Account abstraction 2026: när du signerar kod, inte pengar

Account abstraction har gått från forskningsidé till infrastruktur på mindre än två år. När detta skrivs handlas Ethereum runt 2 500 dollar, ungefär 24 000 kronor (CoinGecko, med en dollarkurs kring 9,59 enligt exchangerates.org.uk), och tekniken som förvandlar ett vanligt konto till ett programmerbart smart konto sitter nu i tiotals miljoner plånböcker. ERC-4337 har passerat 1,27 miljarder UserOps och drygt 65 miljoner aktiva konton, medan EIP-7702 efter Pectra har loggat över 241 miljoner auktoriseringar (BundleBear). Bakom siffrorna döljer sig en obekväm insikt: account abstraction flyttar beslutet om vad som får hända med dina pengar från en fast regel, en nyckel och en signatur, till godtycklig kod. Och 2026 visar att det är där, i själva verifieringen, som pengarna läcker.

Den här texten är en genomgång av var account abstraction faktiskt står i dag: vad tekniken gör, varför den är så attraktiv för både plånböcker och börser, och varför den svåraste olösta frågan inte handlar om kryptografi utan om något mer mänskligt, nämligen om du kan förstå vad du godkänner när du trycker på signera.

Vad account abstraction faktiskt ändrar

Ett klassiskt Ethereum-konto kallas EOA, externally owned account. Det styrs av exakt en sak: en privat nyckel. Har du nyckeln kan du göra allt, saknar du den kan du inget göra. Det finns ingen mellannivå, ingen utgiftsgräns, ingen andra faktor och ingen ångerknapp. Signaturen är hela regelverket.

Account abstraction river den regeln och lägger logiken för vem och vad som får godkänna en transaktion i en smart contract i stället. Plötsligt kan ett konto kräva två av tre signaturer, tillåta en spelapp att signera åt dig i en timme, betala nätverksavgiften i USDC i stället för ETH, sätta ett tak på hur mycket som får skickas per dygn eller återställas av betrodda kontakter om du tappar din enhet. Det är samma grundidé som gör att en företagskassa kan ha attesträtt och en bankapp kan ha ett dagligt uttagstak, fast inbyggt i själva kontot. Just den här sammansmältningen mellan plånbok och konto är temat i vår genomgång av hur börsen blir din plånbok.

Vinsten är uppenbar: mjukare inloggning, färre irriterande bekräftelser, försvunna frön som inte längre är en dödsdom. Men bytet har en baksida som sällan står i marknadsföringen. När reglerna blir kod blir säkerheten en fråga om du kan lita på koden, och om du kan se vad den gör innan du släpper in den.

Tre vägar till ett smart konto

Det finns i praktiken tre sätt att få ett smart konto 2026, och de skiljer sig i hur djupt de griper in i Ethereum. ERC-4337 blev slutgiltig i mars 2023 och bygger smarta konton ovanpå kedjan utan att ändra protokollet. I stället för vanliga transaktioner skickar användaren så kallade UserOps genom ett separat flöde, där bundlers paketerar dem och ett gemensamt EntryPoint-kontrakt kör valideringen. Paymasters kan betala avgiften. Ingen konsensusändring krävs, men det tillkommer en helt egen infrastruktur (eips.ethereum.org).

EIP-7702 kom med Pectra-uppgraderingen den 7 maj 2025 och tar en genväg. En ny transaktionstyp, 0x04, låter din befintliga EOA tillfälligt peka på ett smart kontrakt via en designator på 23 byte (0xef0100 följt av kontraktets adress). Du behåller samma adress och samma saldo, men kontot lånar kontraktets logik. Det går att nollställa genom att peka om till nulladressen (eips.ethereum.org). Den tredje vägen är native account abstraction, där smarta konton byggs in i protokollet självt. Den är ännu inte i skarp drift, men det är dit hela ekosystemet siktar.

Att det blev just så här är ingen slump. Ett tidigare förslag, EIP-3074, hade gett vanliga konton smarta funktioner via nya opkoder, men det krävde en särskild betrodd aktör och lades ned. ERC-4337 valde i stället att undvika protokolländringar helt, till priset av en egen parallell infrastruktur. EIP-7702 blev kompromissen: en liten protokolländring som gav de befintliga hundratals miljoner EOA-konton tillgång till smart logik utan att de behövde flytta till en ny adress. Det är därför 7702 spreds så snabbt; det mötte användarna där de redan var.

En viktig varning om siffrorna: de över 241 miljoner 7702-auktoriseringar som BundleBear visar är kraftigt uppblåsta av automatiserade sweeper-kontrakt som återanvänder samma kod. Antalet faktiskt aktiva delegeringar ligger på drygt 56 miljoner. Blanda inte ihop bruttoräkningen med verklig användning.

Vilka bygger smarta konton

Landskapet 2026 är inte längre en handfull experiment. På infrastruktursidan är Safe den tyngsta aktören för organisationer och kassor, med smarta konton som förvarar mångmiljardbelopp åt DAO:er och företag. På konsumentsidan har Coinbase byggt om sin Smart Wallet till Base Account, med inloggning via passkey och utan frö, medan MetaMask erbjuder Smart Accounts där EIP-7702 är den primära uppgraderingsvägen för befintliga plånböcker. Ambire var först ut med ett 7702-baserat konto, och Argent har bytt namn till Ready och riktar in sig på mobil.

Under ytan pågår en standardstrid om hur dessa konton ska byggas modulärt, mellan ERC-7579 och det tyngre ERC-6900 (eips.ethereum.org). Poängen för en användare är inte att välja sida i den striden, utan att inse att ett smart konto i praktiken är en plattform där olika moduler och kontrakt kan installeras. Ju mer som kan installeras, desto större blir den yta som måste granskas, vilket för oss tillbaka till samma fråga: kan du lita på koden, och kan du se vad den gör?

Löftet: gasfritt, buntning och sessionsnycklar

För att förstå varför både plånböcker och börser satsar tungt på account abstraction måste man se vad den faktiskt löser i vardagen. Tre funktioner sticker ut. Den första är gasfrihet. Med en paymaster kan appen antingen bjuda på nätverksavgiften eller låta dig betala den i en stablecoin i stället för ETH. Circles paymaster gör precis det, med gas betald i USDC på Arbitrum och Base mot ett påslag på runt tio procent (Circle). För en ny användare betyder det att man kan göra sin första transaktion utan att först behöva köpa ETH bara för avgiften.

Den andra är buntning. Ett smart konto kan slå ihop flera steg, till exempel ett godkännande och en swap, till en enda signatur i stället för två separata bekräftelser. Den tredje, och för spel den viktigaste, är sessionsnycklar. Standarden ERC-7715 låter en app be om en avgränsad, tidsbegränsad fullmakt: signera en gång, spela en timme utan en popup för varje drag (eips.ethereum.org). MetaMask paketerar detta som Advanced Permissions (metamask.io). Samma mekanik driver också AI-agenter som handlar åt dig, ett tema vi tittat närmare på i texten om när kontot agerar utan dig. Under huven gör passkeys och P-256-kurvan detta bekvämt; RIP-7212 sänker kostnaden för att verifiera en sådan signatur från runt 300 000 till cirka 3 450 gas (Alchemy).

Till listan hör också sådant som gör vardagen tryggare snarare än snabbare. Ett smart konto kan ha social återställning, där ett antal betrodda kontakter eller enheter kan hjälpa dig tillbaka in om du tappar din nyckel, samt hårda utgiftsgränser som stoppar en tömning även om en enskild signatur läcker. Passkeys, som bygger på samma P-256-kurva, gör inloggningen lika enkel som att låsa upp telefonen; enligt FIDO Alliance fanns runt fem miljarder passkeys i bruk i världen i maj 2026 (FIDO Alliance). För en vanlig användare är det här, inte gasfriheten, som ofta är den verkliga dragningskraften.

Allt detta är genuint bra. Men varje funktion i listan har en gemensam nämnare: den flyttar mer beslutskraft in i kod som körs åt dig, ofta utan att du ser exakt vad koden gör. Det är där problemet börjar.

Problemet: du signerar kod, inte en betalning

Med ett vanligt konto signerar du en betalning: skicka X till adress Y. Med ett smart konto signerar du ofta något mycket mer öppet, en fullmakt eller en kodinstallation, vars konsekvenser inte syns i det du ser på skärmen. En 7702-auktorisering flyttar inga pengar i signeringsögonblicket; den installerar bara kod. Just därför ser den harmlös ut. Och det är precis den egenskapen som angripare utnyttjar.

Det tydligaste beviset är fortfarande Bybit-stölden. Den 21 februari 2025 försvann runt 1,5 miljarder dollar, över 400 000 ETH och stakade varianter, i den största kryptostölden någonsin. Det var inte ett fel i Safe-kontraktet. Angripare kopplade till Lazarus komprometterade en utvecklarmaskin hos Safe och injicerade skadlig JavaScript i gränssnittet, riktad mot Bybits signerare. På skärmen syntes en normal överföring, men det som faktiskt signerades var ett delegatecall som bytte ut kontots implementation mot en angriparkontrakt (NCC Group). Hårdvaruplånboken visade bara en hash. Signerarna såg en sak och godkände en annan.

Ledgers teknikchef Charles Guillemet har sammanfattat kärnan i problemet: den avgörande frågan vid varje signatur är “are you claiming an airdrop, or giving a malicious contract permission to drain your wallet?” (NFT Plazas). Att blint godkänna det du inte kan läsa är den gemensamma nämnaren i nästan varje stor förlust, och account abstraction gör problemet större eftersom det som signeras allt oftare är logik, inte en enkel överföring. Vi går igenom signeringsmomentet i detalj i artikeln om EIP-7702 och blindsignering.

Clear signing och ERC-7730: att göra avsikten läsbar

Svaret som branschen samlats kring heter clear signing. I stället för att visa rådata eller en hash översätts transaktionen till läsbar text, så att du ser mottagare, belopp och vilken funktion som anropas. Principen brukar kallas WYSIWYS, what you see is what you sign. Standarden bakom kallas ERC-7730 och började som ett Ledger-initiativ 2023. Den 12 maj 2026 överlämnade Ledger registret till Ethereum Foundation som neutral förvaltare, med uttalade målet att clear signing ska vara förval snarare än en funktion (Ethereum Foundation). Bland dem som stöttar registret finns MetaMask, Trezor, WalletConnect och Fireblocks.

Tekniskt är ERC-7730 ett register av JSON-beskrivningar som berikar kontraktens gränssnitt så att en plånbok vet hur ett anrop ska visas för människor (eips.ethereum.org). Problemet är täckningen. Om ingen har skrivit en beskrivning för just det kontrakt du interagerar med faller plånboken tillbaka på rådata, och du är tillbaka i blindsignering. Clear signing är alltså en enorm förbättring, men den skyddar bara de kontrakt som redan är kartlagda. För allt nytt, och angripare bygger nytt hela tiden, finns inget skydd i förväg.

Simulering skulle lösa det. Ny forskning visar att den kan luras

Nästa försvarslinje är transaktionssimulering. Innan du signerar kör plånboken transaktionen i en sandlåda och visar dig vad som skulle hända: du får plus 100 USDC, du förlorar en NFT, ditt saldo ändras med noll. MetaMask, Rabby och andra bygger den här förhandsvisningen rakt in i signeringsskärmen, och tanken är elegant. Du behöver inte längre kunna läsa bytekod, du behöver bara läsa resultatet.

Men i en förhandspublicerad studie (arXiv, ännu inte kollegialt granskad) visar forskare från bland annat Stevens Institute of Technology och Hong Kong Polytechnic University att simuleringen själv går att lura. Attacken kallas transaction simulation phishing. Idén är att bygga kontrakt vars beteende beror på tillstånd som ändras mellan simuleringen och den verkliga körningen: kontraktet visar en godartad förhandsvisning, med en liten vinst, och styr sedan om pengarna vid själva utförandet med hjälp av lagringsmanipulation, tidsstämplar eller gaskontroll. Forskarna kopplade 4 224 sådana phishingkontrakt till 5 742 offer och upp till 3,48 miljoner dollar i förluster, över fyra kedjor (Ethereum, BNB Smart Chain, Avalanche och Polygon), varav 91,5 procent av förlusterna på Ethereum (arxiv.org). Deras detektor SimGuard identifierade kontrakten utifrån bytekoden.

Det mest oroande var testet av plånböckerna själva. När forskarna körde de skadliga kontrakten genom populära plånböcker, däribland MetaMask, Rabby och Phantom, visade de flesta missvisande resultat. I vissa fall angav MetaMask att transaktionen skulle öka saldot med mindre än 0,000001 ETH, en förhandsvisning som i praktiken var meningslös (CryptoSlate). Poängen är inte att simulering är värdelös, utan att den är ett lager, inte en garanti. Varje verktyg vi litar på för att slippa läsa koden kan i sin tur manipuleras, och det är den strukturella svagheten i hela account abstraction-modellen.

CrimeEnjoyor och sweeper-ekonomin

En del av de skrämmande adoptionssiffrorna för EIP-7702 är i själva verket brottsverktyg. Kort efter Pectra fann analysföretaget Wintermute att över 97 procent av de tidiga delegeringarna pekade på identisk, återanvänd kod som fått smeknamnet CrimeEnjoyor. Runt 2,88 ETH auktoriserade cirka 79 000 adresser, och ett enda kontrakt hanterade över 52 000 av dem (CoinDesk). Det låter dramatiskt, men nyansen är viktig: det här är automatiska sweepers som tömmer redan komprometterade konton så fort en droppe ETH landar. Det är inte ett fel i 7702, och det är knappt lönsamt, eftersom de flesta av kontona redan är tomma.

Det säger ändå något om ekosystemet. Account abstraction gör det billigare och smidigare att automatisera både legitima och illegitima flöden. Samma primitiv som låter en spelapp signera åt dig i en timme låter en angripare tömma en läckt nyckel mer effektivt. Tekniken är neutral; det är verifieringen och nyckelhanteringen som avgör vem som vinner.

Vad datan säger: USENIX, Scam Sniffer och 1,54 miljoner dollar

Den mest omfattande genomgången kommer från en empirisk studie som presenteras på USENIX Security 2026. Forskarna granskade 22,8 miljarder transaktioner över sju kedjor och analyserade 3 664 166 EIP-7702-auktoriseringar, varav drygt 63 procent var kopplade till skadliga kontrakt. De bekräftade manuellt 924 distinkta skadliga kontrakt och uppskattade cirka 2,36 miljoner dollar i realiserade förluster plus omkring 10,14 miljoner dollar i exponering (USENIX, sammanfattad av CryptoSlate). Här behövs samma försiktighet igen: de 63 procenten räknar transaktioner, inte unika användare eller dollar, eftersom angriparkontrakten återanvänds oproportionerligt. Det är ett wallet- och signeringsproblem, inte ett protokollfel.

Zoomar man ut ser bilden faktiskt bättre ut på ett plan. Enligt Scam Sniffer föll de totala phishingförlusterna 83 procent under 2025, till cirka 83,85 miljoner dollar, från runt 494 miljoner året innan, och antalet drabbade plånböcker sjönk 68 procent till omkring 106 000 (Cointelegraph). Men de enskilda smällarna blev större. I augusti 2025 förlorade ett offer 1,54 miljoner dollar i en enda 7702-relaterad phishingtransaktion, förklädd till ett vanligt DeFi-anrop (Cryptopolitan). Färre offer, men dyrare misstag, och nästan alltid samma grundorsak: någon godkände något de inte kunde läsa. Vi har grävt djupare i den här datan i genomgången av EIP-7702:s mörka sida.

Börsen och förvararen: 23-byte-designatorn och insättningsadresser

Account abstraction är inte bara en plånboksfråga; den landar hårt på börsernas och förvararnas bord. När en vanlig adress kan bära kod förändras insättnings- och uttagsflöden. En börs måste nu kunna läsa 0xef0100-designatorn på 23 byte och avgöra om en inkommande eller utgående adress är delegerad, och i så fall till vad. En delegerad insättningsadress kan i värsta fall vara riggad att svepa vidare medel så fort de landar, vilket komplicerar de konsolideringssvep som börser rutinmässigt gör. Ansvaret att screena den koden hamnar på plattformen. Hur detta hanteras i praktiken gick vi igenom i artikeln om hur börsen hanterar ditt smarta konto.

Förvararnas svar har till stor del blivit MPC, där nyckeln aldrig existerar som en hel enhet utan delas mellan parter, kombinerat med policyer i backend. Fireblocks har varit tydliga i sin vägledning: en enda skadlig delegering är allt som behövs, så delegera bara till fullständigt granskade och betrodda kontrakt, och håll 7702 till hot wallets med begränsat värde snarare än till kalla förvar (Fireblocks). Poängen är att koden i ett smart konto utökar det som måste granskas, inte ersätter granskningen.

Samtidigt suddas gränsen mellan börs och plånbok ut från andra hållet. Coinbase lanserade inbäddade plånböcker i allmän tillgänglighet i oktober 2025, där nycklarna ligger i en säker enklav som bolaget uppger sig inte kunna nå, och Stripe köpte plånboksföretaget Privy i juni 2025 (CoinDesk). Resultatet är konton som känns som ett vanligt appkonto men som tekniskt sett är självförvar. Bekvämt för användaren, men det gör frågan om vad som egentligen är självförvar, och vem som i praktiken kan agera på kontot, allt svårare att besvara.

Och hårdvaran räcker inte i sig. Odysseus, grundare av säkerhetsföretaget Phylax, satte fingret på det efter Bybit: “a hardware wallet is pointless if the transaction is signed on an internet-connected laptop or phone” (The Block). En hårdvaruplånbok skyddar nyckeln, men inte mot att du godkänner fel sak på en infekterad enhet. Det är samma verifieringsproblem, en nivå upp.

Vem betalar? Paymaster-ekonomin och centraliseringsrisken

Gasfritt betyder aldrig gratis, det betyder bara att någon annan betalar. Paymasters kommer i huvudsak i tre varianter: ren sponsring, där appen står för avgiften som en kundanskaffningskostnad; ERC-20-läge, där du betalar i en stablecoin med ett påslag som täcker växelkurs och drift; och verifierande läge, där en signerare i backend avgör per förfrågan om avgiften ska bäras. Ekonomin gör att account abstraction främst blir vettig på L2, där en sponsrad transaktion kostar ören snarare än kronor. På Ethereums huvudnät kan samma operation kosta betydligt mer, vilket i praktiken koncentrerar aktiviteten till billigare kedjor.

Storleksordningarna är värda att känna till. En sponsrad operation på Ethereums huvudnät kan kosta motsvarande tiotals kronor, medan samma operation på en L2 som Base eller Arbitrum ofta landar på bråkdelar av en krona. För en app med tiotusentals aktiva användare blir skillnaden mellan huvudnät och L2 snabbt månadskostnader som avgör om gasfrihet över huvud taget är en hållbar affärsmodell. Det är den tysta ekonomiska kraft som driver nästan all account abstraction till lager två.

Det finns en mindre synlig risk i denna ekonomi: centralisering. Både bundlers och paymasters domineras av ett fåtal aktörer, och Vitalik Buterin har varnat för att beroendet av relayer och bundlers blir en källa till skörhet, eftersom det saknas en alternativ väg in i blocket om de vägrar. Native account abstraction och mekanismer som FOCIL, en inkluderingslista som slumpvis utser validerare som måste ta med transaktioner, är delvis svar på just detta. För en användare är det värt att notera att gasfriheten du njuter av vilar på infrastruktur som i sig är en förtroendefråga, precis som verifieringen.

Regelverket: är ett smart konto självförvar enligt FI och MiCA?

För svenska användare är den regulatoriska gränsdragningen både enkel och grumlig. Enkel: att använda ren självförvarad plånboksmjukvara är inte en tillståndspliktig verksamhet. Grumlig: så fort ett smart konto lutar sig mot en tjänst, molnbaserade passkeys, tredjepartsåterställning, paymaster-as-a-service eller en MPC-nyckeldel som en leverantör håller, hamnar man i en gråzon. Är en nyckeldel ett tillståndspliktigt åtkomstmedel? Den frågan är inte slutgiltigt avgjord på EU-nivå.

Ramen är MiCA, som i Sverige övervakas av Finansinspektionen. Företag som förvarar krypto åt andra eller driver en handelsplats behöver tillstånd som CASP, och sedan den 1 oktober 2025 måste varje kryptoföretag som riktar sig till svenska kunder ha ansökt hos FI eller avveckla verksamheten (Finansinspektionen). MiCA täcker spothandel och tjänster; kryptoderivat som eviga terminer faller i stället under MiFID II och tillsynen av värdepappersmarknaden (FI om MiCA).

Den mest praktiska svenska detaljen är skatten. Skatteverket ser varje byte mellan kryptotillgångar som en avyttring, och det gäller även när du betalar nätverksavgiften i en stablecoin via en paymaster. En plånbok som gör mikrobetalningar i USDC kan alltså tyst generera en rad skattepliktiga avyttringar som ska redovisas i K4, med 30 procent i kapitalskatt och genomsnittsmetoden för anskaffningsvärdet (Skatteverket). Bekvämligheten i account abstraction har med andra ord en pappersarbetskostnad som sällan nämns.

Vägen framåt: native account abstraction, EIP-8141 och EIP-8130

Slutmålet är att göra smarta konton till en del av Ethereum självt, så att man inte längre behöver vare sig en separat 4337-infrastruktur eller en 7702-genväg. Under All Core Developers-samtalet den 27 augusti 2026 flyttades EIP-8141, som inför så kallade frame transactions, från Considered for Inclusion till Scheduled for Inclusion för Hegotá-uppgraderingen (Crypto Briefing). Hegotá planeras till 2027, efter Glamsterdam som väntas i slutet av 2026. Utvecklarna har alltså bundit sig till att leverera native account abstraction, men lämnat den exakta implementationen öppen.

Parallellt driver Base ett eget förslag, EIP-8130, som bygger konfigurerbara konton med fasta autentiseringstyper i stället för godtycklig valideringslogik. Det ska enligt Bases egen ingenjörsblogg sänka gasen för en USDC-överföring med 63,2 procent, från 125 000 till 46 000 (Base). Men lanseringen har glidit: EIP-8130 körs fortfarande bara på Bases Vibenet-devnet, och något skarpt datum för huvudnät finns ännu inte. Marius van der Wijden, Ethereum-kärnutvecklare, har fångat läget med en nykter kommentar om native AA-förslagen: “It’s still a very early proposal, so we need to evaluate all the rough edges” (DL News).

Det är värt att vara tydlig med en sak: native account abstraction löser infrastrukturproblemet, inte det mänskliga. Även när smarta konton är inbyggda i protokollet kommer du fortfarande att stå inför samma fråga varje gång du signerar, nämligen om du förstår vad koden kommer att göra. Att ta bort bundlers gör inte simuleringen ärlig.

Så skyddar du ett smart konto

Analysen mynnar ut i en praktisk hållning. Account abstraction är inte farligt i sig, men det höjer insatsen för hur du verifierar. En rimlig checklista för den som använder ett smart konto 2026:

• Läs din delegering. Verktyg som eip7702.app och Etherscan visar om din adress är delegerad och till vad; revoke.cash kan visa 7702-delegeringar men inte återkalla dem åt dig.
• Använd en plånbok som visar clear signing och simulering, men behandla båda som ledtrådar, inte som garantier.
• Skaffa en hårdvaruplånbok, men signera aldrig en transaktion från en dator eller telefon du misstänker är infekterad.
• Minimera sessionsnycklar: så litet belopp, så få kontrakt och så kort tid som möjligt.
• Delegera bara till kontrakt som är granskade och som du känner igen; nollställ delegeringen genom att peka om till nulladressen vid minsta tvivel.
• Håll värde och experiment i separata plånböcker, och verifiera insättningsadresser direkt hos börsen, inte via en länk du klickat på.

Kärnan är enkel att formulera men svår att leva efter: account abstraction gav oss programmerbara konton, och därmed ansvaret att förstå programmet. Den som internaliserar det, och som slutar behandla signeringsknappen som en formalitet, får all bekvämlighet med betydligt mindre av risken.

Frequently Asked Questions

Vad är account abstraction?

Account abstraction gör ett Ethereum-konto programmerbart. I stället för att en enda privat nyckel bestämmer allt flyttas reglerna för vad som får godkännas in i en smart contract, vilket möjliggör funktioner som gasbetalning i stablecoin, buntade transaktioner, sessionsnycklar och social återställning.

Vad är skillnaden mellan ERC-4337 och EIP-7702?

ERC-4337 bygger smarta konton ovanpå Ethereum utan att ändra protokollet, via ett separat flöde av UserOps, bundlers och ett EntryPoint. EIP-7702 kom med Pectra i maj 2025 och låter din befintliga adress tillfälligt peka på ett smart kontrakt, så att du behåller samma adress och saldo men får smarta funktioner.

Är ett smart konto säkrare än en vanlig plånbok?

Det beror på. Smarta konton kan lägga till skyddslager som utgiftsgränser, buntning och social återställning, men de flyttar också risken till kod som du måste kunna lita på och granska. Den största faran 2026 är inte protokollet utan att användare godkänner något de inte kan läsa.

Vad är blind signering och clear signing?

Blind signering är när du godkänner en transaktion utan att kunna se vad den faktiskt gör, ofta bara en hash eller rådata. Clear signing, formaliserat i ERC-7730, översätter transaktionen till läsbar text så att det du ser är det du signerar.

Behöver jag tillstånd från Finansinspektionen för ett smart konto?

Nej, att använda en självförvarad plånbok är inte en tillståndspliktig verksamhet. Däremot måste företag som förvarar krypto åt andra eller driver en handelsplats ha tillstånd som CASP under MiCA, och sedan 1 oktober 2025 måste kryptoföretag som riktar sig till svenska kunder ha ansökt hos FI eller avveckla.

Av Yuki Tanaka, senior redaktör på HOGE Wire med fokus på plånböcker, självförvar och kryptoinfrastruktur.