Hvis 2026 hadde et slagord for lommeb\u00f8ker, var det \u00e5 fjerne friksjon. Passkeys erstattet seed-fraser i registreringen, paymasters betalte gassen for deg, innebygde lommeb\u00f8ker gjemte n\u00f8klene i en sikker enklave, og chain abstraction lot deg glemme hvilken kjede du sto p\u00e5. M\u00e5let var fornuftig: en helt vanlig bruker skulle komme i gang uten \u00e5 forst\u00e5 kryptografi, og tallene sa at det hastet.<\/p>
S\u00e5 kom de siste dagene av oktober. En angriper t\u00f8mte Binance for rundt 6,3 milliarder dollar (over 58 milliarder kroner), det st\u00f8rste kryptotyveriet som noen gang er registrert, uten \u00e5 knekke en eneste privat n\u00f8kkel (crypto.news<\/a>). I ukene f\u00f8r forsvant tresifrede millionbel\u00f8p fra maskinvarelommeb\u00f8ker og varslingskanaler som brukerne stolte blindt p\u00e5. M\u00f8nsteret var tydelig: \u00e5rets dyreste tap landet ikke ved d\u00f8ren, der bransjen hadde brukt all sin energi, men ved hvelvet, der verdiene faktisk ligger.<\/p> Konklusjonen er ikke at friksjon er bra, eller at vi skal gj\u00f8re alt tungvint igjen. Det ville drept den adopsjonen bransjen endelig har begynt \u00e5 f\u00e5. Poenget er at friksjon er et budsjett, og at 2026 brukte det p\u00e5 feil sted. Denne artikkelen handler om asymmetrisk friksjon: glatt ved d\u00f8ren, treg ved hvelvet, og om hvordan du plasserer friksjonsbudsjettet der det faktisk stopper et tyveri.<\/p> Grunnen til at bransjen gikk til krig mot friksjon var reell. En lang rekke m\u00e5linger har vist at selvforvaring lekker brukere i hvert ledd: et bredt referat fra bransjen ansl\u00e5r at mellom 60 og 90 prosent faller fra f\u00f8r sin f\u00f8rste transaksjon, og at under 20 prosent er igjen etter en uke (The Block<\/a>). En akademisk studie fra 2025 fant at bare 43,4 prosent klarte \u00e5 kjenne igjen et bilde av en seed-frase, og at flertallet trodde den kunne nullstilles som et passord (ACM, \u00abOf Secrets and Seedphrases\u00bb<\/a>). For lite brukervennlighet koster ogs\u00e5 penger: Ledger ansl\u00e5r, basert p\u00e5 Chainalysis-tall, at et sted mellom 17 og 23 prosent av all utvunnet Bitcoin er tapt for godt, mye av det til glemte n\u00f8kler (Ledger Academy<\/a>).<\/p> Svaret ble en b\u00f8lge av usynlighet. FIDO-alliansen meldte om rundt 5 milliarder passkeys i bruk p\u00e5 verdensbasis i 2026, et signal om at biometrisk innlogging har blitt dagligdags (FIDO Alliance<\/a>). Circle lanserte en paymaster som lar deg betale gass i USDC, slik at nybegynneren slipper \u00e5 skaffe ETH f\u00f8rst (Circle<\/a>). Innebygde lommeb\u00f8ker fra Privy, Dynamic og Coinbase gjemte n\u00f8kkelen helt. Dette virket: d\u00f8ren ble endelig lett \u00e5 g\u00e5 gjennom. Problemet er at bransjen behandlet all friksjon likt, som en feil \u00e5 fjerne, i stedet for \u00e5 sp\u00f8rre hvilken friksjon som faktisk beskyttet brukeren.<\/p> Friksjon er gratis \u00e5 fjerne helt til innsatsen blir h\u00f8y. Et ekstra trykk i innloggingen koster deg noen sekunder. Et ekstra trykk f\u00f8r en overf\u00f8ring p\u00e5 en halv million kroner kan v\u00e6re det eneste som st\u00e5r mellom deg og en t\u00f8mt konto. De fleste tap i 2026 skjedde ikke fordi kryptografien sviktet, men fordi en handling som burde kostet et \u00f8yeblikks ettertanke ble gjort usynlig og automatisk.<\/p> Tallene bekrefter hvor skaden sitter. Scam Sniffer rapporterte at phishing-tapene falt 83 prosent i 2025, til rundt 84 millioner dollar, men at signaturbaserte angrep p\u00e5 godkjenninger (Permit og Permit2) sto for 38 prosent av alle enkelttap over \u00e9n million dollar (Cointelegraph<\/a>). Pengene forsvinner alts\u00e5 ikke n\u00e5r du logger inn, men n\u00e5r du signerer noe du ikke forsto. HOGE Wire gikk gjennom hele oktoberb\u00f8lgen i en egen obduksjon av hendelsene der ingen n\u00f8kkel ble knekket (\u00abIngen knakk n\u00f8kkelen\u00bb<\/a>), og fellestrekket var nettopp dette: jo mer s\u00f8ml\u00f8s opplevelsen blir, jo mer tillit legger brukeren i ledd hun verken ser eller kan kontrollere. Den obduksjonen stilte diagnosen. Denne artikkelen foresl\u00e5r behandlingen.<\/p> Den 29. oktober ble rundt 6,3 milliarder dollar trukket ut av Binance p\u00e5 omtrent tjue minutter, fordelt over ti blokkjeder. TRM Labs og Chainalysis slo begge fast med h\u00f8y sikkerhet at den nordkoreanske gruppen TraderTraitor, knyttet til Lazarus, sto bak. Inngangen var ikke et kryptografisk brudd: if\u00f8lge Binance selv begynte det med et falskt jobbintervju, kompromittert utviklerverkt\u00f8y og infiserte ansattmaskiner som til slutt ga tilgang til b\u00f8rsens interne lommebok-infrastruktur (CoinDesk<\/a>).<\/p> P\u00e5 Ethereum-siden brukte angriperen EIP-7702, funksjonen som lar en vanlig konto delegere til kontraktskode. Femti forh\u00e5ndssignerte fullmakter fra en adresse finansiert via Tornado Cash gjorde en Binance-driftslommebok om til en tappekontrakt (Decrypt<\/a>, Chainalysis<\/a>). TRM Labs understreket at dette ikke var en feil i Ethereum, men et tegn p\u00e5 at signeringsinfrastrukturen var kompromittert. Det er hele poenget for en UX-diskusjon: bruddet skjedde i myndighetslaget, i det som faktisk signerte, ikke i innloggingen. EIP-7702 gjorde en n\u00f8kkel om til en fullmakt, og det svake leddet ble den som kunne signere.<\/p> Etterspillet viser b\u00e5de styrken og svakheten ved en sentralisert akt\u00f8r. Binance \u00e5pnet uttak i faser fra 1. november, og per 5. november, da b\u00f8rsen la ut sin \u00e5ttende gjenopprettingsoppdatering, var rundt 98 prosent av den ber\u00f8rte verdien erstattet fra selskapets egne midler (DailyCoin<\/a>). Rundt 3 milliarder dollar i stablecoins ble fryst av Circle og Tether. En vanlig bruker med selvforvaring har ingen slik balanse \u00e5 falle tilbake p\u00e5. For ordens skyld l\u00e5 markedet i oppgang da dette ble skrevet: Bitcoin rundt 80 221 dollar (rundt 744 000 kroner) og Ethereum rundt 2 417 dollar (rundt 22 400 kroner) 5. november, etter en risk-on-b\u00f8lge i kj\u00f8lvannet av det amerikanske mellomvalget (Fortune<\/a>).<\/p> Binance var ikke alene. Uken f\u00f8r avsl\u00f8rte Ledger at en uautorisert maskinvareimplantat med LTE og eSIM var montert inne i enheter solgt gjennom en forhandler i Asia. Brikken lyttet passivt p\u00e5 skjermdataene og leste de 24 ordene idet de ble vist under oppsett, og sendte dem ut over mobilnettet. Ledger var tydelig p\u00e5 at implantatet ikke r\u00f8rte den sikre brikken, operativsystemet eller signaturene; tapet er ansl\u00e5tt til opptil rundt 93,2 millioner dollar fra over 300 lommeb\u00f8ker (CoinDesk<\/a>).<\/p> Den belgiske produsenten NGRAVE opplevde noe beslektet. Angripere kapret en tredjeparts varslingsleverand\u00f8r som LIQUID-appen brukte, sendte falske push-varsler som pekte til et forfalsket nettsted, og fikk brukere til \u00e5 taste inn gjenopprettingsfrasen sin. Rundt 2,56 millioner dollar forsvant fra om lag 70 lommeb\u00f8ker (Parameter<\/a>). NGRAVE-sjef Ruben Merre var brutalt \u00e6rlig i etterkant: \u00abDen f\u00f8rste plikten til et kryptosikkerhetsselskap er \u00e5 levere nettopp det: sikkerhet. Her har vi fullstendig og totalt mislyktes.\u00bb P\u00e5 den sentraliserte siden flyttet rundt 16 millioner dollar ut av den indiske b\u00f8rsen CoinDCX fra adresser selskapet f\u00f8rst kalte utdaterte (AMBCrypto<\/a>). Arketypen for alt dette er fortsatt Bybit i februar 2025, der Lazarus kompromitterte utviklingsmilj\u00f8et til Safe og fikk signatarene til \u00e5 se \u00e9n transaksjon mens de godkjente en annen, til en verdi av rundt 1,5 milliarder dollar (The Block<\/a>).<\/p>Krigen mot friksjon, kort fortalt<\/h2>
Da friksjonen forsvant, forsvant ogs\u00e5 sikringen<\/h2>
Binance: da signeringen var det svake leddet<\/h2>
Oktoberb\u00f8lgen ingen n\u00f8kkel knakk<\/h2>