I 2026 sluttet debatten om maskinvarelommeb\u00f8ker \u00e5 handle om hvilken skjerm som er penest. Da Ledgers eget sikkerhetslaboratorium, Donjon, i sommer publiserte to angrep, ett mot Tangem-kortet og ett mot brikken i Trezors ferskeste modell, ble sp\u00f8rsm\u00e5let et annet: hva skjer n\u00e5r noen med et laboratorium til en kvart million dollar retter en laserpuls mot den lille brikken der de private n\u00f8klene dine ligger?<\/p>
Ledger, Trezor og Tangem selger ikke tre versjoner av det samme produktet. De selger tre uforenlige veddem\u00e5l om hva sikkerhet er. Ledger satser p\u00e5 en forseglet, sertifisert og lukket boks. Trezor satser p\u00e5 at \u00e5pen kildekode alle kan granske, sl\u00e5r hemmelighold. Tangem satser p\u00e5 et kort helt uten fr\u00f8-frase og uten mulighet for fastvareoppdatering, der enkelheten i seg selv er sikkerheten. Laserhistorien satte alle tre modellene p\u00e5 pr\u00f8ve samtidig.<\/p>
Denne gjennomgangen er skrevet for norske lesere som vurderer selvforvaring (self-custody). Prisene er oppgitt i kroner, og vi tar med hva Finanstilsynet og Skatteetaten faktisk har \u00e5 si, som er mindre enn du kanskje tror, av grunner vi kommer tilbake til. Vi bruker de tre selskapenes egne toppsjefer der de har uttalt seg offentlig, og vi holder oss strengt til hendelser som virkelig er rapportert.<\/p>
Ledger ble grunnlagt i Paris i 2014 og har etter eget utsagn solgt rundt \u00e5tte millioner enheter, if\u00f8lge bransjetall samlet av CoinLaw<\/a>. Operativsystemet BOLOS er lukket, men de private n\u00f8klene bor i en sertifisert secure element, samme type brikke som brukes i bankkort og pass. Budskapet til kunden er enkelt: stol p\u00e5 oss, og stol p\u00e5 sertifiseringen.<\/p> Trezor, laget av tsjekkiske SatoshiLabs, var den aller f\u00f8rste maskinvarelommeboken da den kom i 2013. Her er nesten alt \u00e5pen kildekode, fra fastvaren til desktop-appen Trezor Suite. Budskapet er det motsatte av Ledgers: ikke stol p\u00e5 oss, verifiser selv.<\/p> Tangem er sveitsisk og ser overhodet ikke ut som en lommebok. Det er et kort p\u00e5 st\u00f8rrelse med et bankkort, med en NFC-brikke og uten skjerm. Du tapper kortet mot telefonen for \u00e5 signere. Det finnes ingen fr\u00f8-frase \u00e5 skrive ned og ingen fastvare \u00e5 oppdatere; n\u00f8kkelen genereres p\u00e5 selve kortet og klones til ett eller to backup-kort bare i det du setter det opp. Budskapet er enkelhet: f\u00e6rre ting \u00e5 gj\u00f8re feil.<\/p> Markedet de tre kjemper om vokser raskt. Anslag samlet av CoinLaw setter markedet for maskinvarelommeb\u00f8ker til rundt en halv milliard dollar i 2025 med kraftig vekst mot 2031, mens bare en br\u00f8kdel av verdens omtrent 400 millioner kryptobrukere faktisk oppbevarer n\u00f8klene selv. Det er i dette gapet, mellom b\u00f8rskonto og full selvforvaring, at de tre selskapene selger hver sin filosofi.<\/p> Donjon er Ledgers interne angrepslaboratorium, et team som lever av \u00e5 bryte maskinvare (sin egen inkludert) f\u00f8r andre gj\u00f8r det. Sammenlign gjerne med hvordan revisjonsselskaper som Halborn driver offensiv sikkerhet, alts\u00e5 \u00e5 angripe kunden f\u00f8rst for \u00e5 finne hullene, noe vi har skrevet om i en egen artikkel om red teaming<\/a>. I 2026 rettet Donjon skytset mot konkurrentene.<\/p> Angrepet mot Tangem ble delt med selskapet 10. februar 2026 og publisert 9. juli (Ledger Donjon<\/a>). Metoden er laser fault injection (LFI): en nanosekundlang infrar\u00f8d laserpuls treffer silisiumet i Samsung-brikken S3D232A og fremtvinger en feil i et enkelt betinget hopp i fastvaren, n\u00e6rmere bestemt i SetPin-h\u00e5ndtereren som styrer passordbytte. Resultatet er at kortets tilgangspassord kan nullstilles uten det eksisterende passordet og uten backup-kort, og saldoen kan t\u00f8mmes. Poenget Donjon selv understreker er at brikken ikke ble knekt; motmidlene i selve silisiumet kaller de formidable. Det var programvaren opp\u00e5 som hadde en strukturell svakhet. Som rapporten formulerer det: \u00abEAL6+ certification does not guarantee immunity to fault injection.\u00bb<\/p> To ting gj\u00f8r dette alvorlig for akkurat Tangem. For det f\u00f8rste kan feilen ikke lappes, fordi kortene ikke har noen mekanisme for fastvareoppdatering; alle kort som allerede er i oml\u00f8p forblir i prinsippet s\u00e5rbare. For det andre m\u00e5 angriperen fysisk ha kortet ditt. Regnestykket krever laboratorieutstyr til rundt 250 000 dollar, spisskompetanse og omtrent to timers arbeid per kort. Det ble ikke p\u00e5vist noe reelt tap hos noen bruker; dette var en demonstrasjon i kontrollerte omgivelser, bekreftet ogs\u00e5 av The Hacker News<\/a>.<\/p> Trezor slapp heller ikke unna. Donjon kj\u00f8rte samme type laserangrep mot TROPIC01, den nye, \u00e5pent reviderbare brikken i Trezor Safe 7, i januar 2026, og delte funnene 3. juni. If\u00f8lge CryptoSlates gjennomgang av Safe 7<\/a> krevde ogs\u00e5 dette fysisk tilgang og spesialisert utstyr, og angrepet slo bare gjennom ett av tre sikkerhetslag. Ingen brukere tapte penger. Forskjellen i hvordan de to sakene ble h\u00e5ndtert offentlig sier mye om filosofiene, og det kommer vi til.<\/p> Tangem publiserte et offentlig svar samme dag som Donjon-artikkelen, signert medgr\u00fcnder Andrey Kurennykh (Tangem<\/a>). Kjernen i forsvaret er at et laboratorieangrep ikke er en trussel mot vanlige folk. \u00abLFI attacks are not scalable, and for everyday users, the practical risk is virtually non-existent\u00bb, skriver han, og legger til at \u00abthere have been no known real-world losses from laser fault-injection attacks on any hardware wallet to date\u00bb.<\/p> Et argument som er lett \u00e5 overse, men verdt \u00e5 ta p\u00e5 alvor, handler om anonymitet: \u00abTangem cards carry no identifying information linking them to an owner or a wallet balance. There is no way to know whether the card holds $50 or $50 million.\u00bb En tyv som stjeler et tilfeldig kort vet alts\u00e5 ikke om det er verdt en pizza eller en villa, og et to timer langt laboratorieangrep p\u00e5 blank sjanse er d\u00e5rlig \u00f8konomi.<\/p> S\u00e5 til det vanskeligste punktet, det som ikke kan lappes. Tangem snur svakheten til et bevisst designvalg. En fr\u00f8-basert lommebok kan selvdestruere n\u00f8klene ved f\u00f8rste tegn p\u00e5 angrep, fordi brukeren uansett kan gjenopprette fra fr\u00f8-frasen. Et fr\u00f8l\u00f8st kort kan ikke ta den sjansen; en falsk alarm ville l\u00e5st brukeren ute for godt. Frav\u00e6ret av oppdateringsmekanisme er alts\u00e5 prisen for at det ikke finnes en fr\u00f8-frase noen kan lure, presse eller phishe ut av deg. Kurennykh avslutter kontant: \u00abOur product is fully safe against real-world attack scenarios, and this article doesn’t change that.\u00bb<\/p> Man trenger ikke svelge konklusjonen r\u00e5tt for \u00e5 se at begge parter har rett om noe. Donjon har rett i at en sertifisert brikke ikke er magi, og at fastvaren opp\u00e5 er en del av angrepsflaten. Tangem har rett i at trusselmodellen for en vanlig sparer ikke er et nasjonalstatslaboratorium, men en phishing-lenke og en presset situasjon. Uenigheten koker til slutt ned til ett sp\u00f8rsm\u00e5l: hvem tror du kommer etter deg?<\/p> En secure element er en egen brikke bygget for \u00e5 oppbevare hemmeligheter og motst\u00e5 fysisk pirking: den skal t\u00e5le fors\u00f8k p\u00e5 \u00e5 lese av spenning, klokkeglitching og, i teorien, laser. EAL6+ viser til et niv\u00e5 i Common Criteria, en internasjonal standard for sikkerhetssertifisering, der h\u00f8yere tall betyr strengere og mer formell evaluering. Alle tre produsentene bruker n\u00e5 brikker p\u00e5 dette niv\u00e5et: Ledger med sin ST33-serie, Tangem med Samsung S3D232A, og Trezor Safe-serien med Infineon Optiga pluss, i Safe 7, den nye TROPIC01.<\/p> Det Donjon-sakene minner oss p\u00e5, er hva sertifiseringen ikke dekker. Common Criteria evaluerer brikken og et definert sett av egenskaper, ikke n\u00f8dvendigvis hele fastvaren produsenten legger opp\u00e5. Laseren mot Tangem knakk ikke Samsung-brikken; den utnyttet en logisk svakhet i Tangems egen kode. Sertifiseringen var alts\u00e5 gyldig, og angrepet fungerte likevel. For en kj\u00f8per betyr det at EAL6+ er en n\u00f8dvendig, men ikke tilstrekkelig, opplysning. Sp\u00f8rsm\u00e5let du egentlig vil ha svar p\u00e5 er: hvem har gransket koden som kj\u00f8rer opp\u00e5 den sertifiserte brikken, og kan jeg selv se den?<\/p> Her skiller de tre lagene seg. Tangem har f\u00e5tt mobil-SDK-en gjennomg\u00e5tt av Cure53 i 2026 og kortene revidert av blant andre Kudelski og Riscure tidligere, men fastvaren er lukket. Ledgers BOLOS er ogs\u00e5 lukket, med Donjon som intern garantist. Trezor legger nesten alt \u00e5pent, slik at hvem som helst, inkludert Ledgers eget laboratorium, kan lese koden. Det er denne \u00e5penheten, ikke frav\u00e6r av feil, som er Trezors egentlige salgsargument.<\/p> Ingen oppsummerer Trezors posisjon bedre enn selskapets egen sjef. Til DL News i forbindelse med lanseringen av Safe 7 sa Trezor-toppsjef Matej \u017d\u00e1k rett ut: \u00abWe are the most secure because we are the most open-source\u00bb (DL News<\/a>). Han knyttet det direkte til nettopp hemmelige brikker: \u00abIn the past, we used chips under NDA, and if we found a problem, we couldn’t warn anyone.\u00bb Det er hele poenget med TROPIC01, som markedsf\u00f8res som den f\u00f8rste \u00e5pent reviderbare secure element-brikken uten taushetsplikt: en feil kan diskuteres i full offentlighet, slik Safe 7-laserfunnet faktisk ble.<\/p> Ledger st\u00e5r for det motsatte synet, og formulerer det like tydelig. Toppsjef Pascal Gauthier skrev i sommer at \u00abEverything that is in software is close to impossible to protect\u00bb, og at \u00abA device built to do everything cannot fully protect anything\u00bb (Ledger<\/a>). Oversatt til praksis: Ledger mener at sikkerhet kommer fra maskinvare og forsegling, ikke fra at koden er lesbar, og at en enhet som skal gj\u00f8re alt (surfe, signere, kj\u00f8re apper) uunng\u00e5elig blir vanskeligere \u00e5 sikre enn en som gj\u00f8r \u00e9n ting.<\/p> Tangem er p\u00e5 sett og vis et tredje standpunkt: lukket som Ledger, men uten oppdateringer i det hele tatt, og uten fr\u00f8-frase. Der Trezor sier les koden og Ledger sier stol p\u00e5 forseglingen, sier Tangem fjern tingene som kan g\u00e5 galt. Ingen av de tre er objektivt riktig. De optimaliserer for ulike trusler: Trezor for skjulte feil og leverand\u00f8rl\u00e5sing, Ledger for fysisk motstand og bredde, Tangem for menneskelige feil og enkelhet. Debatten om blind signering, som vi kommer til, viser hvorfor det siste kanskje betyr mer for lommeboken din enn lasermotstand.<\/p> Prisene under er veiledende internasjonale listepriser omregnet til kroner med en dollarkurs p\u00e5 rundt 9,5 (kursen svingte mellom om lag 9,3 og 9,7 gjennom august 2026). For norske kj\u00f8pere kommer i praksis 25 prosent merverdiavgift og frakt p\u00e5 toppen, og bestiller du fra utlandet kan det komme fortolling i tillegg, s\u00e5 den faktiske landede prisen ligger et godt stykke over tallene i tabellen. Kj\u00f8p alltid direkte fra produsenten eller en autorisert forhandler; en enhet fra et tredjepartsmarked er en av de klassiske m\u00e5tene \u00e5 f\u00e5 en forh\u00e5ndskompromittert lommebok p\u00e5.<\/p>\u00c5ret da laboratoriet kom etter kortet ditt<\/h2>
Tangem svarer: \u00abikke skalerbart\u00bb<\/h2>
Hva en EAL6+-sertifisering faktisk betyr<\/h2>
\u00c5pen kildekode mot forseglet boks<\/h2>
Prisene i kroner: hva du faktisk betaler<\/h2>