{"id":319,"date":"2026-08-29T21:10:29","date_gmt":"2026-08-29T21:10:29","guid":{"rendered":"https:\/\/hoge.gg\/no\/nft-sikkerhet-opensea-blur-magic-eden-2026\/"},"modified":"2026-08-29T21:10:29","modified_gmt":"2026-08-29T21:10:29","slug":"nft-sikkerhet-opensea-blur-magic-eden-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/nft-sikkerhet-opensea-blur-magic-eden-2026\/","title":{"rendered":"NFT-sikkerhet i 2026: det OpenSea, Blur og Magic Eden ikke fikser"},"content":{"rendered":"

NFT-markedet i 2026 er en langt roligere plass enn i 2021. Handelsvolumet har falt kraftig, og p\u00e5 de fleste samlinger er inntektene til skaperne nesten borte; vi har fulgt pengestr\u00f8mmen i en egen sak om hvem som faktisk tjener penger p\u00e5 NFT-er<\/a>. \u00c9n ting har derimot ikke krympet: sjansen for at du signerer bort eiendelene dine ved et uhell. OpenSea, Blur og Magic Eden kjemper ikke lenger om de samme brukerne, men de deler et ubehagelig fellestrekk. Selve koden p\u00e5 markedsplassene er blant den mest reviderte i hele bransjen. Det svakeste leddet er nesten alltid brukeren, og det er akkurat den delen ingen av plattformene kan fikse for deg.<\/p>

Denne guiden g\u00e5r gjennom hvordan sikkerheten faktisk fungerer p\u00e5 de tre st\u00f8rste NFT-markedsplassene akkurat n\u00e5: hvor pengene forsvinner, hvorfor \u00abhacket\u00bb sjelden er et hack, hva som skiller Ethereum-godkjenninger fra Solanas modell, og hva du konkret kan gj\u00f8re for \u00e5 handle tryggere. Vi regner om tall til norske kroner (rundt 9,40 kroner per dollar i slutten av august 2026) og ser p\u00e5 hvordan Finanstilsynet, MiCA og Skatteetaten passer inn i bildet.<\/p>

\u00abHacket\u00bb som ikke var et hack<\/h2>

I februar 2022 forsvant NFT-er verdt rundt 1,7 millioner dollar (n\u00e6r 16 millioner kroner) fra OpenSea-brukere i l\u00f8pet av noen f\u00e5 timer. Overskriftene ropte f\u00f8rst om et hack p\u00e5 200 millioner dollar. Virkeligheten var mindre dramatisk og langt mer l\u00e6rerik. Sikkerhetsselskapet Halborn dokumenterte i ettertid<\/a> at 17 brukere til sammen mistet 254 NFT-er, blant dem Bored Ape Yacht Club, Azuki, Doodles og CloneX, etter \u00e5 ha klikket p\u00e5 en phishing-e-post som utga seg for \u00e5 handle om en p\u00e5g\u00e5ende kontraktsmigrering.<\/p>

OpenSeas medgr\u00fcnder og daglige leder Devin Finzer var tydelig p\u00e5 hva som hadde skjedd: \u00abDette er et phishing-angrep. Vi tror ikke det er koblet til OpenSeas nettsted\u00bb, uttalte han<\/a>. Angrepet utnyttet ingen feil i markedsplassens smartkontrakter. Det utnyttet at brukerne selv signerte en ondsinnet ordre med sin egen lommebok, utenfor opensea.io.<\/p>

Dette er malen for nesten alt som f\u00f8lger i denne artikkelen. N\u00e5r du leser at noen ble \u00abhacket p\u00e5 OpenSea\u00bb eller \u00abt\u00f8mt p\u00e5 Blur\u00bb, er sannheten som regel at offeret ga fra seg en signatur eller en godkjenning p\u00e5 en falsk side. Markedsplassen var bare kulissen. \u00c5 forst\u00e5 det skillet er f\u00f8rste steg mot \u00e5 handle trygt.<\/p>

Tre markedsplasser, tre sikkerhetsmodeller<\/h2>

De tre plattformene lever i dag i tre noks\u00e5 forskjellige verdener. OpenSea bygde seg om til \u00abOS2\u00bb i 2025, kuttet avgiften fra 2,5 til 0,5 prosent, la til token-handel og strekker seg n\u00e5 over Ethereum og mer enn tjue EVM-kompatible kjeder. Blur er fortsatt en spesialisert plattform for proffe tradere p\u00e5 Ethereum og Layer 2-nettet Blast, med null i handelsavgift og et budsystem der likviditet lokkes frem med tokenbel\u00f8nninger. Magic Eden trakk seg i mars 2026 ut av b\u00e5de Bitcoin, Ethereum og sin egen multikjede-lommebok og satser n\u00e5 bare p\u00e5 Solana for NFT-er, samtidig som selskapet har \u00e5pnet kryptokasinoet Dicey.<\/p>

For sikkerheten betyr disse valgene mer enn de kan se ut til. Kjeden avgj\u00f8r hvilken godkjenningsmodell som gjelder, protokollen avgj\u00f8r hvordan en ordre signeres, og forretningsmodellen avgj\u00f8r hvor angriperne retter oppmerksomheten. Tabellen under oppsummerer de viktigste forskjellene.<\/p>

Egenskap<\/th>OpenSea<\/th>Blur<\/th>Magic Eden<\/th><\/tr><\/thead>
Hovedkjede<\/td>Ethereum + 20+ EVM-kjeder<\/td>Ethereum + Blast<\/td>Solana<\/td><\/tr>
Ordreprotokoll<\/td>Seaport (signerte ordrer)<\/td>Egne signerte ordrer<\/td>Solana-programmer<\/td><\/tr>
Godkjenningsmodell<\/td>setApprovalForAll<\/td>setApprovalForAll<\/td>Delegering \/ escrow<\/td><\/tr>
St\u00f8rste angrepsflate<\/td>Signatur-phishing<\/td>Falske airdrop-sider<\/td>Kompromitterte lommeb\u00f8ker<\/td><\/tr>
Kjent revisjon<\/td>OpenZeppelin, Trail of Bits, Code4rena<\/td>Mindre offentlig dokumentert<\/td>Solana-programrevisjoner<\/td><\/tr>
Bug bounty<\/td>HackerOne (dokumenterte utbetalinger)<\/td>Mindre transparent<\/td>Mindre transparent<\/td><\/tr><\/tbody><\/table><\/figure>

setApprovalForAll: den ene godkjenningen alt henger p\u00e5<\/h2>

For at en markedsplass skal kunne selge NFT-en din i det \u00f8yeblikket noen kj\u00f8per den, m\u00e5 den ha rett til \u00e5 flytte den p\u00e5 dine vegne. P\u00e5 Ethereum og EVM-kjeder gis den retten gjennom funksjonen setApprovalForAll. Med \u00e9n signatur gir du en kontrakt fullmakt til \u00e5 flytte alle NFT-ene dine i en gitt samling, ikke bare den ene du vil selge. Det er praktisk, og det er hele problemet.<\/p>

Microsoft d\u00f8pte angrepsformen \u00abice phishing\u00bb allerede i 2022<\/a>, etter at et lignende grep t\u00f8mte Badger DAO for rundt 120 millioner dollar (i overkant av 1,1 milliard kroner). Poenget er at angriperen ikke trenger den private n\u00f8kkelen din. Angriperen trenger bare at du godkjenner feil kontrakt \u00e9n gang. Etterp\u00e5 kan eiendelene hentes ut n\u00e5r som helst, ofte lenge etter at du har glemt at du signerte noe.<\/p>

Den gode nyheten er at godkjenninger kan trekkes tilbake. Verkt\u00f8y som revoke.cash lar deg se og fjerne st\u00e5ende fullmakter. Den d\u00e5rlige nyheten er at nesten ingen gj\u00f8r det, og at mange lommeb\u00f8ker fortsatt viser slike foresp\u00f8rsler som en uforst\u00e5elig teknisk tekst.<\/p>

Signaturen er selve angrepet<\/h2>

Moderne NFT-handel er bygget p\u00e5 signerte ordrer utenfor kjeden. Seaport, protokollen OpenSea lanserte i 2022, lar deg legge ut en NFT for salg ved \u00e5 signere en ordre \u00abgasfritt\u00bb, alts\u00e5 uten \u00e5 betale en transaksjonsavgift der og da. Blur bruker samme prinsipp. Det gir en smidig opplevelse, men det gj\u00f8r ogs\u00e5 signaturen til det farligste du gj\u00f8r.<\/p>

En ondsinnet signatur kan v\u00e6re en ferdig utfylt ordre som selger den verdifulle NFT-en din for null kroner til angriperens adresse. Den kan v\u00e6re en Permit- eller Permit2-melding som gir bort token-godkjenning uten en synlig transaksjon. Eller den kan v\u00e6re en r\u00e5 eth_sign-foresp\u00f8rsel, s\u00e5kalt blind signering, der du godkjenner en datapakke du umulig kan tyde. Tabellen under viser de vanligste variantene.<\/p>

Godkjenning \/ signatur<\/th>Hva den gj\u00f8r<\/th>Risikoen<\/th><\/tr><\/thead>
setApprovalForAll<\/td>Gir en kontrakt rett til \u00e5 flytte alle NFT-ene i en samling<\/td>En ondsinnet mottaker kan t\u00f8mme hele samlingen<\/td><\/tr>
Permit \/ Permit2<\/td>Signerer bort token-godkjenning uten en on-chain transaksjon<\/td>Gasfri signatur som gir angriperen uttaksrett<\/td><\/tr>
eth_sign (blind signering)<\/td>Signerer en r\u00e5 datapakke du ikke kan lese<\/td>Kan skjule en hvilken som helst ordre eller overf\u00f8ring<\/td><\/tr>
EIP-7702-delegering<\/td>Lar en vanlig konto \u00abl\u00e5ne\u00bb kode fra en annen kontrakt<\/td>En ondsinnet delegat kan feie kontoen tom<\/td><\/tr><\/tbody><\/table><\/figure>

Fellesnevneren er at alt skjer i lommeboken din, ikke p\u00e5 markedsplassen. Derfor hjelper det lite hvor godt OpenSea eller Blur har revidert koden sin hvis du klikker \u00abSign\u00bb p\u00e5 feil sted.<\/p>

Blur og airdrop-fellen<\/h2>

Blur har hatt en egen b\u00f8lge av svindel, og den f\u00f8lger et fast m\u00f8nster. Da plattformen begynte \u00e5 dele ut BLUR-tokenet, dukket det opp en flora av falske airdrop-sider som lovet gratis tokens mot at du \u00abkoblet til\u00bb lommeboken. Cointelegraph rapporterte<\/a> at slike falske Blur-sider til sammen stjal mer enn 300 000 dollar (rundt 2,8 millioner kroner) fra intetanende brukere.<\/p>

I ett dokumentert tilfelle mistet et offer NFT-er verdt n\u00e6r 240 000 dollar (rundt 2,2 millioner kroner), blant dem seks Bored Ape Yacht Club-er, etter \u00e5 ha signert en fullmakt p\u00e5 en falsk airdrop-side som var markedsf\u00f8rt i sosiale medier. Angrepet utnyttet n\u00f8yaktig den setApprovalForAll-mekanismen vi beskrev over. Domener som etterligner blur.io dukker stadig opp, og fordi Blurs kjernebrukere er proffe tradere med dyre samlinger, er avkastningen for svindlerne h\u00f8y.<\/p>

L\u00e6rdommen er banal, men verdt \u00e5 gjenta: en airdrop krever aldri at du signerer en godkjenning som gir noen rett til \u00e5 flytte eiendelene dine. Hvis en \u00abgratis\u00bb kampanje ber om en setApprovalForAll, er det ikke en kampanje.<\/p>

Magic Eden, Solana og en annen slags risiko<\/h2>

Magic Eden lever n\u00e5 nesten utelukkende p\u00e5 Solana, og Solana fungerer annerledes enn Ethereum. Der Ethereum bruker setApprovalForAll, gir Solana-brukere programmer fullmakt gjennom delegering og escrow. Sluttresultatet er likevel det samme: du autoriserer et program til \u00e5 h\u00e5ndtere eiendelene dine, og en ondsinnet transaksjon kan t\u00f8mme deg.<\/p>

Det tydeligste eksempelet kom i august 2022, da rundt 8000 Solana-lommeb\u00f8ker ble tappet for minst 5 millioner dollar (rundt 47 millioner kroner) i SOL og tokens. Magic Eden bekreftet hendelsen og advarte om at det s\u00e5 ut til \u00e5 v\u00e6re \u00aben omfattende SOL-utnyttelse som t\u00f8mmer lommeb\u00f8ker over hele \u00f8kosystemet\u00bb, if\u00f8lge Newsweek<\/a>. \u00c5rsaken viste seg \u00e5 ligge i lommeboken Slope, som lagret brukernes hemmelige gjenopprettingsfraser i klartekst, ikke i Magic Eden. Likevel var det markedsplassen mange f\u00f8rst pekte p\u00e5.<\/p>

Det illustrerer et poeng som gjelder alle tre plattformene: n\u00e5r noe g\u00e5r galt, er det ofte lommeboken, en tredjepartsside eller brukeren selv som er det svake leddet, ikke markedsplassens kjerne. Magic Edens satsing p\u00e5 kasinoet Dicey flytter dessuten en del av selskapets risiko over i en helt annen regulatorisk verden, noe vi kommer tilbake til.<\/p>

EIP-7702 og en ny angrepsflate<\/h2>

Med Ethereums Pectra-oppgradering i 2025 kom EIP-7702, som lar en vanlig konto midlertidig \u00abl\u00e5ne\u00bb kode fra en smartkontrakt. Det \u00e5pner for smartere lommeb\u00f8ker og \u00absession keys\u00bb som kan signere p\u00e5 dine vegne i et spill eller en app. Det \u00e5pner ogs\u00e5 en ny d\u00f8r for angripere.<\/p>

Sikkerhetsforskere ved Wintermute fant raskt at over 80 prosent av alle slike delegeringer pekte til \u00e9n og samme ondsinnede kode, som de d\u00f8pte \u00abCrimeEnjoyor\u00bb, laget for \u00e5 feie kontoer tomme automatisk s\u00e5 snart n\u00f8kkelen er kompromittert, if\u00f8lge flere rapporter<\/a>. Taylor Monahan, sikkerhetsforsker i MetaMask, har understreket at problemet ikke er en feil i EIP-7702 selv, men gamle, lekkede private n\u00f8kler som n\u00e5 kan utnyttes mer effektivt. Vi har sett n\u00e6rmere p\u00e5 skyggesiden ved EIP-7702<\/a> i en egen sak.<\/p>

For NFT-handleren betyr det at \u00absigner for \u00e5 logge inn\u00bb og \u00abgodkjenn denne \u00f8kten\u00bb ikke lenger er ufarlige handlinger. En delegering du gir bort i farten, kan gi angriperen n\u00f8kkelen til hele kontoen.<\/p>

Koden er revidert, men det er ikke nok<\/h2>

Det skal sies at markedsplassene tar sin egen kode p\u00e5 alvor. Da OpenSea lanserte Seaport, ble protokollen gjennomg\u00e5tt av OpenZeppelin og revidert av Trail of Bits, som ikke fant alvorlige feil<\/a> som kunne f\u00f8re til tap av midler. Selskapet arrangerte i tillegg en offentlig revisjonskonkurranse med Code4rena og en premiepott p\u00e5 1 million dollar (rundt 9,4 millioner kroner), den st\u00f8rste i plattformens historie<\/a>.<\/p>

OpenSea driver ogs\u00e5 et l\u00f8pende bug bounty-program p\u00e5 HackerOne og har blant annet betalt 200 000 dollar (rundt 1,9 millioner kroner) til to white-hat-hackere, if\u00f8lge The Block<\/a>. Hvem som avgj\u00f8r slike utbetalinger, og hvor mye et funn faktisk er verdt, har vi sett p\u00e5 i saken om bug bounty-maskineriet<\/a>. Offensiv testing, der sikkerhetsfolk angriper systemet f\u00f8r kriminelle gj\u00f8r det, er en egen disiplin; vi har forklart red teaming<\/a> i praksis.<\/p>

Men her er den ubehagelige sannheten: all denne innsatsen sikrer kontrakten, ikke deg. En revidert Seaport-kontrakt gj\u00f8r ingenting for \u00e5 stoppe en signatur du gir bort p\u00e5 en falsk side. Revisjon flytter risikoen fra koden til mennesket, og mennesket er billigere \u00e5 angripe.<\/p>

Wallet-drainere: industrien bak tyveriene<\/h2>

Bak de enkelte tyveriene ligger en hel bransje. \u00abWallet drainers\u00bb selges som ferdige tjenester, der en kj\u00f8per f\u00e5r et phishing-sett og deler byttet med utviklerne. Tallene svinger med markedet. Sikkerhetsselskapet Scam Sniffer anslo<\/a> at slike drainer-angrep stjal 83,85 millioner dollar (rundt 785 millioner kroner) fra vel 106 000 ofre i 2025, et fall p\u00e5 83 prosent fra \u00e5ret f\u00f8r, da et hetere marked ga rikere bytte.<\/p>

Nedgangen er reell, men den betyr ikke at faren er over. Angrepene har blitt f\u00e6rre og mer m\u00e5lrettede, og de dyreste enkelttyveriene skjer n\u00e5 gjennom signaturer som Permit og de nye EIP-7702-delegeringene. For en NFT-samler er poenget at trusselen ikke lenger handler om \u00e5 bli \u00abhacket\u00bb, men om \u00e5 bli lurt til \u00e5 signere.<\/p>

Slik oppbevarer du verdifulle NFT-er<\/h2>

Hvis du sitter p\u00e5 NFT-er eller tokens av reell verdi, er det f\u00f8rste r\u00e5det \u00e5 skille handel fra oppbevaring. Bruk en \u00abvarm\u00bb lommebok til daglig handel p\u00e5 markedsplassene, med bare det du er villig til \u00e5 tape, og hold resten i en \u00abkald\u00bb lommebok som aldri signerer p\u00e5 tilfeldige sider. En maskinvarelommebok gir et ekstra lag, fordi hver signatur m\u00e5 bekreftes fysisk p\u00e5 en enhet angriperen ikke kontrollerer.<\/p>

For virkelig store verdier deler proffene n\u00f8kkelen mellom flere parter, enten gjennom multisignatur eller MPC, slik at ingen enkelt kompromittert enhet er nok til \u00e5 flytte midlene; vi har sammenlignet MPC og multisig<\/a> i en egen gjennomgang. Det viktigste enkeltgrepet er likevel \u00e5 slutte \u00e5 signere blindt. Ledgers teknologidirekt\u00f8r Charles Guillemet har lenge advart mot nettopp dette: en signaturforesp\u00f8rsel er \u00abikke forst\u00e5elig som standard, den er en digital nyttelast\u00bb, sa han<\/a>, og oppsummerte r\u00e5det som \u00abikke stol, verifiser\u00bb.<\/p>

Bransjen jobber med \u00e5 gj\u00f8re nettopp det enklere. Standarden for \u00abclear signing\u00bb, ERC-7730, som Ethereum Foundation n\u00e5 forvalter<\/a>, skal la lommeboken vise hva en signatur faktisk gj\u00f8r, i klartekst, i stedet for en rad med heksadesimaler. Frem til det er allemannseie, er du din egen siste forsvarslinje.<\/p>

Sjekklisten for tryggere NFT-handel<\/h2>

Mye av risikoen forsvinner med noen f\u00e5 vaner. Denne listen dekker det meste av det som faktisk t\u00f8mmer folks lommeb\u00f8ker.<\/p>