Phishing-kampanjer i 2026: færre garn, større fisk

I 2025 skjedde det noe som ved første øyekast ligner en seier for kryptosikkerheten. Tapene fra klassiske wallet drainers, phishing-verktøyene som tømmer en lommebok i samme sekund som du signerer feil, falt med 83 prosent: fra rundt 4,7 milliarder kroner (494 millioner dollar) i 2024 til under 800 millioner kroner (83,85 millioner dollar), ifølge Scam Sniffers årsrapport. Antallet ofre stupte fra rundt 332 000 til drøyt 106 000. På papiret ser det ut som at forsvaret vant.

Problemet er at den samme perioden ble den dyreste noensinne for kryptosvindel sett under ett. Chainalysis anslår at svindel og bedrageri knyttet til krypto hentet inn rundt 160 milliarder kroner (17 milliarder dollar) i 2025, og at gjennomsnittsbetalingen i et svindeltilfelle steg fra 782 til 2 764 dollar. To kurver peker i hver sin retning samtidig: masseangrepene forsvinner, mens de målrettede operasjonene henter inn rekordsummer. Færre garn, men mye større fisk. Denne artikkelen forklarer hvorfor skiftet skjedde, hvordan en moderne phishing-kampanje faktisk kjøres fra topp til bunn, og hva en norsk kryptobruker konkret kan gjøre for å ikke bli den store fisken.

Det store skiftet: færre garn, større fisk

For å forstå trusselbildet i 2026 må man se to tall ved siden av hverandre. Det første er drainer-tapene: den smale, on-chain kategorien der et offer lures til å signere en ondsinnet transaksjon som umiddelbart tømmer lommeboken. Det tallet kollapset i 2025. Det andre er den brede svindelomsetningen, som inkluderer investeringsbedrageri, falske plattformer, romansesvindel (ofte kalt pig butchering) og etterligning av kjente merkevarer og personer. Det tallet eksploderte, og etterligningssvindel alene vokste med 1 400 prosent fra 2024 til 2025 ifølge Chainalysis.

Årsaken til divergensen er ikke tilfeldig. Lommebøker som MetaMask, Phantom og Coinbase Wallet har bygget inn svartelister og transaksjonssimulering; verktøy som revoke.cash har gjort det vanlig å rydde opp i gamle tillatelser; og drainer-kits blir oppdaget og blokkert raskere enn før. Massefisket, med tusenvis av like sider som håper på tilfeldige treff, gir dermed dårligere avkastning. Svaret fra kriminelle er å bytte strategi: færre, men langt mer forseggjorte kampanjer rettet mot personer som er identifisert på forhånd som velstående. Tabellen under viser de to økonomiene side om side, og legg særlig merke til at det største enkelttyveriet fra en drainer falt fra 55,48 millioner dollar i 2024 til 6,5 millioner dollar i 2025.

Anatomien til et rekordran: 2,7 milliarder kroner på én kveld

Ingenting illustrerer skiftet bedre enn natten til 10. januar 2026. Rundt klokken 23 UTC ble ett enkelt offer tømt for mer enn 2,7 milliarder kroner (282 millioner dollar) i Bitcoin og Litecoin, ifølge blokkjedeetterforskeren ZachXBT, referert av CoinDesk. Det er det største tyveriet fra en enkeltperson i kryptohistorien, og det slo den forrige rekorden fra sosial manipulasjon på 2,3 milliarder kroner (243 millioner dollar) fra august 2024.

Det bemerkelsesverdige er hvor lite teknisk angrepet var. Det fantes ingen feil i en smartkontrakt, ingen utnyttet sårbarhet, ingen kode. Angriperen utga seg for å være kundestøtte for maskinvarelommeboken Trezor, under navnet «Value Wallet», og overbeviste offeret om å dele gjenopprettingsfrasen (seed) til lommeboken. Med de tolv ordene i hende trengte tyven verken å bryte kryptografi eller lure frem en signatur. Rundt 2,05 millioner LTC (den gang verdt rundt 1,5 milliarder kroner) og 1 459 BTC (rundt 1,3 milliarder kroner) forsvant.

Det ironiske er at offeret gjorde mye riktig. En maskinvarelommebok som Trezor holder de private nøklene isolert fra internett, og den beskytter effektivt mot skadevare og eksterne innbrudd. Men ingen enhet kan beskytte mot at eieren selv leser opp gjenopprettingsfrasen til en fremmed. Seed-frasen er nøkkelen til alt, uavhengig av hvilken dings den er lagret i, og i det øyeblikket den forlater deg, er tolv ord nok til å gjenskape hele lommeboken på angriperens maskin. Nettopp derfor retter de dyreste kampanjene seg mot mennesket foran skjermen, ikke mot kryptografien bak den.

Deretter startet hvitvaskingsmaskineriet: store deler ble vekslet til personvernmynten Monero gjennom flere «instant»-vekslere, noe som ga et merkbart hopp i XMR-prisen, mens andre deler ble brukt til å bevege verdier på tvers av Bitcoin, Ethereum og XRP via THORChain. For norske lesere er lærdommen ubehagelig enkel: den dyreste kryptohendelsen i 2026 var ikke et hack av et protokoll, men en samtale. Når et angrep først har lykkes i denne størrelsesordenen, tar spesialiserte team over etterforskningen, og vi har tidligere beskrevet hvordan livssyklusen til en obduksjon etter et hack faktisk foregår.

Hva er egentlig en phishing-kampanje i 2026?

Ordet «phishing» gir mange et bilde av en klønete e-post med skrivefeil. I krypto er det for lengst noe annet: en koordinert operasjon med egen infrastruktur, arbeidsdeling og en trakt som ofrene føres gjennom. En moderne kampanje har fire ledd. Først kommer leveringen, kanalen som får deg til å klikke. Så kommer lokkemiddelet, en side eller en samtale som ser legitim ut. Deretter kommer selve uttrekket, det øyeblikket du enten signerer en ondsinnet transaksjon eller gir fra deg gjenopprettingsfrasen. Til slutt kommer hvitvaskingen, som gjør pengene vanskelige å spore.

Den dominerende varianten på selve kjeden kalles approval phishing, et begrep Chainalysis har brukt mye ressurser på å kartlegge. Poenget er at angriperen ikke stjeler nøkkelen din i det hele tatt. I stedet lurer kampanjen deg til å gi en smartkontrakt tillatelse til å flytte tokenene dine, en tillatelse du selv signerer. Etterpå kan tyven tømme adressen når som helst, uten å eie nøkkelen. Det er dette som gjør signaturen, og ikke passordet, til det farligste øyeblikket i hele kjeden.

Signaturen er selve exploiten

For å forstå hvorfor ett klikk kan koste alt, må man forstå hva du faktisk signerer. På Ethereum og lignende kjeder gir du sjelden bort mynter direkte. I stedet signerer du meldinger som gir en kontrakt fullmakt. Den eldste varianten er approve, som lar en app trekke et gitt beløp av et token. Problemet oppstår når beløpet settes til «ubegrenset», noe mange apper ba om for å slippe å spørre på nytt. Da har du i praksis skrevet under på en åpen sjekk.

Nyere signaturtyper er verre fordi de er usynlige og gratis. Permit (EIP-2612) og Permit2 lar deg godkjenne en overføring med en ren signatur, uten en on-chain transaksjon og uten gassgebyr, slik at det ikke dukker opp noe varsel om at du «bruker penger». setApprovalForAll gir en kontrakt rett til å flytte hele NFT-samlingen din på én gang. eth_sign ber deg signere en rå datastreng uten lesbar kontekst, en ekte blankofullmakt. Og med EIP-7702 kan du i én batch delegere hele kontoen din til en annen kontrakt. Fellesnevneren er «blind signing»: du godkjenner en kryptografisk nyttelast du ikke kan lese.

Tallene bekrefter hvor signaturpengene ligger. Blant drainer-tapene over én million dollar i 2025 sto Permit og Permit2 for mest, rundt 83 millioner kroner (8,72 millioner dollar), foran approve (5,62 millioner dollar), rene overføringer (4,87 millioner dollar), EIP-7702-batcher (2,54 millioner dollar) og setApprovalForAll (1,23 millioner dollar), ifølge Scam Sniffer. At NFT-tømming via setApprovalForAll havnet nederst, er en påminnelse om at angriperne følger pengene, ikke sjangeren.

Begrepet «ice phishing» for nettopp denne teknikken ble laget av Microsofts sikkerhetsteam 16. februar 2022, etter angrepet mot Badger DAO, der rundt 1,1 milliarder kroner (rundt 120 millioner dollar) forsvant fordi ondsinnet kode ble sprøytet inn i frontenden og fikk brukere til å godkjenne en fremmed adresse. Poenget fra den gangen står seg fortsatt: du kan ha en helt trygg maskinvarelommebok og likevel bli tømt, hvis du selv signerer godkjenningen.

Leveringsmaskinen: slik havner du på en falsk side

En kampanje er bare så god som leveringen. Den mest undervurderte kanalen i 2026 er betalte søkeannonser. I mai avdekket on-chain-analytikeren «b-block» en operasjon som etterlignet Uniswap og tømte lommebøker for minst 3,8 millioner kroner (400 000 dollar), ifølge crypto.news. Angriperne kjøpte sponsede Google-treff som la den falske siden over det ekte Uniswap-resultatet. Stacy Muur, grunnlegger av Web3-selskapet Green Dots, delte skjermbilder av de falske annonsene og var krass: «Det er vanvittig at Google har ignorert dette problemet i årevis, mens falske lenker fortsetter å bli løftet over de ekte, og brukere fortsetter å bli tømt.»

Dette er ikke et enkelttilfelle. Sikkerhetskollektivet SEAL anslo at annonsebasert phishing stjal rundt 12 millioner kroner (1,27 millioner dollar) bare mellom 13. og 30. mars, og har blokkert over 356 ondsinnede annonselenker det siste året. Teknikken bruker skjulte iframes og sekundære nyttelaster som er usynlige for Googles automatiske kontroller, samtidig som URL-en ser riktig ut for mennesket som leser den. Er du usikker på om en side er ekte, er regelen enkel: aldri klikk deg inn via en annonse, men skriv adressen selv eller bruk et lagret bokmerke.

Ved siden av annonsene finnes tre andre hovedkanaler. Falske airdrops og klonede lanseringssider lokker med «gratis» tokens som krever at du kobler til lommeboken og signerer. Etterligning av kundestøtte skjer i Discord, Telegram og på X, ofte ved at en «hjelper» tar kontakt sekunder etter at du har postet et problem; det var akkurat denne kanalen som kostet offeret 2,7 milliarder kroner i januar. Address poisoning planter en adresse som ligner din egen i transaksjonshistorikken, slik at du kopierer feil mottaker neste gang. Til slutt finnes forsyningskjedeangrep, som da Ledger Connect Kit ble kompromittert i desember 2023 og ondsinnet kode dukket opp i frontenden til flere kjente apper.

Drainer-as-a-service: phishing som forretningsmodell

Grunnen til at masseangrepene i det hele tatt fantes i så stort omfang, er at phishing ble en tjeneste man kan leie. I drainer-as-a-service-modellen (DaaS) lager en teknisk gruppe selve tømmeverktøyet og leier det ut til «affiliates» som står for leveringen, mot en provisjon på typisk 20 til 30 prosent av byttet. Den mest kjente aktøren, Inferno Drainer, annonserte at den la ned driften sent i 2023, men Check Point dokumenterte at operasjonen fortsatte i det skjulte og tømte over 30 000 lommebøker for minst 86 millioner kroner (9 millioner dollar) på et halvår.

Det tekniske i «reloaded»-versjonen forklarer hvorfor svartelister sliter. Kontraktene er kortlevde og selvdestruerende etter én transaksjon, konfigurasjonen ligger kryptert on-chain (lagret på BNB Smart Chain), og koden er pakket inn i flere lag med AES-kryptering for å skjule logikken for forskere. På tjenestesiden priser leverandørene modulene som vanlig programvare. Chainalysis fant kits til 50 dollar for full utvikling, 30 dollar for proxy og 20 dollar for oppdateringer, og en leverandør ved navn Lighthouse hentet inn over 14 millioner kroner (1,5 millioner dollar) på tre år. Samme rapport anslår at phishing-kit-svindel er 688 ganger mer effektiv målt i dollar enn vanlig svindel. Det er denne industrialiseringen, ikke enkeltgenier, som gjorde massefisket mulig, og det er den samme industrien som nå flytter ressursene mot færre og større mål.

Da maskinen lærte å fiske: AI som angrepsmotor

Den enkeltfaktoren som best forklarer hvorfor de gjenværende kampanjene er så lønnsomme, er kunstig intelligens. Chainalysis fant at svindeloperasjoner med AI-verktøy var 4,5 ganger mer lønnsomme enn de uten: i snitt rundt 30 millioner kroner (3,2 millioner dollar) per operasjon mot 6,9 millioner kroner (719 000 dollar), med en median dagsinntekt på 4 838 dollar mot 518 og rundt 35 overføringer om dagen mot knapt fire. AI gjør ikke bare angrepene bedre, det gjør dem billigere å skalere. Lokketekster på perfekt norsk, klonede nettsteder og falske chattesamtaler som før krevde et team, kan nå produseres på minutter.

Det mest urovekkende er stemme og video. Deepfake-video av kjente grunnleggere brukes til falske «giveaways», der en tilsynelatende direkte sending ber deg sende krypto for å få mer tilbake. I romansesvindel tar språkmodeller seg av de første, tidkrevende samtalene før en menneskelig svindler overtar. Kombinasjonen gjør at et angrep kan begynne å høres personlig og troverdig ut lenge før du aner at du snakker med en maskin. For en norsk bruker betyr det at «dårlig språk» ikke lenger er et pålitelig varseltegn; en melding kan være både grammatisk perfekt og fullstendig falsk.

For små språk som norsk er dette et vippepunkt. Tidligere var klønete oversettelser og engelske fraser et enkelt varseltegn som beskyttet norske brukere mot mange internasjonale kampanjer. Med språkmodeller forsvinner den barrieren: en svindel-SMS, en falsk kundestøttechat eller en klonet børs kan nå leveres på feilfritt bokmål, tilpasset lokale banker og betalingsløsninger. Chainalysis fant at AI-drevne operasjoner ikke bare tjener mer per angrep, men også håndterer rundt ni ganger så mye transaksjonsaktivitet per dag som operasjoner uten AI. Kort sagt: den samme automatiseringen som gjør en kampanje billigere, gjør den også mer troverdig og mer skalerbar samtidig.

Hvaljakten: hvorfor de store fiskene er målet nå

Når verktøyene er billige og forsvaret er blitt bedre, endres regnestykket. Det lønner seg ikke lenger å kaste ut ti tusen garn for å fange småfisk som uansett har lite i lommeboken. Det lønner seg å bruke uker på å kartlegge én person som har mye. Scam Sniffer illustrerte skiftet allerede i januar 2026: signaturphishing tok 6,27 millioner dollar fra 4 741 ofre, en oppgang på 207 prosent fra desember, samtidig som antall ofre gikk ned. To ofre alene sto for 65 prosent av hele månedens tap.

Dette er «whale hunting» i praksis. Fordi rikdom på blokkjeden er offentlig, kan angripere lese seg til hvem som eier store beholdninger, hvilke protokoller de bruker, og når de er aktive. Deretter skreddersys kampanjen: en «kundestøtte» som kjenner detaljene dine, en «airdrop» rettet mot nettopp tokenene du eier, eller en falsk melding som refererer til en reell transaksjon du nettopp gjorde. Rekordranet i januar var ikke flaks; det var resultatet av at én person ble utpekt, studert og manipulert. Færre garn, større fisk er ikke bare en overskrift, det er den økonomiske logikken bak hele skiftet.

EIP-7702 og den nye angrepsflaten

Den ferskeste utvidelsen av angrepsflaten kom med Pectra-oppgraderingen på Ethereum i mai 2025 og signaturtypen EIP-7702. Den lar en vanlig konto (en EOA) midlertidig oppføre seg som en smartkontrakt ved å delegere til kode. Nyttig for legitime formål, men også en drøm for tyver: får de deg til å delegere til feil kontrakt, kan de tømme alt som kommer inn. Analysefirmaet Wintermute fant at over 97 prosent av alle EIP-7702-delegeringer pekte på nøyaktig samme gjenbrukte kode, en «sweeper» de døpte CrimeEnjoyor.

Konsekvensene ble raskt konkrete: ett offer mistet nesten 150 000 dollar (rundt 1,4 millioner kroner) i et enkelt EIP-7702-angrep, ifølge The Block. Samtidig er det viktig å plassere skylden riktig. Taylor Monahan, sikkerhetsekspert i MetaMask, sa det slik: «Det er egentlig ikke et 7702-problem, det er det samme problemet krypto har hatt siden dag én: sluttbrukere sliter med å sikre de private nøklene sine.» Angriperen trenger fortsatt å lure deg til å signere. Hvordan denne standarden faktisk tas i bruk av lommebøker og børser, har vi kartlagt i vår gjennomgang av EIP-7702 etter Pectra.

Det norske trusselbildet: Finanstilsynet, BankID og Skatteetaten

For norske brukere er det verdt å merke seg at mye av det som rammer oss, ikke er den tekniske signaturphishingen, men den brede investeringssvindelen. Finanstilsynet skriver at ren svindel, hvor løfter om avkastning i kryptovaluta brukes som et lokkemiddel, har økt betydelig. Mønsteret er gjenkjennelig: du ser en annonse der en tilsynelatende kjent person anbefaler krypto, du blir tilbudt å starte med et lite beløp (typisk rundt 300 euro), og etter den første overføringen ringer noen med et «veldig godt tilbud».

Derfra følger et fast manus. Du blir bedt om å laste ned fjernstyringsverktøy som AnyDesk, du ser en falsk nettside der «investeringen» din vokser voldsomt, og når du prøver å ta ut gevinsten, blir det plutselig umulig. Finanstilsynets kjerneråd er enkle og gjelder like mye for kryptobrukere som for alle andre: stol aldri på uanmodede telefonhenvendelser om kryptoinvestering, del aldri BankID, og gi aldri noen fjernstyring av maskinen din. Tilsynet fører også et offentlig register over markedsadvarsler og investeringsbedrageri som du kan sjekke før du overfører en krone.

Regulatorisk gjelder MiCA i Norge gjennom EØS-avtalen, og Finanstilsynet fører tilsyn med kryptotjenestetilbydere (CASP-er), ikke med selve protokollene eller med den enkelte svindleren. Blir du rammet, er det politiet du skal melde til, og banken din bør varsles umiddelbart. Husk også skattesiden: et tap til svindel fritar deg ikke automatisk fra å dokumentere hva som skjedde, og Skatteetaten forventer at kryptobeholdninger og hendelser føres i skattemeldingen. God dokumentasjon fra dag én gjør både anmeldelse og eventuell sporing enklere.

Politiaksjoner og globalt mottrekk

Det finnes lyspunkter på forsvarssiden. I slutten av mars 2026 gjennomførte amerikanske Secret Service, britiske National Crime Agency og kanadiske myndigheter en samordnet aksjon kalt Operation Atlantic, rettet spesifikt mot approval phishing. Ifølge Secret Service frøs aksjonen rundt 114 millioner kroner (12 millioner dollar), flagget over 20 000 kompromitterte adresser og stengte 120 svindelnettsteder, mens den samlede svindelen som ble identifisert oversteg 430 millioner kroner (45 millioner dollar). Chainalysis bidro med sanntids on-chain-etterretning, og selskapet anslår at approval phishing alene sto for over 9,5 milliarder kroner (1 milliard dollar) i tap i 2024 og 2025 til sammen.

Will Lyne, som leder økonomisk kriminalitet og cyberkriminalitet i Londons politi, oppsummerte utviklingen slik i Chainalysis-rapporten: «Svindel knyttet til kryptovaluta fortsetter å vokse i omfang og raffinement, men vi ser samtidig et taktskifte i politiets evne til å svare.» Samtidig utnytter kriminelle selv tilliten til politiet. FBI advarte 19. mars 2026 mot falske «FBI Token»-utsendelser på Tron-nettverket, der falske beslagsvarsler skremte ofre til å oppgi opplysninger; over 728 lommebøker hadde allerede mottatt tokenet da advarselen kom. Når et angrep først er gjennomført, er det ofte spesialiserte obduksjons- og angrepsteam som Halborn som rekonstruerer hendelsen og hjelper med sporing.

Forsvarsstakken: slik stopper du en signatur

Fordi signaturen er selve exploiten, må forsvaret handle om å gjøre signaturen lesbar før du godkjenner den. Den viktigste utviklingen her er «clear signing». I mai 2026 overførte Ledger, med teknologidirektør Charles Guillemet som fremste pådriver, forvaltningen av standarden til Ethereum Foundation, ifølge Ledger selv. Kjernen er ERC-7730, et format som lar en kontrakt beskrive hva en transaksjon faktisk gjør på klart språk, sammen med et nøytralt register som ingen enkelt aktør kontrollerer. Målet er å erstatte de ulesbare hex-strengene som ble klandret for milliardtap, blant annet Bybit-hacket.

Utover clear signing bør en norsk bruker bygge forsvaret i lag. Transaksjonssimulering, som verktøy fra Blockaid og Scam Sniffer levert inne i MetaMask, Phantom og Coinbase Wallet, viser hva en signatur vil gjøre før du bekrefter. En maskinvarelommebok flytter bekreftelsen til en skjerm angriperen ikke kontrollerer, men bare hvis du faktisk leser skjermen. Gå gjennom gamle tillatelser jevnlig med revoke.cash, bruk en «burner»-lommebok med lite verdi til ukjente apper, og skill helst handelsmaskinen fra hverdagsmaskinen. De samme prinsippene gjelder enten du sikrer en enkel lommebok eller kartlegger trusselbildet rundt en verdifull beholdning, slik vi har vist i gjennomgangen av hvordan en falmet blue-chip tømmes og sikres.

I praksis kan en enkel rutine stoppe de fleste angrepene. Før du signerer noe, still tre spørsmål: Kom forespørselen fra en kanal jeg selv oppsøkte, eller fra noen som kontaktet meg? Forstår jeg nøyaktig hva signaturen gjør, i klartekst? Og hva er verste utfall hvis dette viser seg å være ondsinnet? Kombiner det med en fast månedlig gjennomgang av aktive tillatelser i revoke.cash, en separat lommebok for handel og en for oppbevaring, og en regel om at ingen legitim aktør noensinne ber om gjenopprettingsfrasen. Rutinen er verdt mer enn noe enkeltverktøy, fordi den tvinger inn en pause i akkurat det sekundet angriperen håper du handler på impuls.

Etter tyveriet: kan du få pengene tilbake?

Den ærlige forventningen er at pengene som regel er borte. Det er nettopp derfor de kriminelle bruker Monero og kjedebroer som THORChain, slik vi så i januarranet: verdiene splittes og flyttes raskere enn de kan fryses. Likevel finnes unntak. I mai 2024 mistet et offer 1 155 WBTC, verdt rundt 650 millioner kroner (68 millioner dollar), til address poisoning, men fikk etter forhandlinger tilbake over 96 prosent av verdien da angriperen returnerte midlene, ifølge Cointelegraph. Slike tilbakeføringer skjer oftest når tyven innser at hele beløpet er sporet og synlig.

Det er også her et helt økosystem av sporing og forhandling har vokst frem. Etterforskere som ZachXBT, analyseselskaper og white-hat-team følger midlene on-chain, og noen prosjekter tilbyr en dusør for at tyven leverer tilbake det meste og beholder resten lovlig. Vi har sett nærmere på dusørene som faktisk henter hjem stjålet krypto. For en vanlig bruker er likevel budskapet nøkternt: sannsynligheten for full tilbakeføring er lav, og forebygging er alltid billigere enn gjenoppretting.

Slik kjenner du igjen en kampanje i praksis

De fleste kampanjer røper seg gjennom noen få faste signaler. Lær dem, så stopper du de aller fleste angrepene før du rekker å signere noe:

• Uanmodet kundestøtte som tar kontakt i DM er praktisk talt alltid svindel. Ekte støtte ringer deg ikke først.
• Skriv adresser inn manuelt eller bruk bokmerker; ikke stol på det øverste Google-treffet, som kan være en betalt falsk annonse.
• Del aldri gjenopprettingsfrasen (seed) eller BankID, uansett hvor troverdig historien er.
• Les hva du signerer. En gassløs «Permit» eller en delegering du ikke forstår, skal avvises.
• Verifiser hele mottakeradressen, ikke bare de første og siste tegnene, for å unngå address poisoning.
• Trekk tilbake gamle tillatelser jevnlig, og bruk en burner-lommebok til ukjente apper.
• Godt språk og en «direktesending» med en kjent grunnlegger er ikke bevis på ekthet; deepfake og AI har fjernet de gamle varseltegnene.

Skiftet i 2026 betyr ikke at faren er mindre, bare at den er mer konsentrert. Færre blir rammet, men de som rammes, mister mer. Den beste beskyttelsen er fortsatt den kjedeligste: senk tempoet, verifiser alt, og behandle enhver forespørsel om en signatur som en potensiell exploit til det motsatte er bevist.

Ofte stilte spørsmål

Hva er forskjellen på en wallet drainer og vanlig phishing?

Vanlig phishing prøver å lure fra deg påloggingsdetaljer eller kortnummer. En wallet drainer er spesialisert kryptoprogramvare som tømmer lommeboken i det du signerer en ondsinnet transaksjon eller godkjenning. Ofte leies drainere ut som en tjeneste (drainer-as-a-service), der utviklerne tar en provisjon av byttet.

Kan noen tømme kryptolommeboken min bare fordi jeg signerte noe?

Ja. Ved approval phishing gir signaturen din en kontrakt fullmakt til å flytte tokenene dine, uten at tyven trenger den private nøkkelen. Signaturtyper som Permit, Permit2, setApprovalForAll og EIP-7702 er spesielt farlige fordi de kan være gassløse og vanskelige å lese.

Falt phishing-tapene i krypto virkelig i 2025?

Tapene fra rene wallet drainers falt rundt 83 prosent til under 800 millioner kroner, ifølge Scam Sniffer. Men den brede kryptosvindelen (investeringsbedrageri, etterligning og romansesvindel) satte rekord med rundt 160 milliarder kroner ifølge Chainalysis. Færre ofre, men langt større enkelttap.

Hva bør jeg gjøre hvis jeg har signert en ondsinnet transaksjon?

Handle raskt. Flytt gjenværende verdier til en ny, ren lommebok, og trekk tilbake aktive tillatelser via et verktøy som revoke.cash. Del aldri gjenopprettingsfrasen. Dokumenter alt, meld forholdet til politiet, og varsle banken din hvis vanlig valuta er involvert.

Skal jeg melde kryptophishing til Finanstilsynet eller til politiet?

Selve svindelen melder du til politiet, og du bør varsle banken din umiddelbart. Finanstilsynet fører tilsyn med kryptotjenestetilbydere og har et offentlig register over markedsadvarsler du kan sjekke på forhånd, men det er ikke en etterforsknings- eller anmeldelseskanal for enkeltsaker.

Skrevet av Anneke de Vries, sikkerhetsredaktør i HOGE Wire.