Sent i juli 2026 forsvant rundt 1 816 bitcoin, verdt i overkant av 1,1 milliard kroner, fra mer enn 5 200 adresser knyttet til en av de mest anerkjente kalde lommeb\u00f8kene p\u00e5 markedet. Eierne hadde gjort alt riktig: de brukte en offline maskinvarelommebok, de signerte aldri en phishing-transaksjon, og de ga aldri fra seg gjenopprettingsfrasen. Likevel ble kontoene t\u00f8mt, if\u00f8lge analyseselskapet TRM Labs<\/a>. Pengene ble ikke stj\u00e5let slik vi vanligvis tenker p\u00e5 tyveri. N\u00f8klene var mulige \u00e5 gjette fra f\u00f8rste stund.<\/p> 2026 er \u00e5ret da kompromitterte n\u00f8kler for alvor gikk forbi feil i smartkontrakter som den vanligste m\u00e5ten kryptoverdier forsvinner p\u00e5; til sammenligning stjal angripere over 3,4 milliarder dollar (rundt 32 milliarder kroner) gjennom hele 2025, if\u00f8lge tall fra Chainalysis omtalt av The Record<\/a>. Det meste av dekningen handler om tyveri: phishing, blindsignering, skadevare og innsidere. Denne teksten handler om en stillere, men like \u00f8deleggende underklasse: n\u00f8kler som er kompromittert allerede fra f\u00f8dselen. Til dagens kurs koster \u00e9n bitcoin rundt 822 000 kroner og \u00e9n ether rundt 26 250 kroner, if\u00f8lge CoinGecko<\/a> (med en dollarkurs p\u00e5 rundt 9,40), s\u00e5 innsatsen er h\u00f8yere enn noen gang.<\/p> Forskjellen er avgj\u00f8rende. En stj\u00e5let n\u00f8kkel var en gang hemmelig; en svak n\u00f8kkel var det aldri. Og i motsetning til et passord kan du ikke lappe en n\u00f8kkel. Fra hjernelommeb\u00f8ker p\u00e5 2010-tallet til Profanity-katastrofen som rammet handelshuset Wintermute, fra Milk Sad-feilen i \u00e5pen kildekode til Randstorm-svakheten som l\u00e5 skjult i tidlige nettlommeb\u00f8ker: det g\u00e5r en r\u00f8d tr\u00e5d gjennom alt sammen, og den er som regel n\u00f8yaktig 32 bit lang.<\/p> En privat n\u00f8kkel h\u00f8res avansert ut, men den er i bunn og grunn bare et tall. For Bitcoin og Ethereum er det et tilfeldig valgt tall p\u00e5 256 bit. Alt annet, alts\u00e5 den offentlige adressen, signaturene og retten til \u00e5 flytte midlene, utledes matematisk fra dette ene tallet. Hele sikkerhetsmodellen hviler p\u00e5 en eneste antakelse: at ingen andre kan gjette hvilket tall du fikk.<\/p> Og p\u00e5 papiret er den antakelsen knallsterk. Et 256-bits n\u00f8kkelrom rommer rundt 2 opph\u00f8yd i 256 mulige n\u00f8kler, et tall med 78 sifre, langt flere enn det finnes atomer i den synlige delen av universet. \u00c5 pr\u00f8ve seg gjennom alle er fysisk umulig, uansett hvor mange datamaskiner du har. Det er derfor kryptografene sier at n\u00f8kkelen ikke kan brutkraftes. Men det finstilte forbeholdet er lett \u00e5 overse: beskyttelsen gjelder bare hvis tallet faktisk ble trukket fra hele rommet. Trekkes det i stedet fra en langt mindre pott, kollapser den effektive sikkerheten fullstendig, selv om n\u00f8kkelen fortsatt ser ut som et pent 256-bits tall.<\/p> Fagbegrepet er entropi, alts\u00e5 mengden reell tilfeldighet som gikk inn i \u00e5 lage n\u00f8kkelen. Standarden BIP-39<\/a>, som ligger bak de fleste gjenopprettingsfrasene p\u00e5 12 eller 24 ord, krever mellom 128 og 256 bit entropi nettopp for at fr\u00f8et skal v\u00e6re umulig \u00e5 gjette. Problemet oppst\u00e5r n\u00e5r et program later som det leverer 256 bit, mens det egentlig bare puttet inn en h\u00e5ndfull. Da har du ikke en n\u00f8kkel med 78 sifres sikkerhet. Du har en n\u00f8kkel som ser slik ut, men som i praksis kan telles p\u00e5 en ettermiddag.<\/p> Det finnes grovt sett to m\u00e5ter \u00e5 miste kontrollen over en n\u00f8kkel p\u00e5. Den f\u00f8rste er tyveri: angriperen f\u00e5r tak i den hemmeligheten du allerede har, gjennom en falsk nettside, en info-stjeler p\u00e5 maskinen din, en manipulert signeringsflate eller ren tvang. Den andre er langt mindre forst\u00e5tt: gjetting, eller rettere sagt gjenberegning. Her r\u00f8rer angriperen aldri ved deg. Han regner seg fram til n\u00f8kkelen din fordi verkt\u00f8yet som laget den snevret inn n\u00f8kkelrommet s\u00e5 mye at hele populasjonen av n\u00f8kler kan gjenskapes.<\/p> En nyttig analogi er en hengel\u00e5s. Ved tyveri bryter noen seg inn og stjeler n\u00f8kkelen din. Ved en svak n\u00f8kkel er hengel\u00e5sen kj\u00f8pt fra en produsent som, uten \u00e5 si det, bare laget noen tusen forskjellige n\u00f8kler til hele serien. L\u00e5sen ser robust ut, men en tyv med en pose kopin\u00f8kler kan g\u00e5 gjennom hele nabolaget og pr\u00f8ve seg fram. Du merker ingenting f\u00f8r d\u00f8ra st\u00e5r \u00e5pen, og \u00e5 bytte hengel\u00e5s til en identisk modell hjelper ikke det minste.<\/p> Denne andre varianten er lumsk av flere grunner. Offeret gjorde sjelden noe galt i bruks\u00f8yeblikket; feilen l\u00e5 i selve genereringen, ofte \u00e5r tilbake. Angrepet er passivt og skalerbart: en angriper kan utlede n\u00f8kler for tusenvis av ofre p\u00e5 forh\u00e5nd, sette opp et skript og bare vente p\u00e5 at en av adressene f\u00e5r inn penger. Og verst av alt, du kan ikke lappe en n\u00f8kkel. N\u00e5r en s\u00e5rbarhet i et program blir oppdaget, ruller utviklerne ut en oppdatering, og saken er ute av verden. En kompromittert n\u00f8kkel forsvinner ikke slik. Selve hemmeligheten er utledet fra en svak prosess, s\u00e5 oppdateringen beskytter bare n\u00f8kler du lager i framtiden. De gamle er brent for godt. Den eneste utveien er \u00e5 lage en fersk n\u00f8kkel fra en trygg kilde og flytte midlene over<\/a> f\u00f8r noen andre rekker det.<\/p> Ingen sak illustrerer poenget bedre enn Coldcard-hendelsen. Coldcard er en maskinvarelommebok bygget for bitcoin-purister, en dedikert offline dings hvis eneste jobb er \u00e5 holde n\u00f8kkelen din utenfor internett. Nettopp derfor var sjokket s\u00e5 stort da TRM Labs dokumenterte at rundt 1 816 bitcoin, alts\u00e5 i overkant av 1,1 milliard kroner, ble tappet fra over 5 200 adresser i flere b\u00f8lger.<\/p> Rot\u00e5rsaken var ikke en genial angriper, men en byggekonfigurasjonsfeil i fastvareversjon 4.0.1, som kom ut allerede i mars 2021. Koden sjekket om maskinvarens tilfeldighetsgenerator var definert, ikke om den faktisk var sl\u00e5tt p\u00e5. Resultatet var at enhetene i det stille falt tilbake p\u00e5 en svak programvaregenerator i stedet for den fysiske entropikilden i brikken. If\u00f8lge TRM kollapset den effektive n\u00f8kkelstyrken fra de tiltenkte 128 bitene ned mot bare 40 bit p\u00e5 eldre enheter, lavt nok til \u00e5 brutkrafte med moderne maskinvare. Alt fr\u00f8 som ble laget mellom mars 2021 og oppdateringen kom, var dermed s\u00e5rbart, uten at eierne merket noe som helst.<\/p> TRM beskriver hendelsen som den st\u00f8rste utnyttelsen av en maskinvarelommebok i 2026, og det spesielle er at ofrene ikke hadde noe felles utover valget av enhet og tidspunktet for oppsett. Angriperne trengte verken \u00e5 n\u00e5 fram til brukerne eller lure dem til \u00e5 signere noe; de kunne systematisk utlede kandidatn\u00f8kler for enheter satt opp i det aktuelle vinduet og sjekke hvilke adresser som hadde saldo. Da den f\u00f8rste b\u00f8lgen f\u00f8rst var i gang, gikk det fort, og flere akt\u00f8rer ser ut til \u00e5 ha jaktet p\u00e5 den samme svakheten samtidig. Det er den skalerbare naturen ved kompromittering-ved-f\u00f8dsel i praksis: \u00e9n feil, tusenvis av ofre, null interaksjon.<\/p> Den mest ubehagelige l\u00e6rdommen ligger i hvordan TRM oppsummerte selve fiksen. \u00ab\u00c5 oppdatere fastvaren l\u00f8ser problemet for framtidig lommebok-generering, men beskytter ikke lommeb\u00f8ker der fr\u00f8et ble laget under den s\u00e5rbare fastvaren,\u00bb skriver selskapet. Med andre ord: \u00e5 installere den nye fastvaren stengte d\u00f8ra for nye ofre, men gjorde ingenting for de allerede genererte n\u00f8klene. Den som hadde satt opp sin Coldcard i 2021 og latt bitcoin ligge i fred, kunne fortsatt bli t\u00f8mt i 2026. Dette er \u00abdu kan ikke lappe en n\u00f8kkel\u00bb i sin reneste form, og det rammet nettopp den gruppen som hadde betalt for ekstra trygghet.<\/p> For \u00e5 forst\u00e5 hvorfor de samme feilene skjer igjen og igjen, m\u00e5 man skille mellom to slags tilfeldighet. En vanlig pseudotilfeldig generator (PRNG) er laget for fart og for statistisk pen fordeling, ikke for hemmelighold. Kjenner du fr\u00f8et eller den interne tilstanden, kan du forutsi hele rekken. Den mest brukte er Mersenne Twister, ofte i varianten mt19937. Den er utmerket til dataspill og simuleringer, og livsfarlig til n\u00f8kler.<\/p> En kryptografisk sikker generator (CSPRNG) er derimot bygget slik at selv om du ser mengder av tidligere utdata, kan du ikke forutsi det neste. Operativsystemer leverer slike, matet av fysisk st\u00f8y fra maskinvaren. Den sterkeste varianten er en ekte maskinvaregenerator (TRNG) i et secure element, der tilfeldigheten kommer fra fysiske prosesser i selve brikken. Den tilbakevendende synden er \u00e5 seede en generator med en 32-bits verdi. 32 bit gir bare rundt 4,3 milliarder muligheter, et tall et moderne grafikkort tygger seg gjennom p\u00e5 timer. En \u00ab256-bits n\u00f8kkel\u00bb som egentlig stammer fra 32 bit, har alts\u00e5 32 bits reell sikkerhet, ikke mer.<\/p> Grunnen til at 32-bits fr\u00f8 dukker opp s\u00e5 ofte, er sjelden vond vilje. Mersenne Twister er innebygd i utallige programmeringsspr\u00e5k og er det f\u00f8rste mange utviklere griper til n\u00e5r de trenger et tilfeldig tall. Fungerer koden, ser utdataene tilfeldige nok ut, og testene passerer, er det lett \u00e5 tro at jobben er gjort. Skillet mellom statistisk tilfeldighet, som mt19937 gir rikelig av, og kryptografisk uforutsigbarhet, som den ikke gir i det hele tatt, er akkurat den typen detalj som forsvinner under tidspress.<\/p>Hva en privat n\u00f8kkel egentlig er: 256 bit ren tilfeldighet<\/h2>
Stj\u00e5let mot gjettet, og hvorfor en n\u00f8kkel ikke kan lappes<\/h2>
Coldcard, sommeren 2026: da den kalde lommeboken ga fra seg tilfeldigheten<\/h2>
CSPRNG mot PRNG: anatomien til en svak n\u00f8kkel<\/h2>