Session keys och osynliga plånböcker: smarta konton i spel 2026

Fråga en van spelare vad som förstör ett bra spel snabbast, och popup-rutor hamnar högt på listan. I ett vanligt kryptospel byggt på en traditionell plånbok tvingas du godkänna en signering för varje drag: flytta en pjäs, öppna en kista, byta ett svärd. Varje klick reser en ny fönsterruta som frågar om du är säker. Det är ungefär som att bli ombedd att skriva under ett kontrakt varje gång du trycker på en knapp i en konsol. Ingen mainstream-spelare accepterar det, och länge var det just detta som höll blockkedjespel kvar i en nisch.

Lösningen som fått fart under 2025 och 2026 heter smarta konton, och den byggsten som gör spel faktiskt spelbara kallas session keys. I stället för att signera varje handling godkänner du en gång en avgränsad, tidsbegränsad nyckel som får utföra ett smalt uppsatt av handlingar åt dig. Kombinera det med gasfria transaktioner och inloggning via Google eller Apple, och plånboken försvinner in i spelet. Den här artikeln handlar om just den osynliga plånboken: vad session keys är, vilka standarder som styr dem, hur ekonomin bakom gasfritt spel går ihop, och hur Immutable, Sky Mavis, Abstract och Move-kedjorna Sui och Aptos löser samma problem på olika sätt. Vi tar också säkerhetsriskerna och Finansinspektionens perspektiv på allvar, för en nyckel som får handla åt dig är också en nyckel som kan missbrukas.

Popup-helvetet: varför vanliga plånböcker dödar spelflödet

En traditionell kryptoplånbok bygger på ett så kallat externt ägt konto, en EOA (externally owned account). Kontot är i praktiken ett nyckelpar: en privat nyckel styr en adress, och varje enskild transaktion måste signeras med den privata nyckeln. Modellen är enkel och robust, men den passar dåligt för interaktivt spel. En rollspelssession kan innehålla hundratals transaktioner i timmen, och om varje sådan kräver ett manuellt godkännande blir spelet omöjligt att spela. Ännu värre är att den privata nyckeln alltid är i omlopp: den ligger i din plånboks-app, den signerar allt, och tappar du bort startfrasen (seed phrase) på tolv eller tjugofyra ord finns ingen väg tillbaka.

Studiodata visar hur brutalt detta drabbar konverteringen. Immutable, en av de största aktörerna inom blockkedjespel, har beskrivit att en inbäddad plånbok som skapas i bakgrunden i stället för en webbläsartillägg-plånbok kan vara skillnaden mellan att tio procent och fyrtio procent av spelarna tar sig igenom onboardingtratten, enligt bolagets egen genomgång av Sequence-integrationen. Med andra ord tappar ett spel som kräver att spelaren först installerar en plånbok, skriver ner en startfras och köper gas ofta tre av fyra potentiella användare innan de ens har börjat spela. Smarta konton finns till för att stänga det läckaget.

Snabbrepetition: vad ett smart konto faktiskt är

Ett smart konto (account abstraction) ersätter det enkla nyckelparet med ett litet program, ett smart kontrakt, som styr din adress. Eftersom kontot är kod kan det bära egen logik: det kan kräva flera signaturer, sätta utgiftstak, låta någon annan betala gasen, ge tidsbegränsade behörigheter och återställas utan startfras. På Ethereum standardiserades detta genom ERC-4337, som blev slutgiltig i mars 2023 och skapar ett separat flöde av så kallade UserOperations, samlade av bundlers och verifierade av ett gemensamt EntryPoint-kontrakt utan att blockkedjans grundregler behövde ändras. Den senaste versionen, EntryPoint v0.8, lade till inbyggt stöd för EIP-7702, enligt eth-infinitisms utgåvor på GitHub. Vi har gått igenom hela grunden i vår guide till account abstraction och plånböcker, och den här artikeln bygger vidare på den.

Två spår är värda att hålla isär. ERC-4337 bygger ett helt nytt konto som är ett smart kontrakt från början. EIP-7702, som gick live i Ethereums Pectra-uppgradering den 7 maj 2025, tar den motsatta vägen: den låter en vanlig EOA tillfälligt peka på kontraktskod och därmed bete sig som ett smart konto utan att byta adress. Marius van der Wijden, kärnutvecklare i Ethereum, har beskrivit att förslaget lägger till en transaktionstyp som låter befintliga plånböcker efterlikna funktionerna hos account abstraction-konton, samtidigt som han varnade för att alla skarpa kanter måste utvärderas noga, enligt DL News. För spel spelar det mindre roll vilken väg som väljs; poängen är att kontot kan programmeras, och det är där session keys kommer in.

Session keys: nyckeln som bara får göra en enda sak

En session key är en tillfällig signeringsnyckel som ditt smarta konto tillåter att agera inom snävt definierade gränser, utan att någonsin exponera huvudnyckeln. Tänk dig att du sätter dig ner för att spela ett strategispel. I stället för att godkänna varje drag ger du spelet en session key med tre begränsningar: den får bara anropa just det spelets kontrakt, den får spendera högst ett visst belopp, och den upphör att gälla efter till exempel fyra timmar. Under den sessionen körs alla dina drag tyst i bakgrunden, utan en enda popup. När tiden går ut, eller när du loggar ut, slutar nyckeln att fungera.

Det avgörande är att en session key är avsiktligt svag. Den är inte en kopia av din huvudnyckel utan en starkt begränsad fullmakt. Om spelets servrar skulle läcka nyckeln kan en angripare i värsta fall utföra just de handlingar som nyckeln redan var begränsad till, inom det tak och den tidsram du satt, och inte röra resten av din plånbok. Det är samma logik som ett hotellkort som bara öppnar ett rum under en helg, inte huvudnyckeln till hela byggnaden. Session keys är därför själva mekanismen bakom det som spelare upplever som ett flyt: du signerar en gång, sedan spelar du.

Session keys används redan i produktion på spelkedjor som Immutable, Ronin och Arbitrum Nova, där de gör det möjligt att leverera en upplevelse nära konsolstandard direkt på kedjan. Tekniken är dock inte magisk: den kräver att plånboken, spelet och den underliggande standarden är överens om exakt vad nyckeln får göra och hur den återkallas.

ERC-7715 och ERC-7710: standarderna bakom behörigheterna

Länge byggde varje projekt sina session keys på sitt eget sätt, vilket gjorde dem svåra att lita på och omöjliga att flytta mellan plånböcker. Under 2025 och 2026 har två Ethereum-standarder försökt reda ut det. ERC-7715 introducerar en JSON-RPC-metod som heter wallet_grantPermissions, där en applikation ber plånboken om en avgränsad, tidsbegränsad behörighet i stället för att be om en signatur per handling. Applikationen frågar en gång om rätten att spendera upp till ett visst värde, mot ett visst kontrakt, fram till ett visst utgångsdatum; därefter agerar den inom den ramen medan plånboken vaktar gränserna. Standarden beskrivs i det officiella ERC-7715-dokumentet och hade fortfarande utkaststatus under 2026. Ett kompletterande förslag, ERC-7710, definierar hur ett smart konto kan delegera behörighet vidare till en annan kontraktsadress på ett kontrollerat sätt.

Den mest synliga implementeringen kommer från MetaMask, vars Delegation Toolkit (tidigare Delegation Framework) låter utvecklare be om just den här typen av avgränsade behörigheter från MetaMask Smart Accounts, dokumenterat på metamask.io. Alex Jupiter, senior produktchef på MetaMask, har argumenterat för att EIP-7702 och de standarder som byggs ovanpå samlar branschens tidigare spretiga försök till account abstraction till en enda gemensam färdplan, enligt DL News. För spelstudior är poängen praktisk: ju mer behörigheterna standardiseras, desto lättare blir det att bygga en session som fungerar likadant oavsett vilken plånbok spelaren råkar ha.

Paymasters och ekonomin bakom gasfritt spel

Session keys tar bort popup-rutorna, men de tar inte bort gasen. Ingen ny spelare vill äga ETH bara för att kunna öppna en kista. Här kommer paymasters in: ett smart kontrakt som betalar transaktionsavgiften åt spelaren. Studion, eller en sponsor, tankar paymasterkontraktet, och spelaren märker aldrig att det kostar något. Detta är den andra halvan av den osynliga plånboken, och det är ekonomiskt möjligt just nu främst tack vare att avgifterna har rasat.

På Ethereums huvudkedja låg gaspriset kring 0,13 till 0,15 gwei den 7 augusti 2026, långt under tidigare toppar, efter att större delen av aktiviteten flyttat till Layer 2-nät, enligt Etherscans gastracker. På Layer 2-nät som Base och Arbitrum ligger effektiva avgifter under 0,01 gwei, ofta motsvarande under 0,05 dollar per överföring, alltså under ungefär 0,50 kronor. För sammanhanget kostade en ether kring 18 000 kronor i början av augusti 2026 enligt CoinGecko. Ett spel med hundratals interaktioner per session skulle ändå snabbt bli dyrt om spelaren betalade själv, vilket är varför paymastern nästan alltid tar notan i moderna spelkedjor.

Modellen har en baksida värd att nämna: någon betalar alltid till slut. En studio som subventionerar all gas bär en löpande kostnad som skalar med antalet aktiva spelare, och en paymaster som är slarvigt konfigurerad kan utnyttjas av botar som spammar transaktioner för att tömma sponsorns kassa. Väl utformade paymasters begränsar därför vilka handlingar de sponsrar, ungefär som session keys begränsar vad en nyckel får göra.

Immutable Passport: plånboken som gömmer sig i spelet

Immutable Passport är kanske det tydligaste exemplet på en osynlig plånbok. Spelaren loggar in med e-post eller ett socialt konto, en inbäddad plånbok skapas i bakgrunden, och det finns inget krav på att installera ett webbläsartillägg vid första start. Enligt bolaget passerade Passport en miljon registreringar i slutet av augusti 2025, en tillväxt som delvis drevs av titeln Guild of Guardians, och verktyget marknadsförs som byggt så att spelare aldrig behöver skriva ner en startfras för vanligt spel, beskrivet av Decrypt. Kontoåterställning sker i stället via Apple- och Google-inloggning.

Bakom kulisserna kombinerar Immutable inbäddade plånböcker, session keys och gassponsring på sin egen kedja. Bolaget har uppgett att dess zkEVM-kedja levererar block på ungefär två sekunder och mer än hundra transaktioner per sekund, och under 2026 slog Immutable ihop sina tidigare kedjor Immutable X och zkEVM till en enhetlig kedja för att förenkla infrastrukturen för studior. Robbie Ferguson, Immutables medgrundare, har återkommande lyft fram att den stora vinsten ligger i att ta bort startfrasen som barriär, eftersom det är precis där mainstream-spelare hoppar av. Immutable befinner sig i samma bredare spelkrig som utspelar sig på flera kedjor, något vi tidigare beskrivit i vår genomgång av Arbitrum-spelen och kampen om Ronin.

Ronin Waypoint: Sky Mavis satsar på MPC

Sky Mavis, studion bakom Axie Infinity och spelkedjan Ronin, har valt en delvis annan teknisk väg. Ronin Waypoint är ett keyless-konto där spelaren loggar in utan tillägg eller startfras och gör transaktioner direkt i spelet. I stället för klassiska session keys bygger Waypoint på MPC (multi-party computation): den privata nyckeln delas upp i två eller fler skärvor, där en ligger på användarens enhet och en annan på Sky Mavis servrar. Skärvorna används tillsammans för att signera, men nyckeln sätts aldrig ihop i sin helhet på ett enda ställe, vilket beskrivs i Mavis dokumentation. Waypoint levereras med en Unity-SDK, vilket gör det enkelt för spelstudior att bygga in inloggningen direkt i motorn.

Sky Mavis uttalade strategi är att sänka trösklarna för vanliga spelare. Jeff Zirlin, medgrundare och tillväxtchef på bolaget, har sagt att uppdraget är att föra ekonomisk frihet till alla och att göra Ronin lättare att nå är en stor del av det, i samband med att betalningsleverantören Transak integrerades, enligt Transak. Det är värt att notera skillnaden i förtroendemodell: MPC med en serverskärva innebär att Sky Mavis är en aktiv part i signeringen, medan en ren session key-modell på ett smart kontrakt håller mer av logiken på kedjan. Båda tar bort startfrasen, men de fördelar tilliten olika.

Abstract: konsumentkedjan bakom Pudgy Penguins

Abstract är en Layer 2-kedja med uttalat konsumentfokus, byggd av teamet bakom NFT-samlingen Pudgy Penguins. Dess plånbok, Abstract Global Wallet (AGW), är ett smart kontrakt-konto som använder inbyggd account abstraction, vilket enligt Decrypt gör det möjligt att bunta transaktioner, sätta säkerhetsregler och logga in utan startfras. AGW stödjer session keys och delegerade signerare, och Abstract har lyft fram att även autonoma AI-agenter kan hålla och röra tillgångar inom strikt definierade behörighetsgränser med samma mekanism.

Just kopplingen mellan session keys och AI-agenter pekar mot nästa fas. En agent som handlar åt dig är i praktiken en session key med ett tydligt syfte: den ska kunna köpa ett föremål eller lägga ett bud, men inte tömma kontot. Den som bygger sådant flyttar risken från vad protokollet gör till vad behörigheten tillåter, en poäng som återkommer i säkerhetsavsnittet nedan. Abstract är också ett exempel på hur en kultur av byggande driver den här utvecklingen, ett fenomen vi utforskat i vår text om builder-kulturen inom krypto.

Move-kedjorna: zkLogin och keyless-konton på Sui och Aptos

Move-kedjorna Sui och Aptos angriper samma problem från ett annat håll och bakar in lösningen på protokollnivå. Suis zkLogin låter spelaren logga in med en tjänst hen redan använder, som Google, Apple eller Twitch, varefter en Sui-adress härleds direkt från OAuth-uppgiften i stället för från en traditionell privat nyckel. Ett nollkunskapsbevis kopplar inloggningen till adressen utan att avslöja e-postadressen på kedjan, vilket beskrivs i Suis dokumentation. I december 2025 lanserades sandlådespelet Super-B på Epic Games Store med valfria Sui-funktioner byggda på zkLogin och sponsrade transaktioner. Hur spelen faktiskt byggs på Move har vi gått igenom i Sui gaming förklarat.

Aptos har en näraliggande lösning i sina keyless-konton, definierade genom AIP-61. Här knyts ett OpenID Connect-konto, alltså en vanlig Google- eller Apple-inloggning, till ett självförvarat blockkedjekonto med hjälp av nollkunskapsbevis, dokumenterat på Aptos utvecklarsidor. Plånboken Aptos Connect gör detta till en inloggning i ett klick och integreras genom Aptos wallet adapter. Skillnaden mot Ethereum-modellen är att keyless och zkLogin inte kräver ett separat lager av bundlers och paymasters på samma sätt, utan är inbyggda primitiver. Vill du fördjupa dig i Aptos som spelplattform finns vår guide till Aptos spelekosystem.

Fem vägar till samma mål: en jämförelse

De fem lösningarna ovan når samma användarupplevelse, inloggning utan startfras och spel utan popup, men de gör det med olika förtroendemodeller. Tabellen nedan sammanfattar hur de skiljer sig åt. Notera att keyless och zkLogin bygger på nollkunskapsbevis snarare än på session keys i ERC-mening, medan Immutable, Ronin och Abstract lever i ett landskap av smarta konton, MPC och delegerade behörigheter.

Ingen av modellerna är objektivt bäst. En studio som vill ha maximal kontroll och en välkänd Ethereum-verktygslåda lutar mot ERC-4337 och session keys. En studio som prioriterar enklast möjliga inloggning för spelare som aldrig hört talas om krypto kan föredra zkLogin eller keyless, där hela nyckelhanteringen sköts av protokollet. Ronins MPC-väg ligger däremot mittemellan och förlitar sig mer på studions egna servrar.

Privy, Sequence och den osynliga plånbokens industri

Bakom de spelvända plånböckerna växer en hel infrastrukturindustri vars enda uppgift är att göra plånboken osynlig. Privy, som bygger inbäddade plånböcker åt appar, uppgav sig driva mer än 75 miljoner plånböcker åt över tusen team när betaljätten Stripe köpte bolaget i juni 2025, en affär som följde på Stripes förvärv av stablecoin-bolaget Bridge för 1,1 miljarder dollar, enligt CoinDesk. Att en av världens största betalningsaktörer köper plånboksinfrastruktur säger något om vart det här är på väg: den osynliga plånboken är inte en nischprodukt utan en onboardingkanal.

På spelsidan har Sequence, som levererar inbäddade plånböcker till Immutables ekosystem, hävdat att dess lösning konverterar dubbelt så många spelare till betalande innehavare jämfört med andra plånböcker, enligt bolagets egen redogörelse. Siffran kommer från leverantören själv och bör läsas därefter, men riktningen bekräftas av bredare data: när plånboken slutar vara ett hinder stannar fler spelare kvar och spenderar. Det är den kommersiella logik som driver hela investeringen i session keys, paymasters och keyless-konton.

Det bredare Ethereum-ekosystemet ger perspektiv på skalan. Safe, den ledande leverantören av smarta konton för mer avancerade användare och organisationer, behandlade nästan 130 miljoner transaktioner och förvaltade över 27 miljarder dollar i tillgångar under andra kvartalet 2026, enligt The Block. Smarta konton är alltså inte längre ett experiment i marginalen, utan ryggraden i en växande del av kedjan, och analysverktyg som BundleBear följer hur miljontals sådana konton växer fram.

Säkerheten: när en tillfällig nyckel blir en läcka

En session key är bara så säker som de begränsningar den bär. Den vanligaste svagheten är övergenerösa behörigheter: om en nyckel får anropa för många kontrakt, spendera för stora belopp eller leva för länge, så gör orden tillfällig och begränsad inte längre något verkligt arbete. En andra risk är dålig återkallning: om en session är svår att avsluta eller lever kvar efter att spelaren trodde att den var slut, blir bekvämlighetslagret i stället en säkerhetsrisk. Branschen är dessutom inte helt standardiserad, vilket betyder att olika plånböcker hanterar behörighet, utgång och återkallning olika bra, något säkerhetsföretaget Openfort betonar i sina rekommendationer för smarta plånböcker.

Den nya transaktionstypen i EIP-7702 har redan visat sin baksida. Kort efter Pectra fann analysföretaget Wintermute att mer än 97 procent av de tidiga delegeringarna pekade på återanvänd skadlig kod, döpt CrimeEnjoyor, byggd för att automatiskt tömma plånböcker, även om just de fallen inte var lönsamma eftersom de riktade sig mot redan länsade konton, enligt CoinDesk. Den goda nyheten är att den bredare trenden pekar rätt håll: förlusterna till plånbokstömmare föll med 83 procent under 2025, till 83,85 miljoner dollar, enligt data från Scam Sniffer refererad av Cointelegraph, delvis tack vare tydligare signering.

Praktiskt betyder detta att du bör granska aktiva session keys och delegeringar regelbundet, återkalla dem som är äldre eller bredare än väntat, och vara särskilt försiktig med blind signering, alltså att godkänna något vars innehåll du inte kan läsa. Standarden ERC-7730 för tydlig signering syftar just till att visa vad du faktiskt godkänner. När något ändå går fel är det ofta forensiker som nystar upp händelseförloppet, en bransch vi porträtterat i vår text om forensiken bakom kryptohacken.

Finansinspektionen, MiCA och frågan om självförvaring

För svenska spelare och studior finns en regulatorisk dimension som är lätt att missa. Sedan MiCA-förordningen gäller direkt i Sverige är det Finansinspektionen (FI) som är behörig myndighet för kryptotillgångar. Från den 1 oktober 2025 måste varje kryptoföretag som betjänar svenska kunder ha ansökt om tillstånd hos FI eller upphöra med verksamheten, och företag som redan var registrerade hade fram till den 30 september 2025 på sig att söka. FI publicerar löpande vägledning och varningar på fi.se.

Här ligger en viktig gränsdragning. Ren självförvaring, där du ensam kontrollerar ditt smarta konto, faller normalt utanför MiCA:s regler om kryptotillgångstjänster, eftersom ingen mellanhand förvarar dina tillgångar åt dig. Men de spelvända lösningarna suddar ofta ut den gränsen. När Sky Mavis håller en nyckelskärva åt dig, när en molntjänst lagrar din passkey, eller när en studio driver återställning via Apple och Google, uppstår en gråzon där en aktör de facto har inflytande över dina medel. Bedömningen av om en tjänst är förvaring eller inte avgör om den behöver FI-tillstånd, och den bedömningen görs på funktion, inte på marknadsföringsspråk. Kryptoderivat, som eviga terminer på spelrelaterade tokens, faller dessutom under MiFID II och inte under MiCA, med marknadstillsyn hos FI.

För en spelare är den praktiska slutsatsen enkel. Fråga vem som faktiskt kan flytta dina tillgångar om din inloggning försvinner. Är svaret bara du, har du självförvaring med de risker och det ansvar det innebär. Är svaret att en studio eller en leverantör kan återställa eller signera åt dig, har du bytt bort en del av kontrollen mot bekvämlighet, och då är det värt att veta om den aktören står under tillsyn. Att kritiskt granska hur grundare och bolag beskriver sina egna produkter är en vana värd att odla, något vi resonerar kring i vår guide till att läsa kryptogrundare kritiskt.

Vanliga frågor

Vad är en session key i ett kryptospel?

En session key är en tillfällig signeringsnyckel som ditt smarta konto tillåter att agera inom snäva gränser, till exempel bara mot ett visst spels kontrakt, upp till ett visst belopp och under en begränsad tid. Du godkänner den en gång, och sedan kan spelet utföra dina drag utan att fråga om signatur för varje handling. När tiden går ut eller du loggar ut slutar nyckeln att fungera, och din huvudnyckel exponeras aldrig.

Är gasfria kryptospel verkligen gratis?

De är gratis för spelaren men inte för alla. En paymaster, ett smart kontrakt som betalar transaktionsavgiften, tankas av studion eller en sponsor, som därmed bär kostnaden. På Layer 2-nät är avgifterna små, ofta under en halv krona per transaktion, men för ett spel med hundratals interaktioner per session summerar det ändå, vilket är varför sponsringen finns.

Behöver jag skriva ner en startfras för spel som Guild of Guardians?

Nej, inte för vanligt spel. Plånböcker som Immutable Passport, Ronin Waypoint och Aptos Connect låter dig logga in med e-post eller ett socialt konto och sköter nyckelhanteringen i bakgrunden. Återställning sker via din Apple- eller Google-inloggning i stället för via en tolv ord lång startfras. Vill du senare exportera eller flytta tillgångarna kan mer avancerade steg tillkomma, men själva spelet kräver ingen startfras.

Är session keys säkra?

De är säkra så länge deras begränsningar är snäva och de går att återkalla. Den största risken är övergenerösa behörigheter eller nycklar som lever kvar för länge. Granska aktiva session keys regelbundet, återkalla dem du inte känner igen, och undvik att godkänna handlingar vars innehåll du inte kan läsa. Eftersom standarderna ännu inte är helt enhetliga hanterar olika plånböcker återkallning olika bra.

Gäller Finansinspektionens regler för spelplånböcker?

Det beror på om tjänsten räknas som förvaring. Ren självförvaring, där bara du kontrollerar kontot, faller normalt utanför MiCA och därmed utanför kravet på FI-tillstånd. Men om en studio eller leverantör håller en nyckelskärva eller kan återställa ditt konto åt dig kan tjänsten bedömas som en kryptotillgångstjänst som behöver tillstånd. Bedömningen görs på funktion, inte på hur produkten marknadsförs.

Av Johan Ekström, senior redaktör på HOGE Wire med fokus på plånböcker, spelkedjor och regelverk.