Ingen knakk nøkkelen: lommebok-UX i oktoberbølgen 2026

Oktober 2026: måneden lommebøkene tømtes uten at en nøkkel ble knekt

Oktober 2026 blir stående som en av de verste månedene i kryptolommebøkenes historie, men ikke av grunnen folk flest tror. I sak etter sak holdt kryptografien. Ingen knakk en privat nøkkel, ingen brøt et Secure Element, og ingen gjettet en 24-ords gjenopprettingsfrase ved ren regnekraft. Det som brast, var tillitskjeden bak skjermen: forsyningskjeden til maskinvaren, varselkanalen i appen, seglet på esken og baksystemet hos forvalteren. For en lommebok er nettopp dette kjernen i brukeropplevelsen. Hele løftet i god lommebok-UX er at det du ser på skjermen, er det du eier, og det du signerer. I løpet av oktober viste tre hendelser hvor skjørt det løftet er.

Markedet ga månedens nyheter en dyster bakgrunn. Bitcoin lå rundt 77 500 dollar (cirka 720 000 kroner) og Ethereum rundt 2 243 dollar (cirka 20 900 kroner) den 31. oktober, med en dollarkurs på omtrent 9,32 kroner, etter at de amerikanske bitcoinfondene hadde sett sitt største daglige uttak siden juni (crypto.news). Prisene er hentet fra CoinDesk og MetaMask. For en nordmann med kryptoformue var det altså fallende verdier i bakgrunnen mens overskriftene handlet om hvor lett pengene kan forsvinne helt.

De tre sakene som definerte måneden, hadde lite til felles på overflaten. En spionbrikke skjult inne i en Ledger-enhet, solgt av en autorisert forhandler i Sørøst-Asia, sendte gjenopprettingsfraser ut over mobilnettet. Et kapret varselsystem i den belgiske maskinvareprodusenten NGRAVEs app lokket brukere inn på en falsk nettside. Og den indiske børsen CoinDCX så omtrent 16 millioner dollar forsvinne fra adresser den selv hadde kalt «utdaterte». I tillegg kom månedens aller største sjokk: hacket av Binance den 29. oktober, der rundt 6,4 milliarder dollar forsvant på under en halvtime, tidenes største kryptotyveri. Men selv der var det ikke Ethereum eller kryptografien som sviktet; det var signeringsinfrastrukturen bak børsen.

Spionbrikken i signeringsenheten: Ledger og CryptoBilis

Ankeret for hele måneden var Ledger-saken. Selskapets eget sikkerhetslaboratorium, Donjon, fant et uautorisert maskinvareimplantat inne i signeringsenheter som var solgt gjennom CryptoBilis, en autorisert Ledger-forhandler i Sørøst-Asia. Implantatet besto av en liten mikrokontroller, en LTE-modul og et eSIM, koblet til datalinjene mot skjermen. Da en ny eier satte opp enheten og de 24 ordene i gjenopprettingsfrasen ble vist, leste mikrokontrolleren ordene og sendte dem ut over mobilnettet. Ifølge CoinDesk anslo etterforskerne tap på opptil 93,2 millioner dollar fordelt på mer enn 300 lommebøker, og Tether frøs 10 millioner dollar i USDT knyttet til tyveriet.

Dette var ikke et hack i vanlig forstand. Enheten ble ikke fjernstyrt, og ingen programvare ble lurt. En fysisk dings, plantet et sted mellom fabrikken og kjøperen, lyttet passivt på det ene øyeblikket da frasen uunngåelig må vises i klartekst: oppsettet. Decrypt omtalte saken som et «antatt 86 millioner dollar»-tyveri, et tall som varierer mellom kildene fordi etterforskningen fortsatt pågår (Decrypt). Uansett eksakt beløp er prinsippet det samme: angrepet var usynlig for brukeren og krevde ingen feil fra hennes side.

Ledger-sjef Pascal Gauthier var tydelig på at kilden lå i distribusjonen, ikke i produktet. Etterforskningen pågår fortsatt for å fastslå «hvem som tuklet med disse signeringsenhetene, eller hvor i distribusjonskjeden det skjedde», sa han til CoinDesk. Teknologidirektør Charles Guillemet, som leder Donjon, la til at «Ledger går gjennom sine forhandlerkontroller og sine tiltak mot manipulering. Vi inviterer forskere og andre leverandører til å jobbe sammen med oss om deteksjon av tukling og rutiner for sporbarhet i leverandørkjeden.»

Hvorfor «ekte vare»-sjekken og Secure Element ikke hjalp

For å forstå hvorfor dette er en lommebok-UX-historie og ikke bare en maskinvarehistorie, må man se på hva en Ledger faktisk lover brukeren. Ledger var selv rask til å understreke hva implantatet ikke gjorde. Det «endret ikke enhetens Secure Element, brikken som er laget for å beskytte private nøkler, eller operativsystemet», og det «endret heller ikke transaksjoner eller signaturer», ifølge selskapet. Med andre ord: hele den berømte sikkerhetsarkitekturen fungerte som den skulle. Den private nøkkelen forlot aldri brikken, og signaturene var ekte.

Og likevel var pengene borte. Grunnen er at angrepet traff det ene laget sikkerhetsmodellen ikke beskytter: den visuelle utgangen. En maskinvarelommebok selger seg på en skjerm du kan stole på, fordi den sitter på enheten og ikke på en kompromittert telefon. Brikken bekrefter at fastvaren er ekte gjennom en «Genuine Check». Men ingen av disse mekanismene leter etter en passiv lytter loddet til skjermlinjene. Attesteringen bekrefter at programvaren er uendret; den sier ingenting om at en ekstra brikke sitter og leser de samme pikslene som brukeren leser. UX-løftet om at «det du ser er trygt» holdt. Problemet var at noen andre så akkurat det samme.

Dette skiller Ledger-saken fra klassisk nettfisking. Her gjorde brukeren alt riktig: kjøpte en anerkjent maskinvarelommebok, skrev ned frasen på papir og lot den aldri berøre en datamaskin. Tillitssvikten lå før enheten i det hele tatt kom i esken. Det er en ubehagelig tanke for alle som har lært at en maskinvarelommebok er fasiten på trygg oppbevaring, og det flytter spørsmålet fra «hvordan bruker jeg enheten riktig?» til «kan jeg i det hele tatt stole på enheten jeg har foran meg?».

Det er også et angrep som er nesten umulig å oppdage for en vanlig bruker. Du kan kontrollere fastvaren, og du kan se på emballasjen, men du kan ikke åpne enheten og lete etter en ekstra komponent uten å ødelegge den, og selv da vet de færreste hva de skal se etter. Nettopp derfor måtte oppdagelsen komme fra et profesjonelt laboratorium som Donjon, ikke fra kundene selv. For lommebok-UX er dette en ubehagelig grense: det finnes rett og slett ingen inspeksjonsflate der brukeren kan verifisere at maskinvaren faktisk er det den utgir seg for å være.

Varselet som ble våpen: NGRAVE LIQUID

Den andre saken rammet en konkurrent som markedsfører seg på nettopp fysisk sikkerhet. NGRAVE, et belgisk selskap, lager den luftgapede enheten NGRAVE Zero. Men angriperne rørte aldri maskinvaren. I stedet kompromitterte de en tredjeparts varselleverandør som NGRAVEs følgeapp LIQUID brukte. Den 17. oktober klokken 21.30 UTC sendte de ut falske push-varsler om at brukerens portefølje var «synkronisert med en Pixel 9 i Moskva». Enten man trykket «godkjenn» eller «avvis», havnet man på en falsk NGRAVE-nettside med en nedtellingsklokke, der ofrene ble bedt om å taste inn hele 24-ords-frasen eller Perfect Key-sikkerhetskopien. Seks minutter etter det første varselet var den første lommeboken tømt (Parameter).

Totalt forsvant rundt 2,56 millioner dollar fra omtrent 70 lommebøker på fire kjeder: 1,77 millioner i bitcoin, 454 000 dollar i XRP, 316 000 i Ethereum-baserte tokens og 18 000 i Stellar. Angriperne hadde skaffet seg tilgang allerede 11. oktober og kopierte ut varsellisten med enhetsmodell, operativsystem, appversjon, land, tidssone og omtrentlig plassering, data som gjorde fiskingen langt mer overbevisende. NGRAVE oppdaget angrepet rundt ett minutt etter første varsel, men stengte ikke varselkanalen før klokken 22.45. Selskapet innførte etterpå tofaktorgodkjenning for sensitive operasjoner, domenerestriksjoner og en nødstoppfunksjon.

NGRAVE-sjef Ruben Merre tok et uvanlig direkte ansvar. «En kryptosikkerhetsbedrifts første plikt er å levere nettopp det: sikkerhet. I dette har vi fullstendig og totalt mislyktes», uttalte han (Crowdfund Insider). Varselet, den mest hverdagslige UX-flaten som finnes, en liten boks øverst på telefonskjermen, ble gjort om til inngangsporten. Mønsteret ligner et SIM-bytteangrep, der det er telefonnummeret og varslingskanalen, ikke den private nøkkelen, som er det svake leddet; vi har tidligere skrevet om hvordan nummeret ditt kan bli nøkkelen til tyveri.

Den forvaltede varianten: CoinDCX og det «utdaterte» ekkoet

Den tredje saken flytter oss fra selvforvaring til forvaltede tjenester, og viser at tillitskjeden kan briste også når en profesjonell aktør holder nøklene. Den 21. oktober ble rundt 15,99 millioner USDT og 5 784 TRX flyttet fra adresser knyttet til den indiske børsen CoinDCX. Den største enkelttransaksjonen var på 15,82 millioner USDT, som ble rutet videre til innskuddsadresser hos Binance, OKX og Gate. Adressene var koblet til et tidligere CoinDCX-hack i juli 2025 på 44 millioner dollar (AMBCrypto).

Det interessante her er ikke bruddet i seg selv, men kommunikasjonen. Medgründer Sumit Gupta avviste først det hele: «CoinDCX-lommebøkene er ikke brutt. Vennligst ikke spre rykter.» Senere hevdet han at de aktuelle adressene var «utdaterte» etter hacket i 2025. Blokkjedegranskeren ZachXBT motsa påstanden og viste at adressen «forble aktiv med en likviditetstilbyder, behandlet brukerinnskudd regelmessig og samhandlet med en nåværende CoinDCX-varmlommebok så sent som i april og mai 2026». Børsen endte med å ta tapet selv og kreditere de berørte brukerne.

For en bruker er dette den motsatte UX-en av en maskinvarelommebok. Du ser ingen frase, ingen skjerm, ingen signatur. Du ser en saldo i en app og stoler på at et selskap holder orden bak kulissene. Når det selskapet først sier at «ingenting er galt» og tre dager senere innrømmer tapet, er det ikke kryptografien som har sviktet, men åpenheten. Forvaltet oppbevaring bytter den tekniske risikoen ved egne nøkler mot en menneskelig risiko: at du må stole på at noen andre forteller sannheten raskt nok.

Mønsteret: tillitskjeden bak skjermen brast

Legger man de tre sakene ved siden av hverandre, trer et mønster frem. I ingen av dem ble en nøkkel knekt. I alle tre brast et ledd i kjeden av ting brukeren er opplært til å stole på, lenge før pengene flyttet seg.

Fellesnevneren er at angrepet flyttet seg til lagene mellom den matematiske sikkerheten og mennesket: esken, skjermlinjene, varselboksen, dashbordet. Dette er presis de flatene lommebok-UX har brukt år på å gjøre vennlige og usynlige. Jo mer sømløs opplevelsen blir, desto mer tillit legger brukeren i ledd hun verken ser eller kan inspisere. Det er en ubehagelig bieffekt av god design: usynlighet som skulle gi trygghet, skjuler samtidig hvor angriperen faktisk slår til.

Programvarens forsyningskjede: Bybit, Connect Kit og Binance-hacket

Oktobers hendelser var ikke enestående, men den ferskeste utgaven av et velkjent mønster. De største kryptotyveriene de siste årene har i økende grad handlet om å kompromittere miljøet rundt signeringen, ikke nøkkelen i seg selv.

Da Bybit mistet rundt 1,5 milliarder dollar i februar 2025, var det ikke fordi noen knakk børsens nøkler. Angriperne, knyttet til nordkoreanske Lazarus, kompromitterte utviklingsmiljøet til Safe{Wallet} og la inn ondsinnet JavaScript på app.safe.global, slik at de som signerte «så én transaksjon og signerte en annen» (The Block). Tilliten til signeringsgrensesnittet, ikke til nøkkelen, var bruddpunktet. Det er beslektet med lærdommen fra Humanity-hacket, der flere signaturer i praksis satt på én kompromittert maskin: en signeringsmodell er aldri sterkere enn maskinen og grensesnittet den kjører på.

Og den 29. oktober 2026 ble Bybit-rekorden knust. Rundt 6,4 milliarder dollar forsvant fra Binance på tvers av ti blokkjeder på cirka tjue minutter, tidenes største kryptotyveri. På Ethereum-siden ble en varmlommebok forvandlet til et tappekontrakt via EIP-7702-fullmakter, men ifølge Chainalysis og TRM Labs lå rotårsaken i en kompromittert signeringsinfrastruktur internt hos Binance, ikke i en feil i Ethereum (Chainalysis). Rundt tre milliarder dollar ble frosset, og Binance lovet å dekke alle tap (Decrypt). Vi har sett nærmere på hva hacket betyr for de store børsene.

Også selve programvareforsyningskjeden har en historie her. I desember 2023 ble Ledgers Connect Kit, en mye brukt kodepakke, kompromittert slik at ondsinnet kode ble injisert i en rekke desentraliserte apper. Poenget gjentar seg: når miljøet rundt signeringen kan manipuleres, hjelper det lite at nøkkelen i seg selv er trygg. Dette er strukturelt vanskelig fordi en moderne lommebok ikke er ett produkt, men dusinvis av komponenter fra ulike leverandører, og angriperen trenger bare å finne det svakeste leddet.

Når lommeboken svikter innenfra: Coldcard-entropifeilen

Forsyningskjede og varsler er ett problem. Men 2026 ga også et motstykke: en maskinvarelommebok som sviktet helt på egen hånd, uten noen fiende i forsyningskjeden.

Fra 30. juli 2026 begynte en angriper å tømme bitcoin fra Coinkites Coldcard-enheter ved å utnytte en fem år gammel fastvarefeil. Fastvare 4.0.1, utgitt i mars 2021, inneholdt en byggefeil som fikk enkelte enheter til å falle tilbake på en svak programvarebasert tilfeldighetsgenerator i stedet for maskinvarekilden da de genererte frø. Nøkkelstyrken falt fra 128 bit til så lavt som rundt 40 bit, svakt nok til å knekkes uten at noen rørte enheten. Rundt 1 816 BTC, verdt omtrent 116 millioner dollar, ble tappet fra over 5 200 adresser i fire bølger, ifølge TRM Labs.

Det ubehagelige her er at en fastvareoppdatering ikke redder deg. Et frø som allerede er generert med for lite entropi, forblir svakt uansett hvor mange ganger du oppdaterer; den eneste løsningen er å lage et helt nytt frø og flytte alt over (crypto.news). Coldcard-saken utvider mønsteret fra oktober: selv når hele kjeden fra fabrikk til papirlapp er uberørt, kan tilliten svikte i selve koden som laget nøkkelen. For brukeren er resultatet det samme, pengene er borte, og ingen phishing-lenke ble klikket.

Uopprettelig: ransangrep og den manglende angreknappen

Det som gjør alle disse sakene så alvorlige, er en egenskap ved krypto som ingen UX-forbedring kan fjerne: transaksjoner kan ikke reverseres. Det finnes ingen bank å ringe og ingen angreknapp.

Chainalysis dokumenterte at fysiske «skiftenøkkelangrep», der ofre tvinges til å gi fra seg nøkler, oversteg 30 millioner dollar bare i første halvår 2026. Selskapet peker på selve kjernen: «Kriminelle har innsett at kryptoinnehavere er attraktive mål fordi de sitter på formue i en form som kan overføres umiddelbart og ugjenkallelig» (Chainalysis). Den samme ugjenkalleligheten som gjør selvforvaring kraftfull, gjør også hvert tyveri endelig.

Her blir forvaltet og ikke-forvaltet UX fundamentalt ulik. CoinDCX kunne velge å ta tapet og kreditere brukerne, fordi en forvalter har en balanse og et kundeforhold. Ofrene i Ledger- og NGRAVE-sakene hadde ingen slik motpart. Noen ganger kan stablecoin-utstedere fryse midler, slik Tether gjorde med 10 millioner dollar i Ledger-saken, men det forutsetter at tyvene sitter på nettopp den typen token, og at de ikke rekker å veksle dem først. Spørsmålet om hvem som kan trykke på en knapp, og hvem som får refusjon, har vi utforsket i saken om av-knappen som avgjør hvem som får pengene tilbake.

Hvor du kjøper enheten: forhandlere, segl og annenhåndsmarkedet

Ledger-saken satte søkelys på et spørsmål de fleste nye brukere aldri tenker på: hvor kom enheten fra? CryptoBilis var ikke en skyggeaktør, men en autorisert forhandler. Det er nettopp det som gjør saken ubehagelig: en «offisiell» kanal er ikke nødvendigvis trygg hvis noen har tuklet med varene underveis. I Tyskland trakk elektronikkjeden MediaMarkt Ledger-enheter fra hyllene etter at en manipulert enhet ble funnet. Fabrikkseglet og «ekte vare»-emballasjen, som er UX-signaler ment å berolige kjøperen, kan forfalskes eller omgås.

• Kjøp direkte fra produsenten eller fra en forhandler produsenten selv bekrefter, ikke fra et tredjepartstilbud på en markedsplass eller fra annenhåndsmarkedet.
• Generer alltid en helt ny frase selv ved oppsett; en enhet som kommer med en «ferdig» frase eller et forhåndsutfylt PIN-kort, er alltid en felle.
• Behandle en brukt eller gjenforseglet enhet som kompromittert, uansett hvor god prisen er.
• Sjekk produsentens «ekte vare»-attestering, men vit at den bekrefter fastvaren, ikke fraværet av et fysisk implantat.
• Ved store beløp: vurder en oppsettsprosedyre der frasen aldri vises på en enhet du ikke selv har kontrollert fra ny av.

Dette er kanskje den vanskeligste UX-lærdommen fra oktober, fordi den flytter ansvar tilbake til et tidspunkt de fleste anser som trivielt: selve kjøpet. Den samme «er dette ekte?»-usikkerheten gjelder programvare. Vi har tidligere skrevet om hvordan falske lommebok-apper etterligner MetaMask, Phantom og Rabby i app-butikkene; spørsmålet «laster jeg ned den ekte appen?» er den digitale tvillingen til «kjøpte jeg en ekte enhet?».

Finanstilsynet, MiCA og regelverket som ikke dekker selvforvaring

For norske lesere reiser oktoberbølgen et naturlig spørsmål: hvem passer på, og hva er du dekket av? Svaret avhenger helt av om du bruker en forvaltet tjeneste eller forvarer selv.

Loven om kryptoeiendeler gjelder i Norge fra 1. juli 2025, og MiCA-forordningen er innlemmet i EØS-avtalen gjennom en EØS-komitébeslutning fra februar 2025 (Finanstilsynet). Finanstilsynet fører tilsyn med kryptoeiendelstjenesteytere, altså børser, vekslere og forvaringstjenester. En slik tjenesteyter må ha fysisk tilstedeværelse i EØS, og en oppdatert liste over autoriserte tilbydere finnes i ESMA-registeret.

Men her er det avgjørende poenget: en ren selvforvaringslommebok, enten det er en Ledger eller en programvarelommebok, er som hovedregel ikke en slik tjeneste. Du er din egen forvarer, og da finnes det ingen tilsynsordning eller kundebeskyttelse som trer inn når noe går galt. For forvaltede aktører gir MiCA artikkel 75 et ansvarsregime: en tjenesteyter kan holdes ansvarlig for tap av kundenes kryptoeiendeler eller av tilgangsmidlene når hendelsen kan tilskrives den, begrenset til markedsverdien på tapstidspunktet. DORA stiller i tillegg krav til digital driftsstabilitet. Ofrene i Ledger- og NGRAVE-sakene faller utenfor alt dette: selvforvaring betyr også selvforsikring.

Det er en spenning i hjertet av lommebok-UX: jo mer «børsaktig» og sømløs en selvforvaringslommebok føles, desto lettere er det å glemme at ingen står bak den hvis frasen lekker. En Binance-kunde hadde et selskap som lovet å dekke tapet etter oktoberhacket; en Ledger-eier har bare seg selv. Det er ikke et argument mot selvforvaring, men en påminnelse om at friheten har en pris, og at prisen er at ansvaret er ditt alene.

Regningen og skatten: hvem betaler, og hva sier Skatteetaten?

Når pengene er borte, kommer to spørsmål: hvem tar tapet, og hvordan behandles det skattemessig?

Hvem som tar tapet, følger forvaringsgrensen tett. CoinDCX tok tapet selv og krediterte brukerne, og Binance lovet å dekke sitt. NGRAVE og Ledger kunne tilby etterforskning, kommunikasjon og i Ledgers tilfelle hjelp til å spore midler, men ingen automatisk refusjon til den enkelte. Forsikring mot kryptotyveri for privatpersoner er fortsatt umoden, og dekker sjelden tilfeller der brukeren selv tastet inn frasen på en falsk side.

Skattemessig behandler Skatteetaten kryptoeiendeler som formuesobjekter. Gevinst beskattes som kapitalinntekt med 22 prosent, verdien ved årsskiftet skal oppgis i kroner, og kryptoformue er ikke forhåndsutfylt i skattemeldingen; du må føre den selv (Skatteetaten). Om et tyveri gir rett til tapsfradrag, er ikke opplagt og må vurderes konkret; dette er ikke et område med en enkel standardregel. Fra 2026 innføres i tillegg det internasjonale rapporteringsrammeverket CARF, med rapportering fra tjenestetilbydere fra 2027, noe som gjør det enda viktigere å ha egne tall i orden. Arveavgiften ble avviklet i 2014, så kryptoarv utløser ingen egen avgift, men verdsettelse og inngangsverdier gjelder fortsatt.

Fem lag med tillit: slik forsvarer du deg

Hvis man skal gjøre oktober om til praktisk lærdom, hjelper det å tenke på lommeboken som en kjede av tillitslag, ikke ett enkelt produkt. Hvert lag kan svikte på sin egen måte, og hvert lag har sitt eget forsvar.

Verdt å merke seg: flere av årets store UX-fremskritt ville ikke ha stoppet disse angrepene. «Clear signing», bevegelsen for at du skal se hva du faktisk signerer i stedet for en uleselig datablokk, er et ekte fremskritt; Ethereum-stiftelsen overtok forvaltningen av ERC-7730-standarden i mai 2026 med budskapet om at «clear signing må være standard» (Ethereum Foundation). Men clear signing hjelper i signeringsøyeblikket. I oktober ble frasen lest før den første transaksjonen, eller tastet inn på en falsk side; selve signeringen var enten irrelevant eller helt ekte. Forsvaret måtte ligge et annet sted.

Tallene viser hvor vektoren flytter seg. Scam Sniffer meldte at fisketapene falt 83 prosent i 2025, til rundt 84 millioner dollar, men at ondsinnede «Permit»- og «Permit2»-signaturer sto for 38 prosent av tapene over én million dollar (Cointelegraph). Angriperne går dit forsvaret er tynnest, og i oktober var det bak skjermen.

Hva god lommebok-UX ser ut som etter oktober

Hvis det er én konklusjon å trekke, er det at lommebok-UX ikke lenger kan måles bare i hvor få trykk det tar å komme i gang. De siste årene har bransjen jaget friksjonsfrihet: passkeys i stedet for frase, innebygde lommebøker, innlogging med e-post. Alt dette er gode ting. Men oktober viste at friksjonsfrihet uten synlig tillit bare flytter risikoen til ledd brukeren ikke kan se.

De neste forbedringene handler mindre om å fjerne friksjon og mer om å gjøre tillitskjeden synlig. Det betyr enheter som kan bevise sin egen fysiske integritet, ikke bare at fastvaren er ekte. Det betyr varselkanaler som er bygget slik at de aldri kan be om en frase, og slik at et kapret varsel ikke kan føre til tap. Det betyr forvaltere som kommuniserer åpent og raskt når noe er galt, i stedet for å avvise. Og det betyr å normalisere én enkel regel: frasen din skal aldri, under noen omstendighet, tastes inn noe sted etter oppsett. Ikke noe ekte varsel, ingen ekte app og ingen ekte kundebehandler vil noen gang be om den.

For den enkelte er lærdommen fra oktober nøktern. Den beste kryptografien i verden beskytter bare det laget den er laget for å beskytte. Alt annet, esken, skjermen, varselet, dashbordet og menneskene, er like fullt en del av lommebokens brukeropplevelse, og i oktober 2026 var det der angriperne vant. Å forstå det, er i seg selv et forsvar.

Ofte stilte spørsmål

Ble noen privat nøkkel faktisk knekt i oktober 2026?

Nei. I de tre store lommeboksakene i oktober 2026 (Ledger/CryptoBilis, NGRAVE og CoinDCX) ble ingen privat nøkkel eller noe Secure Element brutt ved regnekraft. I Ledger-saken ble gjenopprettingsfrasen lest rett fra skjermen av et skjult implantat, i NGRAVE-saken tastet brukerne frasen selv inn på en falsk side etter et kapret varsel, og CoinDCX var et brudd hos en forvalter. Kryptografien holdt; tillitskjeden rundt den brast.

Er en maskinvarelommebok fortsatt trygg etter spionbrikke-saken?

Ja, prinsippet bak en maskinvarelommebok står seg, men du må tenke på hvor den kommer fra. Kjøp alltid direkte fra produsenten eller en forhandler produsenten selv bekrefter, avvis brukte eller gjenforseglede enheter, og generer alltid en helt ny frase ved oppsett. Ledger-saken rammet enheter solgt gjennom én bestemt forhandler, ikke den direkte salgskanalen.

Hva skal jeg gjøre hvis jeg får et varsel om at lommeboken min er i fare?

Ikke trykk på lenker i varselet, og tast aldri inn gjenopprettingsfrasen eller en sikkerhetskopi noe sted. NGRAVE-angrepet fungerte nettopp fordi et ekte utseende varsel ledet brukere til en falsk side med en nedtellingsklokke. En ekte lommebok, app eller kundeservice vil aldri be om frasen din. Gå heller direkte til den offisielle appen eller nettsiden ved å skrive inn adressen selv.

Dekker Finanstilsynet eller noen forsikring tap fra en selvforvaringslommebok?

Som hovedregel nei. Finanstilsynet fører tilsyn med kryptoeiendelstjenesteytere som børser og forvaringstjenester under MiCA, som er innlemmet i EØS-avtalen, men en ren selvforvaringslommebok er ikke en slik tjeneste. Da finnes det ingen tilsynsordning eller kundebeskyttelse, og privat kryptoforsikring er umoden og dekker sjelden tilfeller der du selv oppga frasen.

Hvordan beskattes kryptotap og -gevinst i Norge?

Skatteetaten behandler kryptoeiendeler som formuesobjekter. Gevinst beskattes som kapitalinntekt med 22 prosent, verdien ved årsskiftet oppgis i kroner, og kryptoformue er ikke forhåndsutfylt i skattemeldingen. Om et tyveri gir rett til tapsfradrag må vurderes konkret og er ikke opplagt. Fra 2026 gjelder i tillegg rapporteringsrammeverket CARF, med rapportering fra tjenestetilbydere fra 2027.

Av Yuki Tanaka, seniorredaktør i HOGE Wire.