{"id":618,"date":"2026-10-29T13:10:18","date_gmt":"2026-10-29T13:10:18","guid":{"rendered":"https:\/\/hoge.gg\/no\/metamask-phantom-rabby-falsk-lommebok-2026\/"},"modified":"2026-10-29T13:10:18","modified_gmt":"2026-10-29T13:10:18","slug":"metamask-phantom-rabby-falsk-lommebok-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/metamask-phantom-rabby-falsk-lommebok-2026\/","title":{"rendered":"Lommeboken som ikke var ekte: MetaMask, Phantom og Rabby"},"content":{"rendered":"

Vi har testet MetaMask, Phantom og Rabby nesten et dusin ganger i denne spalten: hvem som er sikrest mot en drainer, hvem som tar lavest gebyr, hvem som overlever at du mister telefonen, og sist hvordan de tre gjorde seg om fra bank til veddekontor<\/a>. Hver eneste test har hatt \u00e9n ting til felles: vi har tatt for gitt at lommeboken p\u00e5 skjermen faktisk var MetaMask, Phantom eller Rabby.<\/p>

I oktober 2026 falt den forutsetningen. Den raskest voksende tyverimetoden mot vanlige brukere angriper ikke lenger transaksjonen du signerer; den angriper selve lommeboken, f\u00f8r du i det hele tatt har et bel\u00f8p \u00e5 miste. Angriperen lager en kopi som ser ut som den ekte varen, legger den der du leter, og venter p\u00e5 at du skriver inn de tolv ordene. Markedet gjorde ikke saken mindre aktuell: Bitcoin l\u00e5 rundt 79 850 dollar (om lag 735 000 kroner), Ethereum rundt 2 312 dollar (cirka 21 300 kroner) og Solana falt under 100 dollar for f\u00f8rste gang p\u00e5 en stund, til rundt 99,70 dollar (dr\u00f8yt 900 kroner), etter to dager med utstr\u00f8mming fra Solana-ETF-er, if\u00f8lge crypto.news<\/a>. Fallende priser betyr flere nerv\u00f8se brukere som bytter lommebok i all hast, og hastverk er svindlerens beste venn.<\/p>

Testen alle hopper over<\/h2>

Alle lommebokguider, ogs\u00e5 v\u00e5re egne, begynner etter installasjonen. Du har appen; sp\u00f8rsm\u00e5let er hvordan den oppf\u00f8rer seg. Men den billigste veien inn for en angriper er ikke \u00e5 sl\u00e5 MetaMask sin transaksjonssimulering, Phantom sin Blowfish-motor eller Rabby sin forh\u00e5ndsvisning i en gaffel av kjeden. Den billigste veien er \u00e5 s\u00f8rge for at du aldri kj\u00f8rer den ekte lommeboken i det hele tatt.<\/p>

En falsk lommebok trenger ikke \u00e5 v\u00e6re smart. Den trenger bare \u00e5 vise deg et importbilde som ligner, og f\u00e5 fr\u00f8frasen din f\u00f8r du skj\u00f8nner hva som skjer. I det \u00f8yeblikket er alle de avanserte forsvarsmekanismene vi har brukt m\u00e5neder p\u00e5 \u00e5 sammenligne, irrelevante: de beskytter penger i en lommebok du eier, ikke penger i en lommebok angriperen eier. Derfor er \u00abhvilken lommebok er tryggest\u00bb feil sp\u00f8rsm\u00e5l i 2026. Det riktige sp\u00f8rsm\u00e5let er \u00abhvordan vet jeg at dette er lommeboken i det hele tatt\u00bb.<\/p>

Det er ingen teoretisk bekymring. Gjennom 2025 og 2026 har angriperne systematisk flyttet innsatsen fra \u00e5 bryte lommeb\u00f8kenes forsvar til \u00e5 erstatte lommeboken med en kopi, rett og slett fordi det er billigere, enklere \u00e5 skalere og vanskeligere for offeret \u00e5 oppdage. En kopi trenger ingen s\u00e5rbarhet i MetaMask eller Rabby; den trenger bare din tillit i noen sekunder.<\/p>

Hva som faktisk skjedde i oktober<\/h2>

Den 7. oktober 2026 publiserte sikkerhetsselskapet Socket en gjennomgang av 16 ondsinnede Firefox-utvidelser som utga seg for \u00e5 v\u00e6re kryptolommeb\u00f8ker. Fire av dem var kopier av Rabby; tolv var kopier av OKX Wallet. Utvidelsene var kamuflert som ekte importportaler, skrivebordsverkt\u00f8y og nettleserverkt\u00f8y, skriver The Hacker News<\/a>.<\/p>

Det lumske var hvor normalt det s\u00e5 ut. Offeret m\u00f8tte et importbilde som lignet til forveksling p\u00e5 det ekte, med det samme feltet for \u00e5 gjenopprette lommeboken og de samme fargene. Noen av utvidelsene var til og med pakket inn som uskyldige skrivebords- eller nettleserverkt\u00f8y, slik at selve tyveriet l\u00e5 gjemt bak et verkt\u00f8y som tilsynelatende gjorde noe helt annet. For brukeren var det ingen \u00e5penbar feil \u00e5 reagere p\u00e5; frasen var tastet og sendt f\u00f8r noe f\u00f8ltes galt.<\/p>

Mekanikken var enkel og n\u00e5del\u00f8s. If\u00f8lge Sockets rapport<\/a>, skrevet av trusselforsker Joseph Edwards, hektet Rabby-klonene seg p\u00e5 importflyten og godtok \u00aba 12-word string; a 24-word string; or a 64-character hexadecimal string consistent with a raw private key\u00bb. Med andre ord: akkurat det du taster inn n\u00e5r du gjenoppretter en ekte lommebok. Verdiene ble URL-kodet og sendt videre til angriperens infrastruktur. Femten av utvidelsene sendte det stj\u00e5lne til det samme Cloudflare Workers-domenet (icy-star-f45c.workers.dev), \u00e9n brukte et annet. Mozilla hadde avpublisert alle 16 innen 5. oktober, men som Socket p\u00e5peker hjelper ikke fjerning den som allerede har tastet inn frasen sin.<\/p>

Socket vurderer med h\u00f8y sikkerhet at kampanjen er en fortsettelse av en b\u00f8lge selskapet avdekket allerede i august 2026. Akt\u00f8rene bytter pakkenavn, versjoner, utvidelses-ID-er og beskrivelser, men gjenbruker de samme lommebokgrensesnittene, den samme logikken for \u00e5 h\u00e5ndtere stj\u00e5lne n\u00f8kler og den samme nettverksinfrastrukturen. Det er en fabrikk, ikke et enkeltst\u00e5ende uhell.<\/p>

GreedyBear og oppskriften p\u00e5 tillit<\/h2>

Oktober-b\u00f8lgen var ikke ny. Et dr\u00f8yt \u00e5r tidligere, i august 2025, dokumenterte sikkerhetsselskapet Koi Security en kampanje de kalte GreedyBear: over 150 ondsinnede Firefox-utvidelser som utga seg for \u00e5 v\u00e6re MetaMask, TronLink, Exodus og Rabby, og som til sammen stjal mer enn \u00e9n million dollar, if\u00f8lge The Hacker News<\/a>. Kampanjen kj\u00f8rte tre spor i parallell: nettleserutvidelser, falske nettsider og skadevare for skrivebordet.<\/p>

Det mest l\u00e6rerike var metoden Koi Security d\u00f8pte \u00abExtension Hollowing\u00bb. Angriperen oppretter f\u00f8rst en utgiverkonto i markedsplassen, laster opp uskyldige utvidelser uten reell funksjonalitet for \u00e5 gli gjennom den f\u00f8rste kontrollen, poster falske positive anmeldelser for \u00e5 bygge en illusjon av troverdighet, og bytter deretter innmaten ut med ondsinnet kode. Poenget er brutalt enkelt: de signalene du bruker til \u00e5 avgj\u00f8re om en utvidelse er trygg (antall installasjoner, alder, stjerner, anmeldelser) er nettopp det angriperen forfalsker f\u00f8rst. Koi Security advarte samtidig om at den samme gruppen forbereder seg p\u00e5 \u00e5 flytte over til Chrome Web Store med identiske metoder.<\/p>

For en MetaMask- eller Rabby-bruker betyr dette at \u00abmest nedlastet\u00bb ikke er noen garanti. Det er et m\u00e5l. Jo st\u00f8rre merkevare, jo mer verdt er det \u00e5 kopiere den, og jo lettere er det \u00e5 gjemme en kopi i mengden.<\/p>

GreedyBear-saken er ogs\u00e5 l\u00e6rerik fordi den viser skalaen. Dette er ikke en enslig hacker som lager \u00e9n falsk utvidelse, men en organisert operasjon som produserer hundrevis av dem, med egen infrastruktur for \u00e5 h\u00f8ste og flytte det stj\u00e5lne. Koi Security knyttet over 150 utvidelser til den samme akt\u00f8ren, i tillegg til falske nettsider og skadevare for Windows. N\u00e5r forsvaret er en manuell gjennomgang hos markedsplassen, og angrepet er industrialisert, er det lett \u00e5 se hvem som vinner kappl\u00f8pet i ren mengde.<\/p>

Mobilen er ikke tryggere<\/h2>

Mange nordmenn tenker at nettleserutvidelser er risikosport, men at appbutikken er trygg fordi Apple og Google kontrollerer den. Det stemmer ikke lenger. Den 20. april 2026 beskrev Kasperskys Securelist<\/a> en kampanje de kaller FakeWallet: 26 ondsinnede apper som slapp gjennom Apples App Store og etterlignet MetaMask, Coinbase, Trust Wallet, OneKey, Ledger, TokenPocket, imToken og Bitpie.<\/p>

Teknikken er verdt \u00e5 forst\u00e5, for den sier noe om hvor godt fr\u00f8frasen er beskyttet n\u00e5r angriperen f\u00f8rst er inne p\u00e5 telefonen. De trojaniserte appene inneholder kode som skanner skjermen (optisk tegngjenkjenning) for \u00e5 finne de mnemoniske ordene mens du setter opp eller gjenoppretter en lommebok. N\u00e5r ordene dukker opp, hentes de ut, krypteres med RSA og Base64, og sendes til en kommandoserver. MetaMask var if\u00f8lge rapporten den mest etterlignede, via en komponent kalt libokexHook.dylib. Operasjonen har v\u00e6rt aktiv siden minst h\u00f8sten 2025, og knyttes med moderat sikkerhet til skadevarefamilien SparkKitty.<\/p>

L\u00e6rdommen er ubehagelig: en appbutikks godkjenningsstempel er ikke et sikkerhetsstempel. Apper godkjennes i en uskyldig versjon og f\u00e5r skadelig kode gjennom en senere oppdatering, akkurat som utvidelsene i Firefox. Det samme har skjedd p\u00e5 Google Play, der falske MetaMask-apper gjentatte ganger er fjernet etter at de allerede hadde rukket \u00e5 t\u00f8mme brukere, som omtalt av crypto.news<\/a>.<\/p>

Sp\u00f8rsm\u00e5let er hvordan folk havner p\u00e5 den falske appen i det hele tatt. Svaret er sjelden butikken alene. Ofte starter det med et s\u00f8k, der en betalt annonse for en forfalsket side ligger \u00f8verst, eller med et domene som er stavet nesten riktig (en bokstav feil, en bindestrek for mye) og som leder videre til en nedlasting utenfor den offisielle kanalen. Kombinasjonen av et troverdig domene og et godt rangert s\u00f8ketreff gj\u00f8r at offeret tror det har g\u00e5tt rett til kilden, mens det i realiteten er loset dit angriperen vil ha det.<\/p>

Tre lommeb\u00f8ker, tre angrepsflater<\/h2>

De tre lommeb\u00f8kene vi f\u00f8lger, er ulike m\u00e5l nettopp fordi de distribueres og bygges ulikt. Tilliten din hviler p\u00e5 helt forskjellige ting avhengig av hvilken du velger, og det avgj\u00f8r hva du faktisk m\u00e5 sjekke.<\/p>

MetaMask<\/strong> er den st\u00f8rste merkevaren, med rundt 30 millioner m\u00e5nedlige brukere og mer enn 140 millioner nedlastinger gjennom \u00e5rene, og topper CoinGeckos oversikt<\/a> over varme programvarelommeb\u00f8ker. St\u00f8rrelsen er ogs\u00e5 svakheten: ingen annen lommebok kopieres oftere. Koden er lesbar, men utvidelsen har siden 2020 en egen lisens, ikke en standard open source-lisens. MetaMask forsvarer seg blant annet med en fellesskapsdrevet blokkliste over svindeldomener, eth-phishing-detect<\/a> p\u00e5 GitHub, og med Blockaid-varsler i selve appen.<\/p>

Phantom<\/strong> er lukket kildekode. Du kan ikke lese eller bygge koden selv, og m\u00e5 i praksis stole p\u00e5 at signaturen i App Store eller Google Play, og selskapet bak, er det de utgir seg for. Til gjengjeld har Phantom \u00e9n tydelig, kuratert kanal og en sterk tilstedev\u00e6relse i appbutikkene, med hovedvekt p\u00e5 Solana-\u00f8kosystemet.<\/p>

Rabby<\/strong>, laget av DeBank-teamet, er helt \u00e5pen kildekode og revidert av b\u00e5de SlowMist og Least Authority i 2025 (Least Authority-rapporten<\/a> fant to forhold, hvorav ett av middels alvorlighetsgrad). Det var ogs\u00e5 Rabby som ble kopiert i oktober. En detalj som sjelden f\u00e5r oppmerksomhet: Rabby sin skrivebordsversjon er \u00abconnect-only\u00bb, den lar deg ikke importere en fr\u00f8frase direkte, og fjerner dermed nettopp det bildet klonene utnyttet.<\/p>

Forskjellen er ikke akademisk. Den avgj\u00f8r hva \u00ab\u00e5 verifisere\u00bb i det hele tatt betyr for deg. For Rabby kan det bety \u00e5 sammenligne mot kildekoden; for Phantom finnes ingen kode \u00e5 sammenligne mot, bare signaturen og kanalen; for MetaMask betyr det \u00e5 navigere forbi et hav av kopier til den ene ekte. Tre modeller, tre helt ulike sjekklister.<\/p>

Lommebok<\/th>Kildekode<\/th>Offisiell nedlasting<\/th>Mest utsatte flate<\/th>Hvem tilliten hviler p\u00e5<\/th><\/tr><\/thead>
MetaMask<\/td>Lesbar, men egen lisens siden 2020 (ikke standard open source)<\/td>metamask.io<\/td>St\u00f8rst merkevare, mest imitert<\/td>Fellesskapets blokkliste, Blockaid, Consensys<\/td><\/tr>
Phantom<\/td>Lukket<\/td>phantom.com<\/td>Mobilapp og utvidelse (Solana-f\u00f8rst)<\/td>Appbutikkens signatur og selskapet<\/td><\/tr>
Rabby<\/td>Helt \u00e5pen (DeBank), revidert 2025<\/td>rabby.io<\/td>EVM-utvidelse, kopiert i oktober-b\u00f8lgen<\/td>Deg selv: du kan bygge og verifisere koden<\/td><\/tr><\/tbody><\/table><\/figure>

Paradokset med \u00e5pen kildekode<\/h2>

Her ligger en motsetning det er verdt \u00e5 stoppe ved. \u00c5pen kildekode er en reell sikkerhetsegenskap for den ekte Rabby: hvem som helst, inkludert revisorer som SlowMist, kan lese koden og finne feil. Men den samme \u00e5penheten ga angriperne i oktober en ferdig mal. De trengte ikke \u00e5 gjette hvordan importbildet ser ut; de kopierte det pikseln\u00f8yaktig fra et offentlig kodelager.<\/p>

Phantom st\u00e5r i motsatt posisjon. Den lukkede koden er en svart boks du ikke kan verifisere, men det finnes bare \u00e9n offisiell kanal \u00e5 laste ned fra, og en forfalskning m\u00e5 enten etterligne den kanalen eller lure deg bort fra den. MetaMask sitter i en tredje felle: koden er lesbar og kanalene mange, men nettopp fordi merkevaren er st\u00f8rst, er den ogs\u00e5 den mest imiterte. Ingen av de tre modellene er trygg i seg selv. De flytter bare tilliten til ulike steder: til deg selv (Rabby), til selskapet og butikken (Phantom), eller til fellesskapet og blokklistene (MetaMask).<\/p>

Det er den samme debatten som g\u00e5r i revisjonsbransjen, der sp\u00f8rsm\u00e5let om hvem som egentlig eier tilliten ble aktualisert da S&P Global kj\u00f8pte OpenZeppelin<\/a>. Kilde\u00e5penhet flytter ansvaret til leseren; lukket kode flytter det til leverand\u00f8ren. Ingen av delene fjerner det.<\/p>

Hvorfor fr\u00f8frasen er hele spillet<\/h2>

Legg merke til hva alle kampanjene over jakter p\u00e5: ikke passordet ditt, ikke to-faktorkoden, men de tolv eller tjuefire ordene, eller de 64 tegnene som utgj\u00f8r den private n\u00f8kkelen. I selvforvaring er fr\u00f8frasen ikke \u00e9n av flere n\u00f8kler. Den er alt. Den som har den, har pengene, uansett hvilken enhet, app eller land de befinner seg i.<\/p>

Vitalik Buterin formulerte problemet skarpt allerede i essayet sitt om sosial gjenoppretting: mnemoniske fraser \u00abdo nothing against theft\u00bb, skrev han p\u00e5 vitalik.eth.limo<\/a>. En frase som beskytter mot at du glemmer, beskytter ikke mot at noen stjeler den. Og i motsetning til et bankkort finnes det ingen \u00e5 ringe. Det var hele poenget i saken v\u00e5r om av-knappen som avgj\u00f8r hvem som f\u00e5r refusjon<\/a>: i selvforvaring er det ingen av-knapp, ingen tilbakef\u00f8ring og ingen angrefrist.<\/p>

Derfor er Sockets kanskje viktigste setning en advarsel folk ofte misforst\u00e5r: \u00abChanging only the extension password does not revoke a stolen seed phrase or private key\u00bb. Har frasen din lekket, hjelper det ikke \u00e5 bytte passord, installere lommeboken p\u00e5 nytt eller fjerne den falske utvidelsen. Den eneste virkelige l\u00f8sningen er \u00e5 opprette en helt ny lommebok med en ny frase og flytte alt du har igjen dit, raskt. Den gamle frasen er brent for godt.<\/p>

Nettopp dette, at tyveriet ikke kan gj\u00f8res om, gj\u00f8r den falske lommeboken til s\u00e5 god forretning. En svindler som lurer et betalkort, m\u00f8ter sperrer: utstederen kan reversere, banken kan fryse, og det finnes en frist. En stj\u00e5let fr\u00f8frase har ingen av delene. I det sekundet den er tastet inn i feil felt, er pengene like flyttbare for tyven som for deg, og ingen myndighet kan trykke dem tilbake. Angriperen trenger bare \u00e5 lykkes \u00e9n gang; du m\u00e5 ha rett hver gang.<\/p>

Slik verifiserer du at lommeboken er ekte<\/h2>

Den gode nyheten er at de fleste klonene faller p\u00e5 enkle sjekker. Problemet er at sjekkene m\u00e5 gj\u00f8res f\u00f8r du taster inn noe, ikke etterp\u00e5. Her er fremgangsm\u00e5ten vi anbefaler, uansett hvilken av de tre du bruker.<\/p>