MetaMask, Phantom og Rabby: sikkerhetstesten for 2026

I 2025 falt de samlede tapene fra lommebok-drainere og phishing med 83 prosent, fra nesten 494 millioner dollar til rundt 83,85 millioner, ifølge sikkerhetsselskapet Scam Sniffer. På papiret ser det ut som en knusende seier for de gode kreftene. Ser man nærmere etter, forteller tallene noe mer ubehagelig: antallet ofre falt enda kraftigere enn kronebeløpet, og tidlig i 2026 skjøt tapene fra signatur-phishing i været igjen. Angriperne forsvant ikke. De ble færre, mer tålmodige og langt mer presise, og de gikk etter større lommebøker.

For en norsk kryptobruker betyr det at den viktigste sikkerhetsbeslutningen ikke tas av Finanstilsynet, av en børs eller av revisoren som gikk gjennom protokollen du bruker. Den tas av deg, i ett enkelt sekund, når du trykker «bekreft» i lommeboken din. Programvarelommeboken er det siste laget mellom sparepengene dine og en angriper. Derfor handler denne gjennomgangen ikke om hvem av MetaMask, Phantom og Rabby som har flest funksjoner eller kuleste design. Den handler om én ting: hvem beskytter deg best i det øyeblikket du er i ferd med å gjøre en feil? Er du mer ute etter en generell sammenligning av de tre, har vi tatt for oss hvilken lommebok du bør velge i 2026 i en egen artikkel.

De tre lommebøkene representerer tre ulike svar på det samme problemet. Rabby simulerer hver transaksjon før du signerer, og viser deg nøyaktig hva som forlater lommeboken. MetaMask legger et varslingslag fra sikkerhetsselskapet Blockaid oppå alt du gjør. Phantom kjøpte rett og slett hele sikkerhetsselskapet Blowfish og bygde det inn i kjernen. Vi går gjennom hvordan hver strategi holder mål mot 2026-trusselbildet, hvor de fortsatt svikter, og hvordan du bygger et forsvar i flere lag rundt dem. Alle beløp er oppgitt i norske kroner, med en dollarkurs på rundt 9,5 kroner i august 2026.

Lommeboken er din siste forsvarslinje

Selvforvaring (self-custody) betyr at du eier nøklene selv, uten mellommann. Det er hele poenget med krypto, men det har en bakside: det finnes ingen kundeservice som kan reversere en transaksjon, ingen bank som stopper en mistenkelig overføring, og ingen angrefrist. Når en signatur først er sendt til blokkjeden, er den endelig. En programvarelommebok lever dessuten i et fiendtlig miljø, i nettleseren eller på mobilen, side om side med ondsinnede nettsteder, falske utvidelser og skadevare som overvåker utklippstavlen. Jobben til lommeboken er å oversette uleselige data til en beslutning du faktisk kan ta, og å rope varsku før du gjør noe du ikke kan angre på.

Her skiller de tre seg tydelig. MetaMask er bransjens de facto-standard med over 30 millioner månedlige aktive brukere, noe som også gjør den til det mest kopierte og mest angrepne merket i kategorien. Phantom vokste fra å være Solanas favoritt til en multichain-app med et sted mellom 15 og 20 millioner brukere ved utgangen av 2025, mens Rabby, bygget av teamet bak DeBank, er den minste av de tre med rundt 4,2 millioner installasjoner (CoinLaw). Rabby har likevel bygget seg et solid rykte blant erfarne DeFi-brukere, nettopp på sikkerhet. Størrelse er ikke det samme som trygghet; den mest populære lommeboken er også det mest verdifulle målet.

Tabellen under oppsummerer hvor de tre står på de sikkerhetsdimensjonene vi går gjennom i resten av artikkelen.

Slik tømmes en lommebok i 2026

For å vurdere forsvaret må man forstå angrepet. De aller fleste moderne tyverier handler ikke om at noen hacker en lommebok i teknisk forstand og stjeler nøkkelen. De handler om å lure eieren til å signere noe frivillig. Det er en avgjørende forskjell, for det betyr at forsvaret må skje i grensesnittet, ikke i kryptografien. En lommebok kan ha perfekt nøkkelhåndtering og likevel la deg gi bort alt, hvis den ikke klarer å forklare deg hva du faktisk godkjenner.

De vanligste angrepsformene i 2026 er verdt å kjenne igjen:

• Ondsinnede token-godkjenninger: du gir en smartkontrakt lov til å flytte tokenene dine, ofte med ubegrenset beløp. Én signatur, og angriperen kan tømme kontoen når det passer.
• Permit- og Permit2-signaturer: gassfrie signaturer utenfor kjeden som godkjenner overføringer. De ser harmløse ut fordi de ikke koster gass, men gir samme fullmakt, og sto for en stor andel av de største enkelttapene.
• Adresseforgiftning: angriperen sender en bitteliten overføring fra en adresse som ligner din egen eller en du ofte bruker, i håp om at du senere kopierer feil adresse fra historikken.
• Blindsignering: du godkjenner rå hex-data du umulig kan lese, og stoler blindt på at appen viser deg sannheten.
• 7702-sweepers: etter Pectra-oppdateringen kan en vanlig konto delegeres til en smartkontrakt; ondsinnede varianter tømmer kontoen automatisk i det midler kommer inn.

Tallene for 2025 viste at forsvaret virker. Scam Sniffer registrerte 106 106 ofre, et fall på 68 prosent fra året før, og det største enkelttapet var et adresseforgiftningsangrep på 50 millioner dollar (Cointelegraph). Men selskapet advarer mot å ta seieren på forskudd: drainer-økosystemet er fortsatt aktivt, og når eldre aktører trekker seg ut, fyller nye raskt tomrommet. I januar 2026 økte tapene fra signatur-phishing med 207 prosent på én måned, samtidig som antallet ofre falt (DeepStrike). Med andre ord: færre, men mye rikere mål. Lommebok-drainere er heller ikke den eneste fronten; parallelt har oracle-angrepene rammet DeFi-protokoller på et helt annet nivå av kompleksitet.

Rabby: lommeboken som simulerer før du signerer

Rabbys signaturfunksjon er den enkleste å forklare og kanskje den mest effektive: før du signerer noe som helst, kjører lommeboken transaksjonen i et simulert, forket miljø og viser deg resultatet på forhånd. Du ser nøyaktig hvilke tokens som forlater lommeboken, hvilke som kommer inn, hvilke godkjenninger du er i ferd med å gi, og hvordan porteføljens samlede verdi endres. Skal du bytte 5 000 kroner i ETH mot en stablecoin, og simuleringen viser at hele saldoen forsvinner, stopper du før du signerer. Det er en enkel idé med stor effekt, fordi den flytter beslutningen fra blind tillit til et konkret, lesbart forhåndsbilde.

Rundt simuleringen ligger en security engine som scorer hver transaksjon mot et sett med regler, en hviteliste for adresser du stoler på, og automatisk nettverksbytte slik at du ikke sender på feil kjede. Rabby er dessuten fullt åpen kildekode, med koden tilgjengelig på GitHub for hvem som helst som vil granske den. I 2025 gjennomførte lommeboken sine årlige eksterne revisjoner: SlowMist gikk gjennom nettleserutvidelsen fra 4. til 15. august og fant tre funn, alle på laveste alvorlighetsgrad, uten kritiske, høye eller middels sårbarheter, mens Least Authority gjennomførte en separat gjennomgang fra 11. august til 2. september (Least Authority). Rabby-teamet fremhevet at de grundige, uavhengige revisjonene er en fast del av det å drive en åpen kildekode-lommebok, nettopp fordi hvem som helst kan krysssjekke funnene mot koden.

Rabby har også en Gas Account som lar deg sette inn USDC eller USDT og betale gass på tvers av kjeder, noe som fjerner en vanlig kilde til feil (å stå fast uten riktig gass-token). Og lommeboken har verken en egen token eller et airdrop-program. Det er verdt å merke seg i en sikkerhetssammenheng: uten en token å pumpe finnes det ingen innebygd interesse i å presse brukere til å handle mer enn nødvendig. Begrensningen er tydelig: Rabby er EVM-only. Den dekker over 140 EVM-kjeder, men ikke Solana eller Bitcoin. Lever du på Solana, er ikke Rabby et alternativ i det hele tatt.

MetaMask: Blockaid-brannmuren og signalene

MetaMask valgte en annen vei. I stedet for å bygge simuleringen selv, integrerte Consensys sikkerhetsselskapet Blockaid som et varslingslag. Funksjonen ble slått på som standard for Ethereum i nettleserutvidelsen i januar 2024 og er siden utvidet til Linea, BNB Chain, Polygon, Arbitrum, Optimism og Avalanche, på både mobil og utvidelse (MetaMask). Når varslene er på, sjekkes hver transaksjon og signaturforespørsel mot Blockaids motor, som simulerer resultatet og advarer deg dersom noe tyder på svindel, phishing, etterligning eller andre kjente angrepsmønstre.

MetaMask fremhever at løsningen er personvernbevarende: transaksjonen deles ikke med tredjeparter når varselet genereres. Nytteverdien ble demonstrert konkret under Ledger Connect Kit-angrepet i desember 2023, da nesten hundre DeFi-frontender ble kompromittert samtidig. Hver eneste MetaMask-bruker som hadde slått på Blockaid-varslene, var fullstendig beskyttet, og selskapet anslår at rundt 1,15 millioner dollar ikke ble stjålet nettopp på grunn av varslene (MetaMask). Poenget er verdt å gjenta: varslene er en opt-in for eldre kontoer, så det aller første du bør gjøre i MetaMask er å bekrefte at de er på.

MetaMask har dessuten sluttet å være en ren EVM-lommebok. Gjennom 2025 la Consensys til Solana, og mot slutten av året kom Bitcoin-støtte, samtidig som multichain-kontoer lot én gjenopprettingsfrase styre adresser på tvers av EVM, Solana og Bitcoin. Bredden har en pris, bokstavelig talt: MetaMask tar det høyeste byttegebyret av de tre, rundt 0,875 prosent. Og fordi den er det største målet i kategorien, er den også merket angriperne oftest etterligner med falske nettsteder og utvidelser. Blockaid-laget er derfor ikke en luksus, men en nødvendighet.

Phantom: Blowfish bygget rett inn

Phantom tok den mest aggressive tilnærmingen: selskapet kjøpte hele sikkerhetsselskapet det ellers ville lisensiert fra. I november 2024 kjøpte Phantom opp Blowfish, en web3-sikkerhetsplattform som på det tidspunktet hadde forhindret over 2,8 millioner svindelforsøk, skannet mer enn 1,3 milliarder transaksjoner og beskyttet verdier for over 18 milliarder dollar (crypto.news). «By bringing on Blowfish, we now have the best security team in crypto», sa Phantom-sjef Brandon Millman da oppkjøpet ble kunngjort (Phantom). Blowfish-gründer og administrerende direktør Fabio Berger la til at det å være «directly embedded within a leading wallet will allow us to improve user security in ways that simply weren’t possible as a standalone company».

I praksis betyr det at Phantom viser transaksjonsforhåndsvisninger drevet av Blowfish, som simulerer transaksjonen og advarer mot kjente svindelmønstre og ondsinnede fullmakter før du godkjenner. Lommeboken revideres jevnlig av blant andre Kudelski Security og Least Authority. Phantoms styrke er bredden på forbrukersiden: den er hjemmehørende på Solana, men støtter også Ethereum, Polygon, Base, Sui og Bitcoin, og den har innebygde funksjoner som staking og, siden sommeren 2025, perpetuals-handel via Hyperliquid. Jo flere funksjoner som er innebygd, desto mer er det å signere, og desto viktigere blir forhåndsvisningene.

Den store innvendingen mot Phantom er at lommeboken er lukket kildekode. Du kan ikke selv verifisere at Blowfish-motoren gjør det Phantom sier; du må stole på revisjonene og selskapets ord. Og selv den beste simuleringen har blinde flekker. Adresseforgiftning, som vi kommer tilbake til, utnytter menneskelig kopiering og ikke en ondsinnet kontrakt, og har rammet også brukere av moderne lommebøker med alle sikkerhetsfunksjoner slått på. En sikkerhetsmotor er et sterkt lag, men den er ikke en garanti.

Blindsignering og kampen om ERC-7730

Alle de tre lommebøkene sliter med det samme grunnproblemet: blindsignering. Når en dapp ber deg signere en kompleks transaksjon, får du ofte se rå hex-data som ingen vanlig bruker kan tolke. Du trykker «signer» fordi du stoler på nettstedet, ikke fordi du forstår hva du godkjenner. Ledger har kalt blindsignering en av de to viktigste årsakene til store brukertap i hendelser med maskinvarelommebøker (crypto.news), og det samme prinsippet gjelder programvarelommebøker.

Svaret bransjen har samlet seg om, heter clear signing. I mai 2026 lanserte Ethereum Foundation, sammen med Ledger, standarden ERC-7730. Ideen er enkel: et JSON-basert beskrivelsesformat lar en smartkontrakt forklare funksjonene sine i klartekst, koblet til et offentlig register og et uavhengig verifiseringslag, slik at lommeboken kan vise «du bytter 1 000 USDC mot ETH» i stedet for en vegg av hexadesimaler. Standarden endrer ingenting i selve transaksjonen på kjeden; den legger bare et lesbart lag på toppen.

En oppdatert versjon fra våren 2026 utvidet dekningen til programvarelommebøker, krysskjede-tilfeller og konfidensielle tokens, og bidragsyterne spenner fra maskinvareprodusenter (Ledger, Trezor) til programvarelommebøker (MetaMask, WalletConnect) og infrastruktur (Fireblocks). Poenget for en bruker er dette: clear signing og simulering løser to forskjellige halvdeler av samme problem. Simuleringen viser deg hva som skjer; clear signing viser deg hva du har til hensikt å gjøre. En lommebok som gjør begge deler, gir deg to uavhengige sjanser til å oppdage at noe er galt.

Smarte kontoer: slik endrer EIP-7702 angrepsflaten

Den største endringen i lommebok-sikkerhet det siste året kommer fra EIP-7702, som ble aktivert i Pectra-oppdateringen på Ethereum i mai 2025. Kort fortalt lar 7702 en vanlig konto (en EOA) midlertidig opptre som en smartkontrakt-konto, uten å måtte flytte til en ny adresse. Det åpner for funksjoner som lenge har vært forbeholdt smarte kontoer: å samle flere handlinger i én transaksjon, la noen andre betale gassen, sette opp tidsbegrensede sesjonsnøkler og sosial gjenoppretting. Vil du forstå den underliggende teknologien grundigere, har vi skrevet om account abstraction og hvordan smarte kontoer tar over i en egen artikkel.

Her skiller lommebøkene lag igjen. MetaMask lanserte Smart Accounts med 7702 som den primære oppgraderingsveien for eksisterende brukere (MetaMask), og Rabby fulgte etter med støtte for delegert EOA-modus mot slutten av 2025. Phantom, som er født på Solana, står i en annen situasjon: Solana har allerede en fleksibel kontomodell, så 7702-diskusjonen gjelder først og fremst EVM-siden. Anslag peker mot flere hundre millioner smarte lommebøker på tvers av økosystemet i 2026.

Men den samme fleksibiliteten er et tveegget sverd. En 7702-delegering peker kontoen din mot en smartkontrakt, og hvis du blir lurt til å delegere til feil kontrakt, kan angriperen få omfattende kontroll. Rett etter Pectra fant sikkerhetsforskere at det store flertallet av de tidlige delegeringene pekte mot gjenbrukt sweeper-kode som automatisk tømmer innkommende midler, og phishing-varianter som utnytter 7702 har allerede dukket opp. Lærdommen er at smarte kontoer ikke er tryggere i seg selv; de er tryggere bare hvis du delegerer til implementasjoner du faktisk stoler på, og hvis lommeboken viser deg tydelig hva delegeringen innebærer.

Token-godkjenninger: den skjulte bakdøren

Om det finnes én mekanisme hver kryptobruker bør forstå, er det token-godkjenninger (approvals). For å handle på en desentralisert børs må du først gi børsens smartkontrakt lov til å flytte tokenene dine. Mange dapper ber om en ubegrenset godkjenning for at du skal slippe å godkjenne på nytt hver gang, og det er nettopp der faren ligger: en gammel, glemt godkjenning til en kontrakt som senere blir kompromittert, er en åpen bakdør inn til lommeboken din.

De tre lommebøkene håndterer dette ulikt. Rabby viser en dedikert oversikt over alle aktive godkjenninger og lar deg trekke dem tilbake, og simuleringen gjør det tydelig når en transaksjon ber om en fullmakt i stedet for en vanlig overføring. MetaMask viser godkjenninger i grensesnittet og lar deg sette en egendefinert grense i stedet for ubegrenset, i tillegg til at Blockaid-varslene fanger de mest åpenbart ondsinnede forespørslene. Phantom advarer via Blowfish når en godkjenning ser farlig ut. Uansett lommebok bør du gjøre det til en vane å gå gjennom og trekke tilbake gamle godkjenninger med jevne mellomrom, og alltid vurdere om en dapp virkelig trenger ubegrenset tilgang.

Permit2, et system som samler godkjenninger i signaturer utenfor kjeden, har gjort dette både mer effektivt og mer forvirrende. En Permit2-signatur koster ingen gass og ser derfor uskyldig ut, men den kan gi samme vidtrekkende fullmakt som en on-chain-godkjenning. Dette er akkurat den typen forespørsel der en simulering eller et clear signing-lag er verdt gull: de oversetter en kryptisk signatur til en setning du kan ta stilling til.

Adresseforgiftning og copy-paste-fellen

Adresseforgiftning er det klareste eksempelet på et angrep ingen sikkerhetsmotor kan løse helt, fordi det ikke utnytter en ondsinnet kontrakt, men en menneskelig vane. Angriperen sender en bitteliten eller verdiløs overføring til deg fra en adresse som er konstruert for å ligne en du nettopp har brukt, gjerne med samme første og siste tegn. Neste gang du skal sende penger og kopierer «samme» adresse fra transaksjonshistorikken, kopierer du angriperens adresse i stedet.

Alvoret er reelt. Det største enkelttapet Scam Sniffer registrerte i 2025 var nettopp et adresseforgiftningsangrep på 50 millioner dollar (Cointelegraph), og selskapet dokumenterte flere tap i millionklassen tidlig i 2026 der ofre kopierte feil adresse fra historikken (DeepStrike). Fordi det ikke finnes noen ondsinnet transaksjon å simulere, hjelper det lite at lommeboken har en avansert forhåndsvisning; den korrekte transaksjonen sendes tross alt til feil sted, helt frivillig.

Forsvaret er gammeldags og manuelt. Bruk en adressebok eller hviteliste (Rabby har en innebygd) i stedet for å kopiere fra historikken. Kontroller hele adressen, ikke bare de første og siste tegnene. Send en liten testoverføring før du sender et stort beløp til en ny mottaker. Og vær ekstra skeptisk til små, uventede innskudd; de er ofte agnet i et forgiftningsangrep. Dette er området der brukeren, ikke lommeboken, er det avgjørende forsvarslaget.

Åpen kildekode mot lukket kode

Et gjennomgående skille mellom de tre er hvor mye du kan verifisere selv. Rabby er fullt åpen kildekode; hvem som helst kan lese, granske og rapportere feil i koden på GitHub. Phantom er lukket; du må stole på selskapets revisjoner og omdømme. MetaMask ligger et sted i mellom: koden er offentlig lesbar, men lisensen er ikke en klassisk åpen kildekode-lisens, så «offentlig» er ikke helt det samme som «fri».

Betyr åpen kildekode automatisk tryggere? Ikke nødvendigvis. Åpen kode kan inneholde feil ingen har oppdaget, og lukket kode kan være grundig revidert. Men åpenhet gir noe verdifullt: uavhengig etterprøvbarhet. Når Rabby publiserer revisjonsrapporter fra SlowMist og Least Authority, kan hvem som helst krysssjekke funnene mot den faktiske koden. Formelle revisjoner er dessuten bare ett lag; ved siden av dem spiller konkurranserevisjon og bug bounties en stadig større rolle, der uavhengige sikkerhetsforskere belønnes for å finne feil før angriperne gjør det.

For den som vil forstå hva en revisjon egentlig er verdt, er det verdt å vite hvordan bransjen jobber. Vi har sett nærmere på revisjonsselskapene i krypto og hvem du kan stole på, og forskjellen mellom en overfladisk gjennomgang og en grundig kodegransking er stor. Prinsippet for lommebøker er det samme som for protokoller: en revisjon er et øyeblikksbilde av en bestemt kodeversjon, ikke en evig garanti. En lommebok som revideres årlig og publiserer resultatene, gir deg mer å gå på enn en som bare ber deg om å stole på seg.

Avgifter, gass og MEV: hva trygghet koster

Sikkerhet og kostnad henger sammen på måter som ikke alltid er åpenbare. Byttegebyret, det lommeboken tar på toppen av nettverksgass og likviditetskostnader, varierer kraftig mellom de tre. Rabby tar rundt 0,25 prosent, Phantom rundt 0,85 prosent, og MetaMask rundt 0,875 prosent (10pmTrader). Forskjellen ser liten ut per handel, men summerer seg raskt for aktive brukere. Tabellen under viser hva ett enkelt bytte koster i ren gebyrandel, uten nettverksgass, ved to typiske beløp.

Hvorfor hører dette hjemme i en sikkerhetsartikkel? Fordi insentiver former atferd. En lommebok med høyt gebyr og et aktivt belønnings- eller token-program har en innebygd interesse i at du handler ofte, og hyppig handling betyr flere signaturer, altså flere anledninger til å bli lurt. Rabbys fravær av en egen token er i så måte et sikkerhetsargument like mye som et kostnadsargument. Det billigste alternativet er ikke automatisk det tryggeste, men gebyrmodellen forteller deg noe om hvem lommeboken tjener penger på.

Gass og MEV er den andre siden. Rabbys Gas Account lar deg betale gass på tvers av kjeder med stablecoins, noe som reduserer feil. Flere lommebøker tilbyr dessuten MEV-beskyttelse ved å rute transaksjoner gjennom private kanaler, slik at boter ikke kan klemme handelen din mellom to andre (såkalt sandwiching). Slik beskyttelse er ikke alltid på som standard, så det er verdt å sjekke innstillingene. Poenget er at kostnad i krypto ikke bare er gebyret du ser, men også verdien som lekker ut i form av dårlig utførelse og unødvendig eksponering.

Mobil, nettleser og forsvar i dybden

Angrepsflaten er ikke den samme på mobil som i nettleseren. Nettleserutvidelser lever i det samme miljøet som nettsidene du besøker, og er utsatt for falske utvidelser, ondsinnede dapper og skadevare som bytter ut adresser på utklippstavlen. Mobilapper er mer innkapslet, men her er faren falske apper i app-butikkene og phishing via meldinger og QR-koder. Alle tre lommebøkene finnes både som utvidelse og app, og en vanlig feil er å koble en mobil-lommebok til en dapp via WalletConnect uten å sjekke hva man faktisk kobler til.

Uansett hvilken lommebok du velger, er det viktigste sikkerhetsgrepet arkitektonisk, ikke et valg mellom merkevarer. Prinsippet heter forsvar i dybden: du sprer risikoen over flere lag i stedet for å legge alt i én kurv. I praksis betyr det at en programvarelommebok bør brukes til små, daglige beløp, mens sparepengene ligger bak en maskinvarelommebok. Alle tre lommebøkene kan kobles til en Ledger eller Trezor, slik at selve signeringen skjer på en enhet som er koblet fra internett, samtidig som du beholder det gode grensesnittet.

Et par enkle vaner gjør resten av jobben. Hold en egen testlommebok med små beløp for å prøve nye dapper, slik at en tabbe ikke koster deg alt. Bruk separate lommebøker for ulike formål, for eksempel én for handel og én for langsiktig sparing. Og signer aldri en stor transaksjon blindt; ta deg tid til å lese forhåndsvisningen eller clear signing-teksten. På sikkerhetssiden er denne lagdelingen viktigere enn selve valget mellom de tre lommebøkene.

Regulering i Norge: Finanstilsynet, Skatteetaten og MiCA

Et punkt mange overser: når du bruker en selvforvart lommebok, står du i praksis utenfor det regulatoriske sikkerhetsnettet. MiCA-regelverket, som gjelder i Norge gjennom EØS-avtalen, regulerer tilbydere av kryptoaktivatjenester (CASP-er), altså børser og forvaringstjenester, ikke selvhostede lommebøker. MetaMask, Phantom og Rabby er ikke CASP-er i denne forstand. Det betyr at hvis du mister nøklene eller signerer bort midlene dine, finnes det ingen tilsynsmyndighet som kan hjelpe deg med å få dem tilbake.

Finanstilsynet har vært tydelig på risikoen. I sin forbrukeradvarsel understreker tilsynet at kryptoinvesteringer kan svinge kraftig og i verste fall gå fullstendig tapt, at markedsføringen ofte er villedende, og at svindel og hacking er en reell fare (Finanstilsynet). Tilsynet ber folk være «spesielt forsiktige» med tilbydere etablert utenfor EU eller som ikke omfattes av MiCA. For en selvforvart lommebok er det verdt å ta advarselen ett skritt videre: her er det ingen tilbyder å klage på i det hele tatt, bare deg og nøklene dine.

Skatt kommer i tillegg. Skatteetaten behandler gevinst på kryptoeiendeler som kapitalinntekt med 22 prosent skatt, og du må selv oppgi både gevinster, tap og formuesverdien per 31. desember, siden tallene ikke er forhåndsutfylt i skattemeldingen (Skatteetaten). Bruker du en lommebok som Rabby eller Phantom til hyppig handling, betyr det at du selv er ansvarlig for å holde orden på hver eneste skattepliktige hendelse. Selvforvaring gir full kontroll, men også fullt ansvar, både for sikkerheten og for skatten.

Slik setter du opp lommeboken trygt

Hvis vi koker det ned til praktiske råd, handler det mindre om å kåre en vinner og mer om å matche lommebok med bruksmønster, og deretter bygge de samme forsvarslagene rundt uansett valg. Grovt sagt:

• Leser du hver transaksjon og vil ha maksimal åpenhet på EVM-kjeder, er Rabby det sterkeste valget, med innebygd simulering, åpen kildekode og lavest gebyr.
• Lever du på Solana eller vil ha én forbrukervennlig app for mange kjeder, er Phantom naturlig, med Blowfish-motoren innebygd.
• Vil du ha bredest mulig økosystemstøtte og et modent varslingslag, er MetaMask med Blockaid det trygge standardvalget.

Uansett hvilken du velger, er det disse grepene som faktisk flytter risikoen:

• Slå på sikkerhetsvarsler og transaksjonssimulering (i MetaMask er de opt-in for eldre kontoer).
• Legg sparepengene bak en maskinvarelommebok, og bruk programvarelommeboken bare til små, daglige beløp.
• Gå gjennom og trekk tilbake gamle token-godkjenninger med jevne mellomrom.
• Bruk adressebok eller hviteliste, og send en testoverføring før store beløp til nye mottakere.
• Signer aldri blindt; les forhåndsvisningen eller clear signing-teksten før du bekrefter.
• Hold en egen testlommebok for nye, ukjente dapper.

Den ubehagelige sannheten bak 2026-tallene er at teknologien er blitt bedre raskere enn brukerne. Simulering, Blockaid, Blowfish og clear signing fanger stadig mer, men de fleste tapene skjer fortsatt fordi noen ble stresset, hadde det travelt eller stolte på feil nettsted. Den beste lommeboken er den som tvinger deg til å stoppe ett sekund før du signerer, og den beste brukeren er den som lar seg stoppe.

Ofte stilte spørsmål

Hvilken lommebok er tryggest i 2026: MetaMask, Phantom eller Rabby?

Det finnes ingen enkel vinner. Rabby har en fordel for nøye EVM-brukere gjennom innebygd transaksjonssimulering og åpen kildekode, Phantom leder på Solana med Blowfish-motoren innebygd, og MetaMask har det bredeste økosystemet og et modent Blockaid-varslingslag. I praksis avgjøres sikkerheten mer av vanene dine og av om du bruker en maskinvarelommebok enn av hvilket merke du velger.

Kan transaksjonssimulering stoppe alle angrep?

Nei. Simulering fanger ondsinnede kontraktresultater og skjulte godkjenninger, men den kan ikke stoppe adresseforgiftning, der du selv kopierer feil adresse, eller sosial manipulasjon utenfor kjeden. Kombiner derfor simulering med adressebok, testoverføringer og en maskinvarelommebok for større beløp.

Er Rabby tryggere enn MetaMask?

Rabby har innebygd simulering, åpen kildekode og lavere gebyr, noe som appellerer til erfarne DeFi-brukere. MetaMask har Blockaid-varsler, langt bredere kjede- og økosystemstøtte og et større team bak seg. Ingen av dem er kategorisk tryggere; det avhenger av hva du bruker lommeboken til, og av hvor nøye du selv er.

Hva er EIP-7702, og gjør det lommeboken min tryggere?

EIP-7702 lar en vanlig konto opptre som en smartkontrakt-konto, med funksjoner som samlede transaksjoner, sosial gjenoppretting og sesjonsnøkler. Det kan bedre både brukeropplevelsen og sikkerheten, men gir også en ny risiko: delegerer du til feil kontrakt, kan du miste kontrollen. Både MetaMask og Rabby støtter 7702, så deleger bare til implementasjoner du stoler på.

Hvordan beskytter jeg meg best mot wallet drainers?

Slå på sikkerhetsvarsler, trekk tilbake ubrukte token-godkjenninger, kontroller hele mottakeradressen og legg sparepengene bak en maskinvarelommebok. Bruk en liten programvarelommebok til daglig bruk, hold en egen testlommebok for nye dapper, og signer aldri en transaksjon du ikke forstår.

Av Yuki Tanaka, seniorredaktør i HOGE Wire, som dekker lommebøker, børser og sikkerhet i krypto.