, uten å se at dette noe i praksis gir en fremmed kontrakt fullmakt til å tømme lommeboken.

Ledgers teknologidirektør Charles Guillemet advarte mot nettopp dette allerede i 2022. Han beskrev dataene brukeren blir bedt om å godkjenne som «a digital payload» som «is not intelligible by default», og oppsummerte forsvaret med et velkjent kryptomantra: «don’t trust, verify» (Cointelegraph).

Svaret bransjen har samlet seg om, kalles klarsignering (clear signing): enheten oversetter transaksjonen til lesbar tekst før du godkjenner. Standarden ERC-7730 beskriver hvordan, og i mai 2026 overførte Ledger forvaltningen av arbeidet til Ethereum Foundation for å gjøre det til en nøytral, felles standard. Målet er «what you see is what you sign», og blind signering får skylden for milliardtap, inkludert Bybit-hacket (Ethereum Foundation). Ledger, Trezor, MetaMask og flere har forpliktet seg til å støtte formatet.

For valget mellom de tre betyr dette: alle tre viser deg noe før du signerer, men hvor godt de oversetter en kompleks kontrakt varierer, og en enhet uten egen skjerm (Tangem) lener seg tyngre på appen på telefonen. Utviklingen henger tett sammen med at lommebøker blir smartkontoer; vi har sett på hva det innebærer i gjennomgangen av EIP-7702.

Konkret betyr det at en Ledger eller Trezor med skjerm kan vise deg mottaker, beløp og kontrakthandling på selve enheten, forutsatt at appen leverer en klarsignerings-beskrivelse for nettopp den transaksjonen. Dekningen er ujevn: vanlige overføringer og store protokoller er godt dekket, mens en fersk eller obskur kontrakt fortsatt kan ende opp som en rå datablokk. Regelen er den samme uansett merke: signerer du noe du ikke forstår, signerer du blindt.

Backup, arv og seedless-modellen

Backup er der de tre skiller lag tydeligst. Ledger og Trezor gir deg en seed-frase på 12 eller 24 ord: et menneskelesbart frø som kan gjenskape nøklene i hvilken som helst kompatibel lommebok. Det er fleksibelt, men frasen er også det farligste objektet i hele oppsettet, for den som har frasen, har pengene.

Fordi papir brenner og blekk falmer, anbefaler mange å stanse frasen i metall. Men jo flere kopier, desto større angrepsflate. Trezor tilbyr Shamir-basert deling på enkelte modeller, som lar deg dele frasen i flere biter der bare et flertall trengs for å gjenopprette. Tangem løser det motsatt: det finnes ingen frase å lekke, men heller ingen frase å taste inn i en annen lommebok. Backup er de ekstra kortene, som bør ligge trygt og adskilt, for eksempel i en bankboks.

For arv er dette både enklere og vanskeligere. Et ekstra Tangem-kort kan overleveres fysisk, men uten en standard frase er en arving bundet til produsentens økosystem. Uansett merke er arv det mest oversette temaet i selvforvaring: en nøkkel bare du kjenner, er en nøkkel som dør med deg. En holdbar plan innebærer som regel enten en betrodd person med tilgang til en del av oppsettet, en multisig der nøklene er fordelt, eller en notarial løsning; ingen av de tre produsentene løser dette for deg ut av esken. Temaet overlapper med de bredere spørsmålene vi tar opp i hvem som egentlig holder nøklene.

Fysiske angrep og skiftenøkkel-trusselen

Etter hvert som kaldlager gjør fjernangrep vanskeligere, flytter noen kriminelle seg til det fysiske. Chainalysis registrerte 46 voldelige wrench attacks mot kryptoeiere i første halvår 2026, med rundt 30 millioner dollar stjålet; hjemmeinnbrudd sto for 37 prosent av tilfellene og kidnappinger for 52 prosent, og Frankrike pekte seg ut som et arnested (Chainalysis). Til sammenligning ble det stjålet 58 millioner dollar gjennom hele 2025.

Chainalysis forklarer hvorfor: «Criminals have recognized that crypto holders are high-value targets because they possess wealth in an instantly and irreversibly transferrable form» (Chainalysis). Poenget er at en tvunget overføring ikke kan reverseres slik en bankoverføring kan.

Her har enhetsvalget faktisk betydning. Både Ledger og Trezor støtter en skjult lommebok bak en ekstra passordfrase, slik at en tvunget PIN-inntasting bare avslører en lokkelommebok med litt midler, mens hovedbeholdningen ligger usynlig bak en frase angriperen ikke vet finnes. Noen oppsett støtter også en egen duress-PIN. Det billigste og mest oversette forsvaret er likevel diskresjon: ikke fortell at du eier krypto, og kjøp enheten slik at ingen kobler navnet ditt til den.

Hva koster de i kroner?

Listeprisene er i dollar eller euro; for norske kjøpere kommer 25 prosent merverdiavgift og frakt på toppen, og ved import kan det påløpe toll og gebyr. Med en dollarkurs rundt 9,4 kroner sommeren 2026 (Investing.com) gir det følgende omtrentlige bilde. Betrakt tallene som veiledende, og sjekk alltid forhandlerens dagspris.

Merk at pris ikke korrelerer med sikkerhet. En Trezor Safe 3 til under tusenlappen bruker samme grunnprinsipp som en Stax til nesten fire tusen; forskjellen er skjerm, materialer og trådløs lading, ikke hvor godt nøkkelen beskyttes. Et Tangem-sett er billigst, men løser en litt annen oppgave. Til referanse ligger bitcoin selv rundt 590 000 kroner i august 2026 (CoinGecko), så for de fleste er kostnaden for enheten en forsvinnende liten forsikringspremie mot totaltap.

Markedet for maskinvarelommebøker er fortsatt lite i det store bildet: rundt en halv milliard dollar i 2025, men ventet å vokse kraftig mot 2031, og salget økte over 30 prosent i 2025 (CoinLaw). Bare en brøkdel av verdens kryptobrukere oppbevarer verdiene selv, og det er delvis den brøkdelen som vokser når saker som Coldcard og de store børsranene når nyhetene.

Regulering: Finanstilsynet, MiCA og skattemeldingen

Et viktig poeng for norske lesere: en maskinvarelommebok er ikke regulert slik en børs er. Kryptoeiendelsloven, som gjennomfører EUs MiCA-regelverk i norsk rett via EØS-avtalen, har gjeldt fra 1. juli 2025, og den krever at tjenestetilbydere (CASP-foretak som børser, forvaring og veksling) har tillatelse fra Finanstilsynet før de kan operere i Norge. I 2026 fikk for eksempel Týr Markets AS en slik tillatelse (Finanstilsynet).

Selvforvaring faller utenfor. Når du signerer med din egen Ledger, Trezor eller Tangem, er det ingen mellommann som trenger konsesjon, og ingen som kan fryse eller nekte deg tilgang. Da MiCAs overgangsperiode gikk mot slutten, oppfordret ESMA nettopp kunder hos uautoriserte tilbydere til å flytte verdiene til en autorisert aktør eller en selvforvart lommebok (ESMA). En maskinvarelommebok er altså et fullt lovlig alternativ, ikke en gråsone.

Men selvforvaring fjerner ikke skatteplikten. Skatteetaten forhåndsutfyller ikke krypto; du må selv føre opp beholdning som formue og gevinst som inntekt (gevinst skattlegges som kapitalinntekt, 22 prosent i 2026), uansett om verdiene ligger på en børs eller på et kort i skuffen (Skatteetaten). En maskinvarelommebok gir kontroll, ikke anonymitet overfor skattemyndighetene, og etaten har allerede identifisert titusener som ikke har rapportert.

Hvilken lommebok for hvem?

Det finnes ikke én vinner, bare en best passform. Her er hvordan vi ville tenkt for ulike profiler.

Legg merke til at det beste rådet for store beløp ikke er en enkelt enhet i det hele tatt, men en multisig som fordeler nøklene på flere merker og steder. Da må en angriper kompromittere flere ting samtidig, og en enkelt produsentfeil (som Coldcard-saken) tar ikke ned hele beholdningen. Det er også et forsvar mot ran: ingen enkelt enhet i hånden er nok til å flytte pengene.

Et siste råd: la beløpet styre innsatsen. Har du spart et beskjedent beløp, er den største risikoen at du roter bort tilgangen selv, og da vinner enkelhet (Tangem eller en rimelig Trezor). Vokser beholdningen til noe som ville gjort vondt å tape, forskyves regnestykket mot verifiserbar maskinvare, testet backup og til slutt multisig. Sikkerhet er ikke et produkt du kjøper én gang, men et nivå du justerer etter hvert som verdiene endrer seg.

Vanlige feil ved kjøp og oppsett

Selv den beste enheten kan settes opp på en usikker måte. De vanligste tabbene er lette å unngå:

• Kjøp fra produsenten eller en autorisert forhandler, aldri fra et anonymt annenhåndsmarked. En manipulert enhet med en forhåndslagt frase er et klassisk svindeltriks.
• Sjekk forsegling, og at enheten ber deg generere en helt ny frase første gang. Får du en ferdig frase i esken, er enheten kompromittert.
• Generer og les frasen bare på selve enheten. Ta aldri bilde av den, og skriv den ikke på telefon eller i skyen.
• Test gjenopprettingen med et lite beløp før du flytter alt. En backup du aldri har prøvd, er en antakelse, ikke en backup.
• Hold firmware oppdatert, men bare via produsentens offisielle app. Coldcard-saken viste at en oppdatering kan tette et hull, selv om den ikke reparerer nøkler som allerede er svekket.
• Vurder en skjult passordfrase hvis du eier mer enn du har råd til å tape til et ran.

Konklusjonen er nøktern: Ledger gir bredde og en polert opplevelse mot at du stoler på lukket kode; Trezor gir åpenhet og etterprøvbarhet helt ned til brikken; Tangem gir enkelhet uten frase, mot mindre fleksibilitet. Ingen av dem ble hacket i 2026 slik Coldcard ble, men den saken minner oss om at det avgjørende ikke er logoen, men hvordan nøkkelen lages, hvordan du signerer, og hvordan du beskytter deg selv fysisk. Velg ut fra din egen trusselprofil, ikke ut fra skjermen.

Frequently Asked Questions

Er Ledger, Trezor eller Tangem tryggest i 2026?

Det finnes ikke ett svar. Ledger har den lengste fartstiden på sertifiserte brikker, Trezor Safe 7 er den mest åpne og etterprøvbare, og Tangem fjerner den vanligste brukerfeilen ved å droppe seed-frasen. For store beløp er en multisig på tvers av to merker tryggere enn noen enkelt enhet.

Ble noen av de tre rammet av Coldcard-hacket?

Nei. Coldcard er en egen bitcoin-only-enhet fra Coinkite, og saken skyldtes svak nøkkelentropi i eldre Coldcard-firmware, ikke Ledger, Trezor eller Tangem. Men hendelsen er en påminnelse om at kvaliteten på tilfeldigheten i nøkkelgenereringen betyr mer enn spesifikasjonene.

Hva koster en maskinvarelommebok i Norge?

Et Tangem-sett starter rundt 500 til 700 kroner, Trezor Safe 3 rundt 600 til 800 kroner, mens berøringsmodeller fra Ledger og Trezor ligger fra rundt 1 200 til nesten 4 000 kroner. Legg til 25 prosent merverdiavgift og frakt, og sjekk forhandlerens dagspris.

Må jeg betale skatt selv om kryptoen ligger på en maskinvarelommebok?

Ja. Skatteetaten forhåndsutfyller ikke krypto, og du må selv føre opp beholdning som formue og gevinst som inntekt (22 prosent i 2026), uavhengig av om verdiene ligger på en børs eller på egen enhet. Selvforvaring gir kontroll, ikke skattefritak.

Bør jeg velge en lommebok uten seed-frase som Tangem?

Det kommer an på. En frasefri modell fjerner det farligste objektet i oppsettet og passer nybegynnere godt, men gir mindre fleksibilitet ved gjenoppretting, migrering og arv, siden du er bundet til produsentens kortsett. Vil du kunne gjenskape nøklene i en hvilken som helst kompatibel lommebok, velg en enhet med standard seed-frase.

Av Henrik Bjørnstad, redaktør for lommebøker og selvforvaring i HOGE Wire.