Lommeboken som ikke var ekte: MetaMask, Phantom og Rabby

Vi har testet MetaMask, Phantom og Rabby nesten et dusin ganger i denne spalten: hvem som er sikrest mot en drainer, hvem som tar lavest gebyr, hvem som overlever at du mister telefonen, og sist hvordan de tre gjorde seg om fra bank til veddekontor. Hver eneste test har hatt én ting til felles: vi har tatt for gitt at lommeboken på skjermen faktisk var MetaMask, Phantom eller Rabby.

I oktober 2026 falt den forutsetningen. Den raskest voksende tyverimetoden mot vanlige brukere angriper ikke lenger transaksjonen du signerer; den angriper selve lommeboken, før du i det hele tatt har et beløp å miste. Angriperen lager en kopi som ser ut som den ekte varen, legger den der du leter, og venter på at du skriver inn de tolv ordene. Markedet gjorde ikke saken mindre aktuell: Bitcoin lå rundt 79 850 dollar (om lag 735 000 kroner), Ethereum rundt 2 312 dollar (cirka 21 300 kroner) og Solana falt under 100 dollar for første gang på en stund, til rundt 99,70 dollar (drøyt 900 kroner), etter to dager med utstrømming fra Solana-ETF-er, ifølge crypto.news. Fallende priser betyr flere nervøse brukere som bytter lommebok i all hast, og hastverk er svindlerens beste venn.

Testen alle hopper over

Alle lommebokguider, også våre egne, begynner etter installasjonen. Du har appen; spørsmålet er hvordan den oppfører seg. Men den billigste veien inn for en angriper er ikke å slå MetaMask sin transaksjonssimulering, Phantom sin Blowfish-motor eller Rabby sin forhåndsvisning i en gaffel av kjeden. Den billigste veien er å sørge for at du aldri kjører den ekte lommeboken i det hele tatt.

En falsk lommebok trenger ikke å være smart. Den trenger bare å vise deg et importbilde som ligner, og få frøfrasen din før du skjønner hva som skjer. I det øyeblikket er alle de avanserte forsvarsmekanismene vi har brukt måneder på å sammenligne, irrelevante: de beskytter penger i en lommebok du eier, ikke penger i en lommebok angriperen eier. Derfor er «hvilken lommebok er tryggest» feil spørsmål i 2026. Det riktige spørsmålet er «hvordan vet jeg at dette er lommeboken i det hele tatt».

Det er ingen teoretisk bekymring. Gjennom 2025 og 2026 har angriperne systematisk flyttet innsatsen fra å bryte lommebøkenes forsvar til å erstatte lommeboken med en kopi, rett og slett fordi det er billigere, enklere å skalere og vanskeligere for offeret å oppdage. En kopi trenger ingen sårbarhet i MetaMask eller Rabby; den trenger bare din tillit i noen sekunder.

Hva som faktisk skjedde i oktober

Den 7. oktober 2026 publiserte sikkerhetsselskapet Socket en gjennomgang av 16 ondsinnede Firefox-utvidelser som utga seg for å være kryptolommebøker. Fire av dem var kopier av Rabby; tolv var kopier av OKX Wallet. Utvidelsene var kamuflert som ekte importportaler, skrivebordsverktøy og nettleserverktøy, skriver The Hacker News.

Det lumske var hvor normalt det så ut. Offeret møtte et importbilde som lignet til forveksling på det ekte, med det samme feltet for å gjenopprette lommeboken og de samme fargene. Noen av utvidelsene var til og med pakket inn som uskyldige skrivebords- eller nettleserverktøy, slik at selve tyveriet lå gjemt bak et verktøy som tilsynelatende gjorde noe helt annet. For brukeren var det ingen åpenbar feil å reagere på; frasen var tastet og sendt før noe føltes galt.

Mekanikken var enkel og nådeløs. Ifølge Sockets rapport, skrevet av trusselforsker Joseph Edwards, hektet Rabby-klonene seg på importflyten og godtok «a 12-word string; a 24-word string; or a 64-character hexadecimal string consistent with a raw private key». Med andre ord: akkurat det du taster inn når du gjenoppretter en ekte lommebok. Verdiene ble URL-kodet og sendt videre til angriperens infrastruktur. Femten av utvidelsene sendte det stjålne til det samme Cloudflare Workers-domenet (icy-star-f45c.workers.dev), én brukte et annet. Mozilla hadde avpublisert alle 16 innen 5. oktober, men som Socket påpeker hjelper ikke fjerning den som allerede har tastet inn frasen sin.

Socket vurderer med høy sikkerhet at kampanjen er en fortsettelse av en bølge selskapet avdekket allerede i august 2026. Aktørene bytter pakkenavn, versjoner, utvidelses-ID-er og beskrivelser, men gjenbruker de samme lommebokgrensesnittene, den samme logikken for å håndtere stjålne nøkler og den samme nettverksinfrastrukturen. Det er en fabrikk, ikke et enkeltstående uhell.

GreedyBear og oppskriften på tillit

Oktober-bølgen var ikke ny. Et drøyt år tidligere, i august 2025, dokumenterte sikkerhetsselskapet Koi Security en kampanje de kalte GreedyBear: over 150 ondsinnede Firefox-utvidelser som utga seg for å være MetaMask, TronLink, Exodus og Rabby, og som til sammen stjal mer enn én million dollar, ifølge The Hacker News. Kampanjen kjørte tre spor i parallell: nettleserutvidelser, falske nettsider og skadevare for skrivebordet.

Det mest lærerike var metoden Koi Security døpte «Extension Hollowing». Angriperen oppretter først en utgiverkonto i markedsplassen, laster opp uskyldige utvidelser uten reell funksjonalitet for å gli gjennom den første kontrollen, poster falske positive anmeldelser for å bygge en illusjon av troverdighet, og bytter deretter innmaten ut med ondsinnet kode. Poenget er brutalt enkelt: de signalene du bruker til å avgjøre om en utvidelse er trygg (antall installasjoner, alder, stjerner, anmeldelser) er nettopp det angriperen forfalsker først. Koi Security advarte samtidig om at den samme gruppen forbereder seg på å flytte over til Chrome Web Store med identiske metoder.

For en MetaMask- eller Rabby-bruker betyr dette at «mest nedlastet» ikke er noen garanti. Det er et mål. Jo større merkevare, jo mer verdt er det å kopiere den, og jo lettere er det å gjemme en kopi i mengden.

GreedyBear-saken er også lærerik fordi den viser skalaen. Dette er ikke en enslig hacker som lager én falsk utvidelse, men en organisert operasjon som produserer hundrevis av dem, med egen infrastruktur for å høste og flytte det stjålne. Koi Security knyttet over 150 utvidelser til den samme aktøren, i tillegg til falske nettsider og skadevare for Windows. Når forsvaret er en manuell gjennomgang hos markedsplassen, og angrepet er industrialisert, er det lett å se hvem som vinner kappløpet i ren mengde.

Mobilen er ikke tryggere

Mange nordmenn tenker at nettleserutvidelser er risikosport, men at appbutikken er trygg fordi Apple og Google kontrollerer den. Det stemmer ikke lenger. Den 20. april 2026 beskrev Kasperskys Securelist en kampanje de kaller FakeWallet: 26 ondsinnede apper som slapp gjennom Apples App Store og etterlignet MetaMask, Coinbase, Trust Wallet, OneKey, Ledger, TokenPocket, imToken og Bitpie.

Teknikken er verdt å forstå, for den sier noe om hvor godt frøfrasen er beskyttet når angriperen først er inne på telefonen. De trojaniserte appene inneholder kode som skanner skjermen (optisk tegngjenkjenning) for å finne de mnemoniske ordene mens du setter opp eller gjenoppretter en lommebok. Når ordene dukker opp, hentes de ut, krypteres med RSA og Base64, og sendes til en kommandoserver. MetaMask var ifølge rapporten den mest etterlignede, via en komponent kalt libokexHook.dylib. Operasjonen har vært aktiv siden minst høsten 2025, og knyttes med moderat sikkerhet til skadevarefamilien SparkKitty.

Lærdommen er ubehagelig: en appbutikks godkjenningsstempel er ikke et sikkerhetsstempel. Apper godkjennes i en uskyldig versjon og får skadelig kode gjennom en senere oppdatering, akkurat som utvidelsene i Firefox. Det samme har skjedd på Google Play, der falske MetaMask-apper gjentatte ganger er fjernet etter at de allerede hadde rukket å tømme brukere, som omtalt av crypto.news.

Spørsmålet er hvordan folk havner på den falske appen i det hele tatt. Svaret er sjelden butikken alene. Ofte starter det med et søk, der en betalt annonse for en forfalsket side ligger øverst, eller med et domene som er stavet nesten riktig (en bokstav feil, en bindestrek for mye) og som leder videre til en nedlasting utenfor den offisielle kanalen. Kombinasjonen av et troverdig domene og et godt rangert søketreff gjør at offeret tror det har gått rett til kilden, mens det i realiteten er loset dit angriperen vil ha det.

Tre lommebøker, tre angrepsflater

De tre lommebøkene vi følger, er ulike mål nettopp fordi de distribueres og bygges ulikt. Tilliten din hviler på helt forskjellige ting avhengig av hvilken du velger, og det avgjør hva du faktisk må sjekke.

MetaMask er den største merkevaren, med rundt 30 millioner månedlige brukere og mer enn 140 millioner nedlastinger gjennom årene, og topper CoinGeckos oversikt over varme programvarelommebøker. Størrelsen er også svakheten: ingen annen lommebok kopieres oftere. Koden er lesbar, men utvidelsen har siden 2020 en egen lisens, ikke en standard open source-lisens. MetaMask forsvarer seg blant annet med en fellesskapsdrevet blokkliste over svindeldomener, eth-phishing-detect på GitHub, og med Blockaid-varsler i selve appen.

Phantom er lukket kildekode. Du kan ikke lese eller bygge koden selv, og må i praksis stole på at signaturen i App Store eller Google Play, og selskapet bak, er det de utgir seg for. Til gjengjeld har Phantom én tydelig, kuratert kanal og en sterk tilstedeværelse i appbutikkene, med hovedvekt på Solana-økosystemet.

Rabby, laget av DeBank-teamet, er helt åpen kildekode og revidert av både SlowMist og Least Authority i 2025 (Least Authority-rapporten fant to forhold, hvorav ett av middels alvorlighetsgrad). Det var også Rabby som ble kopiert i oktober. En detalj som sjelden får oppmerksomhet: Rabby sin skrivebordsversjon er «connect-only», den lar deg ikke importere en frøfrase direkte, og fjerner dermed nettopp det bildet klonene utnyttet.

Forskjellen er ikke akademisk. Den avgjør hva «å verifisere» i det hele tatt betyr for deg. For Rabby kan det bety å sammenligne mot kildekoden; for Phantom finnes ingen kode å sammenligne mot, bare signaturen og kanalen; for MetaMask betyr det å navigere forbi et hav av kopier til den ene ekte. Tre modeller, tre helt ulike sjekklister.

Paradokset med åpen kildekode

Her ligger en motsetning det er verdt å stoppe ved. Åpen kildekode er en reell sikkerhetsegenskap for den ekte Rabby: hvem som helst, inkludert revisorer som SlowMist, kan lese koden og finne feil. Men den samme åpenheten ga angriperne i oktober en ferdig mal. De trengte ikke å gjette hvordan importbildet ser ut; de kopierte det pikselnøyaktig fra et offentlig kodelager.

Phantom står i motsatt posisjon. Den lukkede koden er en svart boks du ikke kan verifisere, men det finnes bare én offisiell kanal å laste ned fra, og en forfalskning må enten etterligne den kanalen eller lure deg bort fra den. MetaMask sitter i en tredje felle: koden er lesbar og kanalene mange, men nettopp fordi merkevaren er størst, er den også den mest imiterte. Ingen av de tre modellene er trygg i seg selv. De flytter bare tilliten til ulike steder: til deg selv (Rabby), til selskapet og butikken (Phantom), eller til fellesskapet og blokklistene (MetaMask).

Det er den samme debatten som går i revisjonsbransjen, der spørsmålet om hvem som egentlig eier tilliten ble aktualisert da S&P Global kjøpte OpenZeppelin. Kildeåpenhet flytter ansvaret til leseren; lukket kode flytter det til leverandøren. Ingen av delene fjerner det.

Hvorfor frøfrasen er hele spillet

Legg merke til hva alle kampanjene over jakter på: ikke passordet ditt, ikke to-faktorkoden, men de tolv eller tjuefire ordene, eller de 64 tegnene som utgjør den private nøkkelen. I selvforvaring er frøfrasen ikke én av flere nøkler. Den er alt. Den som har den, har pengene, uansett hvilken enhet, app eller land de befinner seg i.

Vitalik Buterin formulerte problemet skarpt allerede i essayet sitt om sosial gjenoppretting: mnemoniske fraser «do nothing against theft», skrev han på vitalik.eth.limo. En frase som beskytter mot at du glemmer, beskytter ikke mot at noen stjeler den. Og i motsetning til et bankkort finnes det ingen å ringe. Det var hele poenget i saken vår om av-knappen som avgjør hvem som får refusjon: i selvforvaring er det ingen av-knapp, ingen tilbakeføring og ingen angrefrist.

Derfor er Sockets kanskje viktigste setning en advarsel folk ofte misforstår: «Changing only the extension password does not revoke a stolen seed phrase or private key». Har frasen din lekket, hjelper det ikke å bytte passord, installere lommeboken på nytt eller fjerne den falske utvidelsen. Den eneste virkelige løsningen er å opprette en helt ny lommebok med en ny frase og flytte alt du har igjen dit, raskt. Den gamle frasen er brent for godt.

Nettopp dette, at tyveriet ikke kan gjøres om, gjør den falske lommeboken til så god forretning. En svindler som lurer et betalkort, møter sperrer: utstederen kan reversere, banken kan fryse, og det finnes en frist. En stjålet frøfrase har ingen av delene. I det sekundet den er tastet inn i feil felt, er pengene like flyttbare for tyven som for deg, og ingen myndighet kan trykke dem tilbake. Angriperen trenger bare å lykkes én gang; du må ha rett hver gang.

Slik verifiserer du at lommeboken er ekte

Den gode nyheten er at de fleste klonene faller på enkle sjekker. Problemet er at sjekkene må gjøres før du taster inn noe, ikke etterpå. Her er fremgangsmåten vi anbefaler, uansett hvilken av de tre du bruker.

• Gå alltid til den offisielle adressen direkte (metamask.io, phantom.com, rabby.io), helst via et bokmerke du har laget selv. Ikke søk deg frem, og klikk aldri på en annonse øverst i søkeresultatet.
• Ikke stol på antall installasjoner, alder eller anmeldelser i en markedsplass. GreedyBear forfalsket nettopp disse signalene.
• Tast aldri frøfrasen inn i en utvidelse eller app du kom til via en lenke, et DM, en e-post eller en annonse. Ekte brukerstøtte ber aldri om frasen.
• Bruk en maskinvarelommebok som signerer, slik at frasen aldri finnes i programvaren i det hele tatt.
• Test en ny installasjon med en tom konto eller et småbeløp før du flytter noe av verdi.
• Sjekk hvilke tillatelser en nettleserutvidelse ber om, og vær skeptisk til «les og endre alle data på alle nettsteder» uten god grunn.

Og her er faresignalene som bør få deg til å stoppe helt opp:

Det kritiske er rekkefølgen. Alle disse sjekkene er trivielle å gjøre i ro og mak, og nesten umulige å huske i det øyeblikket du har overført krypto til feil sted og i panikk leter etter «lommeboken min» i et søkefelt. Legg inn vanene mens alt er rolig: ett bokmerke per offisiell side, maskinvare for alt av verdi, og en fast regel om at frøfrasen aldri tastes inn noe sted du ikke selv har navigert til.

Maskinvaren som bryter kjeden

Det finnes ett forsvar som rammer selve kjernen i problemet: en maskinvarelommebok. Når den private nøkkelen ligger på en egen fysisk enhet, finnes frøfrasen aldri i programvaren på datamaskinen. En falsk MetaMask- eller Rabby-utvidelse som er koblet til en Ledger, kan ikke stjele en frase du aldri har tastet inn, og hver transaksjon må bekreftes på skjermen til selve enheten.

Men forsvaret har en hake, og den heter blind signering. Hvis enheten bare viser deg en kryptisk kode i stedet for hva du faktisk godkjenner, er du like fullt prisgitt at programvaren foran deg er ærlig. Ledgers teknologisjef Charles Guillemet har kalt dette kjernen i problemet: en transaksjon er «not intelligible by default. It’s a digital payload», sa han til Investing.com. Svaret bransjen samler seg om, er clear signing, der enheten viser lesbare detaljer, formalisert i standarden ERC-7730 som Ledger i 2026 overlot til Ethereum Foundation som nøytral forvalter.

Her skiller de tre seg praktisk. Rabby støtter bredest utvalg av maskinvare (Ledger, Trezor, Keystone, GridPlus, OneKey, BitBox og flere); MetaMask dekker blant annet Ledger, Trezor, Keystone og NGRAVE; Phantom er i praksis Ledger-only. At nøklene ligger på egen maskinvare, løser likevel ikke alt: Halborn og Humanity-hacket viste at selv et oppsett med flere signaturer faller om signeringsmiljøet rundt er kompromittert. Maskinvaren flytter tillitsgrensen vekk fra den infiserte maskinen, men du må fortsatt lese det som står på enhetens skjerm.

Hva de tre selskapene gjør med det

Lommebøkene er ikke passive i dette. De forsvarer seg bare på et annet sted enn der klonene slår til. MetaMask lener seg på den nevnte blokklisten eth-phishing-detect, som vedlikeholdes i det åpne av et fellesskap og lister tusenvis av kjente svindeldomener, og på Blockaid-motoren som simulerer og varsler om mistenkelige transaksjoner i selve appen. Selskapet omtaler seg selv som den mest angrepne lommeboken, nettopp fordi den er størst, og publiserer jevnlig råd om at den eneste trygge nedlastingskilden er metamask.io.

Phantom kjøpte i november 2024 sikkerhetsselskapet Blowfish, som nå driver transaksjonsforhåndsvisningene og svindeldeteksjonen i appen, melder crypto.news. Den lukkede modellen gjør at du ikke kan ettergå koden, men den gir Phantom én kuratert kanal å forsvare, og selskapet er tydelig på at brukere bare skal laste ned fra phantom.com eller en offisiell lenke derfra.

Rabby sitt forsvar er åpenheten selv. Fordi hele kodebasen ligger offentlig og er gjennomgått av både SlowMist og Least Authority, kan hvem som helst i prinsippet sammenligne en mistenkt kopi mot originalen. Men her ligger også grensen for alt dette: ingen av de tre tiltakene beskytter selve installasjonsøyeblikket. De verner lommeboken mens den kjører, ikke valget av hvor du henter den fra. Det valget er fortsatt ditt, og det er akkurat der angriperen har flyttet seg inn.

Når svindelen treffer Norge

Dette er ikke et fjernt amerikansk problem. Økokrim omtaler investeringsbedrageri knyttet til kryptovaluta som et voksende problem i Norge. I en av de største sakene er fire nordmenn tiltalt for å ha lurt til seg over 900 millioner kroner gjennom et falskt kryptoprosjekt, med fornærmede i mange land; rundt 700 millioner skal ha blitt hvitvasket gjennom klientkontoer i et norsk advokatfirma og sendt videre til selskaper i Asia, melder NRK.

De sakene handler om falske investeringsplattformer, ikke falske lommebøker, men psykologien er den samme: et troverdig grensesnitt, et løfte og et øyeblikks tillit. Den falske lommeboken er selvforvaringens versjon av det samme. Og den overlapper ofte med kjendis-fronting og betalte annonser, slik vi så i saken om kjendis-rug pull-en og promotøren som gikk fri. Finanstilsynet har på sin side advart om at investeringer i kryptoeiendeler kan være risikable, og at mange tilbud rettet mot norske forbrukere kommer fra aktører uten tillatelse.

For en norsk bruker er refleksen å stole på at det som ligger i App Store, øverst i Google eller med flest stjerner, er det ekte. Kampanjene i 2025 og 2026 viser at nettopp den refleksen er angrepsflaten.

Det er også verdt å merke seg hvem som rammes. Investeringsbedrageriene Økokrim beskriver, treffer ofte eldre og mindre teknisk vante brukere, mens de falske lommebøkene i større grad treffer dem som allerede er inne i kryptomiljøet og tror de kjenner igjen en svindel når de ser den. Begge gruppene deler det samme svake punktet: et øyeblikk der tilliten til et grensesnitt settes høyere enn en kald sjekk av kilden.

Finanstilsynet, MiCA og en bruker uten nettverk

La oss først samle mønsteret i de tre bølgene på ett sted, for de ligner hverandre mer enn de er ulike:

Det regulatoriske svaret er magert, og det er viktig å forstå hvorfor. En lommebok du forvalter selv, er ikke en tjenesteyter for kryptoeiendeler (CASP). Finanstilsynet fører tilsyn med børser og forvaringstjenester under kryptoeiendelsloven, som trådte i kraft 1. juli 2025 og innlemmer MiCA i norsk rett via EØS, men selve den selvforvaltede programvaren faller utenfor. Det betyr at når en falsk lommebok tømmer deg, finnes det ingen regulert mellommann å klage til, ingen innskuddsgaranti og ingen myndighet som fører tilsyn med «lommeboken».

Hadde pengene ligget hos en autorisert norsk CASP (AK Jensen Norway var først ute i februar 2026, senere fulgte blant andre Firi og NBX), ville det i det minste finnes et tilsynspliktig selskap i bildet. Selvforvaring fjerner den mellommannen med vilje; det er hele poenget. Men det samme valget fjerner også nettet under deg. Ansvaret for å verifisere at lommeboken er ekte, er helt og holdent ditt.

Skatt når pengene er borte

Skatt gjør et tyveri enda mer bittert. Skatteetaten behandler gevinst ved realisasjon av kryptoeiendeler som kapitalinntekt (22 prosent), og hele beholdningen skal verdsettes til markedsverdi per 31. desember som formue. Hvert bytte og hvert salg er en realisasjon.

Men et tyveri er ikke et salg. At noen stjeler frøfrasen din og tømmer lommeboken, er i utgangspunktet ikke en realisasjon i skattelovens forstand, og fradrag for tap ved tyveri og svindel av kryptoeiendeler er et vanskelig og uavklart område. Vi gir ikke skatteråd her; poenget er at du ikke bør regne med et pent fradrag som trøst. Dokumenter hendelsen, ta vare på transaksjonssporet, og ta kontakt med Skatteetaten om formuesverdien du ikke lenger rår over.

Her finnes nok en asymmetri. Fra 2026 er CARF-regelverket i kraft i Norge, og tjenestetilbyderne (CASP-ene) skal rapportere kundenes kryptobeholdning til Skatteetaten fra 2027, på samme måte som banker. En selvforvaltet lommebok som blir tømt av en klon, står utenfor den rapporteringen: ingen tredjepart ser tapet, ingen stanser pengestrømmen, og den eneste som kan bevise hva som skjedde, er du.

Praktisk betyr det at dokumentasjon er din eneste venn. Ta skjermbilder, noter tidspunkt og transaksjons-ID-er, meld forholdet til politiet og til lommebokleverandøren, og vær forberedt på at pengene mest sannsynlig er borte. Det er en kald trøst, men den understreker poenget gjennom hele denne saken: i selvforvaring er forebygging ikke én av flere strategier. Den er den eneste som virker.

Hva vi anbefaler

Den falske lommeboken endrer ikke hvilken av de tre som er «best». Den endrer disiplinen. Uansett hvilken du velger, er det du som må kontrollere kilden, og det er frøfrasen du må beskytte som om den var hele formuen, for det er den. Med det som bakteppe, en kort rettesnor:

• Nybegynner med lite på kjeden: Phantom eller MetaMask, lastet ned fra den offisielle adressen og bare den. Lær frase-regelen før du kjøper noe.
• Aktiv EVM-bruker: Rabby gir mest kontroll og lavest gebyr (0,25 prosent mot Phantoms 0,85 og MetaMasks 0,875), men da bør du faktisk utnytte åpenheten: last ned fra rabby.io, og bruk gjerne skrivebordsversjonen som er connect-only.
• Større beholdning: en maskinvarelommebok som signerer, uansett hvilken programvare-front du kobler den til. Da kan ikke en klonet front stjele en frase du aldri taster inn. Les alltid det enheten viser.
• Den mistenksomme: bokmerk de offisielle sidene, ignorer annonser og søketreff, og test enhver ny installasjon med et symbolsk beløp før du stoler på den.

Det samme prinsippet gjelder når lommeboken får lov til å handle på egne vegne. Jo mer makt du delegerer til appen, enten det er en fullmakt til en agent som signerer eller en permanent token-godkjenning, desto mer avhenger alt av at appen er den ekte. En falsk lommebok med vide fullmakter er ikke et tyveri som skjer én gang; det er en åpen dør.

Ofte stilte spørsmål

Hvordan vet jeg at MetaMask, Phantom eller Rabby er ekte?

Last ned bare fra den offisielle adressen (metamask.io, phantom.com eller rabby.io), helst via et bokmerke du selv har laget, aldri fra en annonse eller et søketreff. Ikke stol på antall installasjoner eller anmeldelser, siden de forfalskes, og tast aldri frøfrasen inn i en app eller utvidelse du kom til via en lenke.

Hva gjør jeg hvis jeg har tastet frøfrasen inn i en falsk lommebok?

Gå ut fra at frasen er lekket. Å bytte passord, installere på nytt eller slette den falske utvidelsen hjelper ikke, slik Socket understreker. Opprett en helt ny lommebok med en ny frøfrase og flytt alt du har igjen dit umiddelbart. Den gamle frasen kan ikke reddes.

Kan falske kryptolommebøker ligge i App Store og Google Play?

Ja. Kaspersky dokumenterte 26 falske apper i Apples App Store i april 2026, og tilsvarende er fjernet fra Google Play flere ganger. En godkjenning i butikken er ingen sikkerhetsgaranti, fordi skadelig kode ofte legges til i en senere oppdatering. Sammenlign alltid utgiver og lenke mot den offisielle siden.

Beskytter en maskinvarelommebok mot falske lommebøker?

I stor grad. Når den private nøkkelen ligger på en fysisk enhet, finnes frøfrasen aldri i programvaren, så en klonet front kan ikke stjele en frase du aldri taster inn. Du må likevel lese det enheten viser på skjermen, siden blind signering kan skjule hva du faktisk godkjenner.

Dekker Finanstilsynet eller en garanti tapet hvis jeg blir svindlet?

Nei. Selvforvaltede lommebøker er ikke CASP-er og faller utenfor Finanstilsynets tilsyn, så det finnes ingen innskuddsgaranti og ingen tilbakeføring. Skattefradrag for tap ved tyveri er dessuten et uavklart område. Ansvaret for å verifisere lommeboken er ditt alene.

Av Yuki Tanaka, seniorredaktør i HOGE Wire. Teksten er generell informasjon, ikke investerings- eller skatteråd.