Kryptospel utanför Steam: så skyddar du din plånbok 2026

När Steams kryptoförbud diskuteras kokar debatten nästan alltid ner till två saker: ideologi eller pengar. Hatar Valve web3, eller skyddar bolaget bara sin trettioprocentiga andel av varje köp? De vinklarna är grundligt genomarbetade, både i vår tidigare genomgång av förbudet och sprickorna i systemet och i resten av spelpressen. Men förbudet har en tredje sida som sällan hamnar i rubrikerna, och som påverkar din privatekonomi direkt: säkerheten.

Poängen är enkel men förbisedd. Så länge du håller dig innanför Steam sköter Valve förvaringen åt dig. I samma sekund som du lämnar butiken för att spela ett blockkedjespel, på en konsol, i Epic Games Store, via en fristående klient eller på en handhållen kryptodator, byter du Valves inrutade sandlåda mot självförvaring och hela dess hotbild. Den här texten handlar om just den bytesaffären: vad Steam faktiskt skyddar dig från, var kryptospelen bor 2026, hur hotbilden ser ut i siffror, och hur du som svensk spelare kopplar in en plånbok utan att bli tömd.

Därför är Steams kryptoförbud också en säkerhetsfråga

Steam är den dominerande PC-butiken, och det gör Valves regler till en de facto-standard för hela branschen. När Valve säger nej till en spelmekanik försvinner den inte, den flyttar. Ett blockkedjespel som inte får ligga på Steam måste hitta sina spelare någon annanstans, och nästan alla de platserna har en sak gemensamt: där håller du själv nycklarna till dina tillgångar.

Det är kärnan i säkerhetsfrågan. På Steam finns ingen frö-fras (seed phrase), ingen plånbok att tömma och ingen okänd smart kontrakt att signera. Utanför Steam finns allt det. Förbudet fungerar därför, avsiktligt eller inte, som en mur mot en hel klass av bedrägerier som Valve inte vill ha in i sitt ekosystem. Det betyder inte att kryptospel är olagliga eller att alla är bluff, men det betyder att steget ut ur butiken är ett steg från förvaltad trygghet till eget ansvar. Resten av den här guiden handlar om vad det ansvaret innebär i praktiken.

Vad Valve förbjuder, och varför Newell drog i handbromsen

Regeln kom i mitten av oktober 2021 och står kvar oförändrad. Valve la till i Steams riktlinjer för vad man inte får publicera att appar ”built on blockchain technology that issue or allow exchange of cryptocurrencies or NFTs” är bannlysta. Det första spelet som åkte ut var Age of Rust från studion SpacePirate. Formuleringen är bred med flit: den träffar både kryptovalutor och NFT:er, och den träffar utbyte, inte bara utgivning.

Motiveringen från Valves medgrundare och vd Gabe Newell är i grunden en säkerhetsmotivering. Steam accepterade Bitcoin som betalning mellan april 2016 och december 2017 och drog sedan tillbaka det. Newell har berättat att bolaget upptäckte att ”50 percent of the cryptocurrency paid for transactions were fraudulent”, alltså att hälften av kryptobetalningarna var bedrägliga, med återkallade transaktioner och pengar från olagliga källor, enligt PC Gamer. Newell har samtidigt sagt att hans problem inte är tekniken i sig utan de aktörer som använder den för att lura folk och tvätta pengar, enligt Kotaku.

Det är värt att vara tydlig med en sak: Steams regel är ett privat butiksvillkor, inte en lag. Ingen svensk eller europeisk myndighet tvingar Valve att förbjuda kryptospel, och Steam är inte en kryptovalutaförmedlare i regelverkets mening. Epic valde motsatt väg. Samma vecka i oktober 2021 meddelade Epics vd Tim Sweeney att Epic Games Store välkomnar blockkedjespel så länge de följer lagen, är åldersmärkta och redovisar villkoren öppet, ett besked han lade ut på X. Två butiker, samma teknik, två helt olika riskbedömningar.

Reaktionen från web3-håll lät inte vänta på sig. Fler än tjugo NFT-utvecklare gick tillsammans med den digitala rättighetsgruppen Fight for the Future ut i ett öppet brev till Valve, men bolaget svarade aldrig offentligt och rörde inte regeln. Sedan dess har efterlevnaden blivit ojämn: titlar som håller allt blockkedjerelaterat i ett valfritt lager utanför själva spelet slinker igenom Valves granskning, medan spel som bygger sin kärna på tokens eller NFT:er nekas. Det är den gränsdragningen, inte ett totalt teknikförbud, som avgör vad som får ligga kvar i butiken.

Steams inbyggda skyddsnät: depån du inte tänker på

Det är lätt att glömma hur mycket skydd Steam bygger in, just för att det är osynligt. Din Steam Wallet är en förvaltad depå: Valve håller saldot, och pengar som ligger där kan inte försvinna för att du klickade fel på en länk. Köp är i praktiken reversibla. Valves återbetalningspolicy ger dig pengarna tillbaka inom fjorton dagar om du spelat mindre än två timmar, och betalar du med kort finns dessutom kortutgivarens återkravsmöjlighet i bakgrunden.

Kontosäkerheten är också inrutad. Steam Guard ger tvåfaktorsautentisering, det finns familjevy och köpspärrar, och dina spel och föremål ligger i Valves databas, inte i en plånbok som du ensam ansvarar för. Framför allt: det finns ingen frö-fras att förlora. Du kan återställa ett Steam-lösenord via e-post. Du kan inte återställa en borttappad frö-fras till en självförvarad plånbok, och det är precis den skillnaden som gör steget ut ur Steam till en säkerhetshändelse. Allt det här skyddsnätet är exakt det du lämnar bakom dig när ett spel kräver att du kopplar in en extern plånbok.

Kontrasten mot kedjan är total. En kortbetalning kan bestridas i månader efteråt, och en Steam-transaktion kan rullas tillbaka av Valve. En transaktion på Ethereum eller Solana är slutgiltig i samma sekund den bekräftas, utan ånger och utan mellanhand som kan gripa in. Det är själva poängen med tekniken, och samtidigt dess största fälla för en van Steam-användare. Den inrutade butiken är alltså inte bara en begränsning, den är en försäkring du inte betalar för separat, och som helt upphör att gälla i det ögonblick du signerar din första transaktion utanför muren.

Var kryptospelen bor 2026: utanför muren

Om Steam är stängt, var spelar man då blockkedjespel? Svaret 2026 är fyra platser, och alla flyttar risken till dig. Den första är konsolerna och Epic. Det tydligaste exemplet är Gunzillas battle royale Off The Grid. Spelet finns på Steam sedan fullanseringen i juli 2025, men Steam-versionen kör på GUNZ testnet utan skarpa token- eller NFT-funktioner, medan den riktiga kedjeekonomin lever på PS5, Xbox och Epic, enligt Esports Insider. Det är den kanoniska kringgången: skala bort kryptot för att komma in på Steams räckvidd, och behåll plånboksekonomin där reglerna tillåter den.

Den andra platsen är fristående klienter och launchers. Många web3-spel distribueras direkt från studions egen sajt, ofta med en plånbok kopplad. Den tredje är dedikerad hårdvara. SuiPlay0X1 från Mysten Labs och Playtron är en handhållen som spelar vanliga Steam- och Epic-titlar men också inbyggda Sui-blockkedjespel, med plånbok och zkLogin direkt i systemet. Den kostar 599 dollar (cirka 6 000 kronor) och kan till och med betalas i SUI, ETH eller SOL, enligt Decrypt. Den fjärde platsen är de renodlade spelkedjorna som Ronin, Immutable och Beam, byggda för att bära in-game-ekonomier på egen infrastruktur.

Intressant nog rör sig branschen själv mot att dölja plånboken, delvis av säkerhets- och friktionsskäl. När Illuvium lanserades på Epic slopade man plånbokskravet och gick free-to-play. Medgrundaren Kieran Warwick sa då att ”we have removed the need for wallets, and it’s free to play. We think this is the only way to get mainstream adoption”, enligt Cointelegraph. Med andra ord: ju mer plånboken syns, desto större är både tröskeln och risken.

Ett par spel har hittat en medelväg som faktiskt klarar Valves granskning. Skräckspelet The Bornless finns på både Steam och Epic, och studion är noga med att på sin egen sajt kalla det ett spel som inte är ett blockkedjespel: web3-funktionerna är ett valfritt, kosmetiskt lager utanför plattformen, och ingen plånbok behövs för att spela. Mönstret är detsamma som med Off The Grid, kärnspelet är rent och kryptot ligger som ett extra skikt någon annanstans. För dig som spelare är det goda nyheter, för det betyder att du kan spela Steam-versionen helt utan att exponera en plånbok.

Självförvaringens grundregel: din nyckel, ditt ansvar

Så fort du kopplar en självförvarad plånbok gäller en enda hård regel: den som kontrollerar nyckeln kontrollerar pengarna. Det finns ingen kundtjänst som kan vända en transaktion, ingen bank som gör återkrav och ingen ångerrätt. Skickar du tillgångar till fel adress, eller signerar du ett skadligt godkännande, är de borta. Tappar du din frö-fras finns ingen återställning, och läcker den ut kan vem som helst tömma dig. Vi har skrivit utförligt om just den smärtpunkten i vår text om plånbokens återställnings-UX när nyckeln är borta.

Det finns en till lärdom som spelare gärna missar: även ”ägande” du inte kontrollerar kan försvinna. Robot Cache, en blockkedjebaserad spelbutik grundad av inXile-veteranen Brian Fargo, stängde i början av maj 2026 och tog med sig användarnas spel, även nedladdade kopior, eftersom verifieringen låg i butikens infrastruktur. Ett investerarutskick visade att butiken drog in futtiga 532 dollar i spelförsäljning under 2024 och hade ett ackumulerat underskott på över 30 miljoner dollar, enligt PC Gamer. Poängen: en plattform kan lova dig äganderätt på kedjan och ändå släcka ner när pengarna tar slut. Verkligt självägande kräver att du själv förvarar tillgången, och då bär du också säkerhetsansvaret.

Här är det värt att skilja på två sorters plånböcker som spel använder. Vissa titlar bygger in en förvaltad plånbok som du loggar in i med e-post, ungefär som ett vanligt spelkonto, och då liknar säkerheten mer Steams modell, med återställning men också en mellanhand som kan frysa eller förlora dina tillgångar. Andra kräver en riktig självförvarad plånbok, där du ensam har nyckeln. Läs alltid på vilken sort ett spel använder innan du sätter in något av värde, för de två modellerna har rakt motsatta för- och nackdelar.

Hotbilden i siffror: dränerare, phishing och godkännanden

Det goda är att hotbilden krymper. Enligt säkerhetsföretaget Scam Sniffer föll förlusterna till plånboksdränerare och phishing med 83 procent under 2025, till cirka 83,85 miljoner dollar fördelat på 106 106 drabbade plånböcker, jämfört med runt 494 miljoner dollar och över 332 000 plånböcker under 2024, enligt Scam Sniffers årsrapport. Det dåliga är att ekosystemet inte försvunnit, det har bara blivit effektivare per offer. Godkännanden av typen Permit och Permit2 stod för 38 procent av förlusterna i fall över en miljon dollar, och efter Pectra-uppgraderingen dök en ny attacktyp upp som utnyttjar EIP-7702 för att klämma in flera skadliga steg i en enda signatur.

Vad är då ett Permit-godkännande, som stod för så stor del av förlusterna? Kort sagt en signatur som låter någon annan flytta dina tokens utan att du betalar gas för själva godkännandet. Eftersom det inte kostar något och ofta ser ut som ett harmlöst inloggningssteg är det lätt att klicka ja utan att tänka. En angripare som får ett sådant godkännande kan sedan tömma just den token det gäller när som helst, även långt senare. Det är därför en enda slarvig signatur i ett nytt spel kan kosta mer än hela spelbiblioteket.

Bakom siffrorna ligger en industrialiserad marknad. Dränerare säljs numera som tjänst, ”drainer-as-a-service”, där mindre skickliga bedragare hyr färdiga verktyg med instrumentpaneler och support. För dig som spelare betyder det att motståndaren inte behöver vara någon teknisk snille, utan bara någon som köpt en färdig sats och riktar den mot en spelgemenskap.

De vanligaste fällorna för spelare

Spelare är ett attraktivt mål, eftersom kryptospel blandar två saker angriparen älskar: nyfikna användare och riktiga pengar i rörelse. FBI har varnat särskilt för falska ”play-to-earn”-spel där påhittade belöningar byggs upp medan du spelar, ända tills en dold funktion tömmer plånboken, enligt Bleeping Computer. Andra kampanjer gömmer sig i falska appar. Check Point Research hittade en dränerarapp som utnyttjade namnet WalletConnect i Google Play, där den låg oupptäckt i över fem månader och laddades ner mer än 10 000 gånger, enligt Check Point Research.

Gemensamt för de flesta fällor är att de inte hackar din plånbok, de lurar dig att godkänna. Nedan är de vanligaste mönstren och hur du parerar dem.

Signering: skillnaden mellan att se och att lita blint

Den enskilt viktigaste vanan är att förstå vad du signerar. Blind signering betyder att din plånbok visar dig en obegriplig sträng data och ber dig godkänna den ändå, ofta för att spelets smarta kontrakt är för komplext för att tolkas. Clear signing gör motsatsen: den översätter transaktionen till läsbar text, så att du ser att du faktiskt byter ett svärd mot tokens och inte ger bort obegränsad rätt till hela plånboken. Skillnaden avgör ofta om en attack lyckas eller inte, och vi har en hel genomgång av den i vår text om clear signing mot blind signering.

En hårdvaruplånbok hjälper här, eftersom den visar transaktionens innehåll på sin egen skärm, utanför datorns räckvidd, och kräver ett fysiskt tryck. Men hårdvara skyddar bara om du läser det som står. Trycker du blint ja på en enhet som varnar att den inte kan tolka transaktionen, är du tillbaka på ruta ett. Regeln är enkel: kan du inte läsa vad du signerar, signera inte.

Ett konkret exempel gör faran tydlig. Många spel ber om setApprovalForAll för dina NFT:er eller en obegränsad ERC-20-tillåtelse, vilket i praktiken ger kontraktet nyckeln till hela den samlingen eller hela det tokensaldot, inte bara det du tänkt handla med. Med clear signing ser du att det står just obegränsat, och kan välja att sätta en gräns eller avstå. Med blind signering ser du bara en hexsträng och litar på att spelet vill väl. Skillnaden mellan de två raderna på skärmen är ofta skillnaden mellan ett tryggt köp och en tömd plånbok.

Plånboksvalet spelar roll

Vilken plånbok du använder påverkar din faktiska säkerhet mer än de flesta tror. Moderna plånböcker simulerar transaktioner innan du signerar, så att du ser vad som kommer att hända, och de har instrumentpaneler för att granska och dra tillbaka gamla godkännanden. Vi jämför de vanligaste alternativen i MetaMask mot Phantom mot Rabby, och kortversionen är att simulering och tydliga varningar är funktioner du bör kräva, inte extrafunktioner.

Den bästa tekniska vanan för spelare är att skilja på plånböcker. Använd en engångsplånbok (”burner”) med lite pengar för att prova nya spel, och håll dina långsiktiga tillgångar i en separat plånbok som aldrig ansluts till en okänd sajt. Då blir en dränerarattack på ett nytt spel en liten förlust i stället för en katastrof. En hårdvaruplånbok för det du verkligen inte vill förlora, och en burner för experimenten, är en enkel uppdelning som stänger de flesta dörrarna.

När det ändå går fel: vem betalar notan?

Här är den bistra sanningen. När ett stort protokoll blir tömt finns ibland en kassa, en försäkring eller en gemenskap som ersätter offren, ett ämne vi rett ut i vår text om vem som betalar notan när ett kryptoprotokoll töms. När en enskild spelares självförvarade plånbok töms finns nästan aldrig någon sådan räddning. Det första du bör göra är att dra tillbaka alla godkännanden via en tjänst som revoke.cash och flytta det som är kvar till en ren plånbok, men det som redan är borta är i regel borta.

Spelvärlden har sina egna varnande exempel på hur stora förlusterna kan bli. Ronin, kedjan bakom Axie Infinity, drabbades av en av spelhistoriens största stölder på över 600 miljoner dollar, och även om det var en bro och inte en enskild plånbok som tömdes visar det hur mycket värde som rör sig i kryptospel. Kedjan har byggts om i grunden sedan dess, men lärdomen för dig som spelare är att skala ner: du kan inte fixa en bros säkerhet, men du kan begränsa hur mycket som ligger exponerat i din egen plånbok.

Rent praktiskt bör en drabbad spelare ändå agera direkt. Gör en polisanmälan, dokumentera transaktionshashar och adresser, och kontakta den börs där tjuven kan tänkas växla ut bytet, eftersom en frysning ibland är möjlig om du är snabb. Var samtidigt skeptisk mot de ”återställningstjänster” som dyker upp i kommentarsfälten och lovar att få tillbaka stulen krypto mot en avgift, för de är nästan alltid ett andra bedrägeri riktat mot samma offer. Skatteverket kan behöva informeras om förlusten, men utgå från att själva tillgångarna sällan kommer tillbaka.

Social ingenjörskonst: falska grundare, jobb och kapade konton

Tekniska skydd hjälper föga mot en attack som riktar sig mot ditt omdöme i stället för din mjukvara. Kryptospelens gemenskaper lever på Discord och X, och det är där de mest lönsamma bedrägerierna sker. Ett kapat officiellt konto som annonserar en ”mint” eller en airdrop kan tömma hundratals plånböcker på minuter, eftersom offren tror att länken är äkta. Falska jobberbjudanden till speltestare och utvecklare, där uppgiften är att köra ett ”spelbygge” som i själva verket är en infostealer, är ett annat återkommande mönster.

Allra svårast är de fabricerade auktoriteterna. Deepfake-teknik gör det numera möjligt att sätta ihop en trovärdig videointervju med en grundare som aldrig sagt orden, något vi granskat i den falska grundaren: deepfake-intervjun och lögnarens utdelning. Grundregeln mot social ingenjörskonst är enkel men obekväm: brådska är en varningssignal. Ingen legitim lansering kräver att du signerar just nu, och ingen äkta grundare ber dig om din frö-fras. När någon skapar tidspress, sakta ner.

Berättelser är en del av vapenarsenalen. Kryptobranschen älskar comeback-narrativet, grundaren som reser sig efter ett fall, och just den ramberättelsen kan användas för att bygga förtroende inför en bluff. Innan du kopplar en plånbok till ett spel som marknadsförs med en känd profil, verifiera att projektet, kontot och länken hänger ihop via oberoende källor. En imponerande grundarhistoria är inte samma sak som ett granskat och säkert spel, och de mest övertygande berättelserna är ibland just därför de farligaste.

Konsolernas trygghet och mobilens gråzon

Alla platser utanför Steam är inte lika riskabla. Konsolerna är faktiskt relativt trygga, eftersom Sony och Microsoft certifierar varje build och håller kedjelogiken bakom plattformens eget konto, snarare än att låta dig ansluta en godtycklig plånbok. Det är därför Off The Grids skarpa kryptoekonomi kan leva på PS5 och Xbox utan att bli en fritt tillgänglig attackyta för spelaren. Mobilen är en gråzon. Google Play tillåter NFT:er och tokeniserade tillgångar sedan en policyändring i juli 2023, men förbjuder uttryckligen slumpade blockkedje-lootlådor, enligt TechCrunch. Apple tillåter visning och överföring av NFT:er men tar ut sin vanliga provision.

Regelverket skyddar dig inte på Steam, och inte utanför heller

Många spelare antar att EU:s kryptoregelverk ger ett skyddsnät. Det gör det, men inte för dig som spelare i det här läget. MiCA och Finansinspektionen reglerar leverantörer av kryptotillgångstjänster, alltså börser, växlare och förvarare, inte spelbutiker och absolut inte din egen självförvarade plånbok. Steam är inte en sådan leverantör, och de flesta rena spel-tokens och NFT:er faller utanför MiCA så länge de inte är utformade som finansiella instrument, en gräns som ESMA förtydligade den 19 mars 2025.

Det svenska tillståndskravet är däremot skarpt för de tjänster det gäller. Sedan den 1 oktober 2025 måste varje kryptobolag som vill fortsätta betjäna svenska kunder ha lämnat in en tillståndsansökan till Finansinspektionen eller avveckla, enligt Finansinspektionen. Men det skyddet gäller växlings- och förvaringstjänster, inte spelmomentet där du kopplar plånboken. Och glöm inte skatten: tjänar du tokens eller NFT:er med verkligt värde i ett spel är det normalt skattepliktigt hos Skatteverket, antingen som inkomst eller som kapitalvinst när du säljer. Slutsatsen är obekväm men viktig: ingen myndighet gör dig hel om din egen plånbok töms medan du spelar.

En sak till som gäller specifikt kring spel-tokens: så fort en token får hävstång eller handlas som ett derivat hamnar den under MiFID II och tillsyn av marknadsplatsregler, inte under MiCA:s spotregler. För en vanlig spelare spelar den gränsen sällan roll i vardagen, men den förklarar varför Finansinspektionen kan varna för vissa produkter utan att kunna göra något åt själva spelet. FI för ett register över vilka bolag som fått tillstånd, och att kontrollera det innan du sätter in pengar hos en tjänst är en billig försäkring.

Så spelar du kryptospel utan att bli dränerad: en checklista

Vill du prova ett blockkedjespel som inte får finnas på Steam, gör det med öppna ögon. Den här checklistan stänger de flesta av de dörrar angriparna räknar med att du lämnar öppna.

• Använd en separat engångsplånbok (burner) för nya spel, och håll sparandet i en annan plånbok som aldrig ansluts till okända sajter.
• Lägg det du verkligen inte vill förlora i en hårdvaruplånbok och signera med clear signing.
• Ladda spel och plånböcker enbart från verifierade, officiella källor, aldrig via annonslänkar eller Discord-DM.
• Läs alltid vad du signerar. Kan transaktionen inte tolkas, avbryt.
• Granska och återkalla gamla token-godkännanden regelbundet, till exempel via revoke.cash.
• Var skeptisk mot ”gratis” belöningar, brådskande mints och jobberbjudanden som kräver att du kör kod.
• Slå på tvåfaktor överallt, och koppla aldrig plånboken på samma dator där du kör overifierade filer.

Steams förbud löser inte dessa problem åt dig utanför butiken, det bara flyttar ansvaret. Men med en burner, en hårdvaruplånbok och vanan att läsa innan du signerar kan du utforska det som ligger bortom muren utan att lämna nycklarna till någon annan.

Vanliga frågor

Är det olagligt att spela blockkedjespel i Sverige?

Nej. Steams förbud är ett privat butiksvillkor, inte en lag, och det finns inget svenskt förbud mot att spela kryptospel. MiCA och Finansinspektionen reglerar kryptotjänsteleverantörer som börser och förvarare, inte spel eller din egen plånbok. Tänk dock på att tokens eller NFT:er med verkligt värde som du tjänar i ett spel normalt är skattepliktiga hos Skatteverket.

Varför förbjöd Steam kryptospel?

Valve la till regeln i oktober 2021 och Gabe Newell har motiverat den med bedrägeri och dåliga aktörer. När Steam accepterade Bitcoin 2016 till 2017 upptäckte bolaget att omkring hälften av kryptobetalningarna var bedrägliga. Newell har sagt att problemet inte är tekniken utan de som använder den för att lura folk och tvätta pengar, vilket i praktiken gör förbudet till ett slags konsumentskydd.

Är det säkert att koppla en plånbok till ett spel?

Det beror helt på hur du gör det. Riskerna är skadliga godkännanden, blind signering, falska klienter och phishing. Minska dem genom att använda en engångsplånbok med lite pengar för nya spel, en hårdvaruplånbok för värde, ladda bara från officiella källor och aldrig signera något du inte kan läsa. Skilj alltid spelplånboken från din sparplånbok.

Vad är en wallet drainer?

En wallet drainer är skadlig kod eller ett skadligt godkännande som tömmer din plånbok när du ansluter till en falsk sajt eller signerar en manipulerad transaktion. De säljs numera som tjänst med färdiga verktyg. Enligt Scam Sniffer föll de globala förlusterna med 83 procent under 2025, till cirka 83,85 miljoner dollar, men attackerna finns kvar och riktar sig ofta mot spelgemenskaper.

Kan jag få tillbaka pengar om min plånbok töms?

Nästan aldrig, om det rör en självförvarad plånbok. Till skillnad från ett Steam-köp finns ingen ångerrätt, inget kortåterkrav och ingen kundtjänst som kan vända transaktionen. Det första du bör göra är att återkalla alla godkännanden, till exempel via revoke.cash, och flytta det som är kvar till en ren plånbok, men det som redan skickats iväg går i regel inte att få tillbaka.

Av Priya Reddy, senior redaktör för spel och kryptosäkerhet på HOGE Wire.