{"id":448,"date":"2026-09-15T05:00:22","date_gmt":"2026-09-15T05:00:22","guid":{"rendered":"https:\/\/hoge.gg\/se\/smarta-konton-radiant-hacket-signering-2026\/"},"modified":"2026-09-15T05:00:22","modified_gmt":"2026-09-15T05:00:22","slug":"smarta-konton-radiant-hacket-signering-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/smarta-konton-radiant-hacket-signering-2026\/","title":{"rendered":"Smarta konton 2026: l\u00e4xan fr\u00e5n Radiant-hacket"},"content":{"rendered":"

Den 16 oktober 2024 f\u00f6rsvann omkring 50 miljoner dollar, drygt 480 miljoner kronor, ur l\u00e5neprotokollet Radiant Capital p\u00e5 n\u00e5gra minuter. Kontot som h\u00f6ll pengarna var inte en vanlig pl\u00e5nbok med en enda nyckel. Det var ett smart konto, en Gnosis Safe med krav p\u00e5 tre av elva signaturer, den uppst\u00e4llning som l\u00e4nge r\u00e4knats som guldstandard f\u00f6r att skydda stora summor. Kontraktet gjorde exakt det som dess \u00e4gare kryptografiskt hade signerat. Ingen rad kod br\u00f6ts. \u00c4nd\u00e5 var pengarna borta.<\/p>

Den paradoxen \u00e4r hela historien om smarta konton 2026. Account abstraction flyttar reglerna f\u00f6r vem som f\u00e5r flytta pengar fr\u00e5n en fast formel (en privat nyckel, en signatur) in i programmerbar kod. Det \u00e4r en superkraft: gasfria transaktioner, buntade anrop, sessionsnycklar, passkeys och social \u00e5terst\u00e4llning. Men samma sak flyttar ocks\u00e5 angreppsytan. N\u00e4r beh\u00f6righeten blir kod \u00e4r den svaga l\u00e4nken inte l\u00e4ngre kryptografin, utan sk\u00e4rmen du signerar p\u00e5, m\u00e4nniskan som l\u00e4ser den och enheten d\u00e4remellan. Radiant \u00e4r den tydligaste l\u00e4xan om den f\u00f6rflyttningen, och d\u00e4rf\u00f6r m\u00e5ste en genomg\u00e5ng av smarta konton b\u00f6rja vid signeringssk\u00e4rmen. Den h\u00e4r artikeln f\u00f6rklarar vad ett smart konto faktiskt \u00e4r, tar is\u00e4r Radiant-kuppen steg f\u00f6r steg och drar de praktiska slutsatserna f\u00f6r svenska sparare och f\u00f6retag, inklusive var Finansinspektionens<\/a> regler n\u00e5r och inte n\u00e5r.<\/p>

Vad ett smart konto faktiskt \u00e4r<\/h2>

Ett vanligt Ethereum-konto, i branschen kallat en EOA (externally owned account), styrs av en enda privat nyckel. Den som har nyckeln kan g\u00f6ra vad som helst med kontot: en signatur betyder full makt, punkt. Ett smart konto v\u00e4nder p\u00e5 det. I st\u00e4llet f\u00f6r en fast nyckel styrs kontot av ett smart contract, och d\u00e5 kan reglerna f\u00f6r vem som f\u00e5r spendera, hur mycket och under vilka villkor vara n\u00e4stan vad som helst: kr\u00e4v flera signaturer, s\u00e4tt en daglig gr\u00e4ns, l\u00e4gg in en tidsl\u00e5st sp\u00e4rr, till\u00e5t inloggning med en passkey i telefonens s\u00e4kerhetschip, eller l\u00e5t n\u00e5gon annan betala gasavgiften.<\/p>

Po\u00e4ngen \u00e4r inte bekv\u00e4mlighet f\u00f6r sin egen skull. Den fasta modellen med en nyckel och en signatur har kostat anv\u00e4ndare enorma summor: nycklar som tappas bort, seed-fraser som stj\u00e4ls, en enda felaktig signatur som t\u00f6ms. Ett programmerbart konto kan bygga in sp\u00e4rrar som en bank tar f\u00f6r givet, men utan att l\u00e4mna ifr\u00e5n sig f\u00f6rvaringen. Det \u00e4r d\u00e4rf\u00f6r b\u00e5de konsumentpl\u00e5nb\u00f6cker och institutioner r\u00f6r sig \u00e5t samma h\u00e5ll.<\/p>

Den tekniska grunden lades i mars 2023 med ERC-4337<\/a>, som byggde ett smart konto helt ovanp\u00e5 Ethereum utan att r\u00f6ra sj\u00e4lva protokollet. En separat k\u00f6 av s\u00e5 kallade UserOperations samlas ihop av bundlare och skickas via ett gemensamt EntryPoint-kontrakt. En paymaster kan g\u00e5 in och betala gasen. Adoptionen \u00e4r inte l\u00e4ngre marginell: BundleBear r\u00e4knar (per mitten av september 2026) \u00f6ver 1,28 miljarder UserOperations, runt 66,5 miljoner aktiva konton och drygt 14 miljoner dollar i gas som paymasters t\u00e4ckt. Merparten av aktiviteten ligger p\u00e5 Layer 2, d\u00e4r en transaktion kostar \u00f6ren i st\u00e4llet f\u00f6r tior.<\/p>

Egenskap<\/th>Vanlig EOA<\/th>ERC-4337<\/th>EIP-7702<\/th>Native AA (kommande)<\/th><\/tr><\/thead>
Vad styr kontot<\/td>En privat nyckel (ECDSA)<\/td>Kontraktskod<\/td>EOA l\u00e5nar kontraktskod<\/td>Protokollet sj\u00e4lvt<\/td><\/tr>
Ny adress kr\u00e4vs<\/td>Nej<\/td>Ja<\/td>Nej (samma adress)<\/td>Nej<\/td><\/tr>
Buntade transaktioner<\/td>Nej<\/td>Ja<\/td>Ja<\/td>Ja<\/td><\/tr>
Gasfritt via paymaster<\/td>Nej<\/td>Ja<\/td>Ja<\/td>Ja<\/td><\/tr>
Sessionsnycklar och passkeys<\/td>Nej<\/td>Ja<\/td>Ja<\/td>Ja<\/td><\/tr>
Kr\u00e4ver bundlare eller rel\u00e4<\/td>Nej<\/td>Ja<\/td>Delvis<\/td>Nej<\/td><\/tr>
Status 2026<\/td>Standard sedan start<\/td>Live sedan 2023<\/td>Live sedan maj 2025<\/td>\u00c4nnu inte p\u00e5 mainnet<\/td><\/tr><\/tbody><\/table><\/figure>

De tv\u00e5 v\u00e4garna in i ett smart konto<\/h2>

Det finns tv\u00e5 s\u00e4tt att skaffa ett smart konto i dag. Det f\u00f6rsta \u00e4r att skapa ett helt nytt kontraktskonto enligt ERC-4337. Det g\u00f6r Safe, Coinbase Base Account, Argent (numera Ready) och en rad andra pl\u00e5nb\u00f6cker. Priset \u00e4r att du f\u00e5r en ny adress och att transaktionerna g\u00e5r genom bundlare och EntryPoint i st\u00e4llet f\u00f6r direkt i den vanliga mempoolen.<\/p>

Det andra s\u00e4ttet kom med Ethereums Pectra-uppgradering den 7 maj 2025: EIP-7702<\/a>. Den l\u00e4gger till en ny transaktionstyp (0x04) som l\u00e5ter en helt vanlig EOA peka p\u00e5 ett kontrakt och tillf\u00e4lligt l\u00e5na dess kod, utan att byta adress. En liten pekare (kallad delegation designator, som b\u00f6rjar med bytesekvensen 0xef0100) skrivs in p\u00e5 kontot och s\u00e4ger vilket kontrakt som styr det. Delegeringen g\u00e5r att \u00e5terkalla genom att peka om till nolladressen. Po\u00e4ngen \u00e4r att din befintliga adress, med all sin historik, pl\u00f6tsligt kan bunta transaktioner, betala gas i en stablecoin och anv\u00e4nda sessionsnycklar. Radiants konto var inget 7702-konto utan ett \u00e4ldre Safe-multisig-kontrakt, men principen \u00e4r densamma: beh\u00f6righeten ligger i kod, inte i en enda nyckel.<\/p>

Radiant-kuppen, steg f\u00f6r steg<\/h2>

Radiant Capital var ett l\u00e5neprotokoll p\u00e5 Arbitrum och BNB Chain. Kassan och de k\u00e4nsliga administrat\u00f6rsfunktionerna l\u00e5g bakom en Gnosis Safe med krav p\u00e5 tre giltiga signaturer av elva m\u00f6jliga undertecknare, spridda p\u00e5 flera personer och h\u00e5rdvarupl\u00e5nb\u00f6cker. P\u00e5 pappret \u00e4r det en mycket stark uppst\u00e4llning. Angriparna slog inte mot kontraktet. De slog mot m\u00e4nniskorna som h\u00f6ll nycklarna.<\/p>

Enligt Halborns<\/a> och Radiants egna genomg\u00e5ngar b\u00f6rjade intr\u00e5nget i mitten av september 2024. En utvecklare hos Radiant fick ett Telegram-meddelande fr\u00e5n n\u00e5gon som utgav sig f\u00f6r att vara en tidigare, betrodd konsult och bad om synpunkter p\u00e5 en rapport om granskning av smarta kontrakt. Den bifogade ZIP-filen inneh\u00f6ll en lockbetes-PDF och en macOS-bakd\u00f6rr som forskarna d\u00f6pte till INLETDRIFT. Bakd\u00f6rren gav best\u00e5ende fj\u00e4rr\u00e5tkomst till utvecklarens dator. I ungef\u00e4r fem veckor satt angriparna tysta och kartlade rutinerna.<\/p>

Den 16 oktober 2024 slog f\u00e4llan igen. Skadlig kod p\u00e5 de smittade datorerna visade helt normala, korrekta transaktionsdata i Safe-gr\u00e4nssnittet, medan en helt annan nyttolast skickades till h\u00e5rdvarupl\u00e5nb\u00f6ckerna f\u00f6r signering i bakgrunden. F\u00f6r att samla ihop de tre signaturer som kr\u00e4vdes h\u00e4rmade angriparna vanliga transaktionsfel, s\u00e5 att undertecknarna trodde att de bara f\u00f6rs\u00f6kte igen. N\u00e4r tr\u00f6skeln var n\u00e5dd anropades funktionen transferOwnership, och kontrollen \u00f6ver l\u00e5nepoolernas kontrakt byttes ut. D\u00e4refter t\u00f6mdes protokollet. Ungef\u00e4r 50 miljoner dollar, drygt 480 miljoner kronor, f\u00f6rsvann fr\u00e5n Arbitrum och BNB Chain. Decrypt<\/a> beskrev det som en av de mest sofistikerade attackerna i DeFi:s historia.<\/p>

S\u00e4kerhetsf\u00f6retaget Mandiant kn\u00f6t angreppet till UNC4736, en grupp kopplad till Nordkoreas underr\u00e4ttelsetj\u00e4nst och till den \u00f6k\u00e4nda Lazarus-sf\u00e4ren; CoinDesk<\/a> rapporterade den nordkoreanska tillskrivningen. Det \u00e4r samma spelbok som drabbade Sky Mavis Ronin-brygga 2022, och parallellerna \u00e4r v\u00e4rda en egen l\u00e4sning (se v\u00e5r genomg\u00e5ng av Sky Mavis v\u00e4g fr\u00e5n Ronin-hacket till hemkomsten p\u00e5 Ethereum<\/a>). Radiant kom aldrig tillbaka: den 1 juni 2026 meddelade DAO:n en ordnad avveckling efter att i 18 m\u00e5nader f\u00f6rg\u00e4ves ha f\u00f6rs\u00f6kt \u00e5terh\u00e4mta sig. Kvar fanns enligt The Defiant<\/a> ett skal med drygt 2 miljoner dollar i l\u00e5st v\u00e4rde, l\u00e5ngt fr\u00e5n de hundratals miljoner protokollet en g\u00e5ng h\u00f6ll. Po\u00e4ngen som g\u00f6r Radiant till en l\u00e4xa f\u00f6r alla smarta konton: multisig-kontraktet gjorde exakt det som tre beh\u00f6riga undertecknare bad det g\u00f6ra. Det som brast var inte koden, utan vad m\u00e4nniskorna faktiskt s\u00e5g n\u00e4r de signerade. Den som vill f\u00f6rst\u00e5 hur gr\u00e4nsen mellan brott och misstag dras i efterhand kan l\u00e4sa v\u00e5r text om gr\u00e5zonen i kryptohackens post-mortem<\/a>.<\/p>

Blind signering: varf\u00f6r h\u00e5rdvaran inte r\u00e4ckte<\/h2>

Flera av Radiants undertecknare anv\u00e4nde h\u00e5rdvarupl\u00e5nb\u00f6cker, precis som s\u00e4kerhetsr\u00e5den s\u00e4ger. \u00c4nd\u00e5 hj\u00e4lpte det inte, och sk\u00e4let g\u00e5r rakt in i smarta kontons svaga punkt. En h\u00e5rdvarupl\u00e5nbok fr\u00e5n Ledger avkodar inte en Gnosis Safe-transaktion till klartext. Den visar en hash, en l\u00e5ng rad tecken, och ber dig godk\u00e4nna. Det kallas blind signering: du intygar n\u00e5got du inte kan l\u00e4sa. N\u00e4r sk\u00e4rmen p\u00e5 den internetanslutna datorn ljuger om vad hashen betyder blir h\u00e5rdvaran bara en st\u00e4mpel.<\/p>

Odysseus, grundare av s\u00e4kerhetsfirman Phylax, sammanfattade det brutalt efter Bybit-st\u00f6lden (via The Block<\/a>): en h\u00e5rdvarupl\u00e5nbok visar bara signaturens hash, inte handlingen, och ”a hardware wallet is pointless if the transaction is signed on an internet-connected laptop or phone”. Ido Ben Natan, grundare av Blockaid, kallade i samma genomg\u00e5ng kombinationen av blind signering och riktad skadlig kod ”perhaps the fastest-growing threat in crypto”. Ledgers teknikchef Charles Guillemet har drivit samma po\u00e4ng i \u00e5ratal: en signeringsnyttolast \u00e4r i grunden inte l\u00e4sbar<\/a> f\u00f6r en m\u00e4nniska, och den fr\u00e5ga du borde st\u00e4lla \u00e4r om du h\u00e4mtar en airdrop eller ger ett skadligt kontrakt r\u00e4tt att t\u00f6mma pl\u00e5nboken<\/a>. Vill du se hur olika h\u00e5rdvarupl\u00e5nb\u00f6cker faktiskt klarar just den h\u00e4r kedjan, fr\u00e5n sk\u00e4rm till chip, har vi testat dem i v\u00e5r recension som testar hela kedjan<\/a>.<\/p>

Radiant var inte ensam: WazirX och Bybit<\/h2>

Radiant var inte en eng\u00e5ngsh\u00e4ndelse utan ett m\u00f6nster. Tv\u00e5 av de st\u00f6rsta st\u00f6lderna i kryptohistorien f\u00f6ljde n\u00e4stan samma manus, och b\u00e5da drabbade Gnosis Safe-multisignaturer. Den 18 juli 2024 f\u00f6rlorade den indiska b\u00f6rsen WazirX omkring 230 miljoner dollar: angriparna utnyttjade en skillnad mellan vad f\u00f6rvaringspartnern Liminals gr\u00e4nssnitt visade och vad som faktiskt signerades, och bytte ut multisig-kontraktet mot ett skadligt (CoinDesk<\/a>). Den 21 februari 2025 t\u00f6mdes Bybits kalla pl\u00e5nbok, ocks\u00e5 en Safe, p\u00e5 omkring 1,5 miljarder dollar, den st\u00f6rsta kryptost\u00f6lden n\u00e5gonsin: skadlig JavaScript i Safe-gr\u00e4nssnittet visade en vanlig \u00f6verf\u00f6ring medan undertecknarna i sj\u00e4lva verket godk\u00e4nde ett delegatecall som bytte ut hela implementationen (NCC Group<\/a>).<\/p>

Safe tillbakavisade att sj\u00e4lva kontrakten var felaktiga och beskrev Bybit som ett fall av blind signering, och rullade efter\u00e5t ut integritetskontroller och tydligare transaktionsvisning. Tre st\u00f6lder, tre olika offer, samma grundfel. I inget av fallen var det ett h\u00e5l i det smarta kontraktet. Kontraktet gjorde vad det blev tillsagt; m\u00e4nniskorna signerade i blindo.<\/p>

 <\/th>Radiant Capital<\/th>WazirX<\/th>Bybit<\/th><\/tr><\/thead>
Datum<\/td>16 okt 2024<\/td>18 jul 2024<\/td>21 feb 2025<\/td><\/tr>
Belopp<\/td>~50 milj. USD<\/td>~230 milj. USD<\/td>~1,5 mdr USD<\/td><\/tr>
Kontotyp<\/td>Gnosis Safe, 3 av 11<\/td>Gnosis Safe, 4 av 6<\/td>Gnosis Safe (kall pl\u00e5nbok)<\/td><\/tr>
Metod<\/td>Skadlig kod i gr\u00e4nssnittet, blind signering<\/td>Skillnad mellan UI och signerad data<\/td>Skadlig JS, delegatecall bytte implementation<\/td><\/tr>
Fel i kontraktet?<\/td>Nej<\/td>Nej<\/td>Nej<\/td><\/tr>
Tillskrivning<\/td>UNC4736 (Nordkorea)<\/td>Lazarus (Nordkorea)<\/td>Lazarus\/TraderTraitor<\/td><\/tr><\/tbody><\/table><\/figure>

Sweeper-ekonomin: EIP-7702:s baksida<\/h2>

Radiant handlade om ett organisationskonto. Men samma logik, att en signatur kan ge bort kontrollen, g\u00e4ller vanliga anv\u00e4ndare sedan EIP-7702 blev tillg\u00e4nglig. Direkt efter Pectra d\u00f6k s\u00e5 kallade sweepers upp: skadliga delegeringskontrakt som, om en anv\u00e4ndare luras att signera en 7702-auktorisation, automatiskt dr\u00e4nerar kontot p\u00e5 inkommande medel. S\u00e4kerhetsforskarna p\u00e5 Wintermute uppt\u00e4ckte att en f\u00f6rkrossande majoritet av de tidiga delegeringarna pekade p\u00e5 en enda kopierad kontraktsmall de d\u00f6pte till CrimeEnjoyor, men konstaterade ocks\u00e5 att verksamheten knappt var l\u00f6nsam (CoinDesk<\/a>).<\/p>

En kollegialt granskad forskningsstudie som presenteras vid USENIX Security 2026<\/a> (Huang med flera) gick igenom 22,8 miljarder transaktioner \u00f6ver sju kedjor och isolerade 3 664 166 EIP-7702-auktorisationer. Mer \u00e4n 63 procent var knutna till skadliga kontrakt, och forskarna bekr\u00e4ftade manuellt 924 unika skadliga kontrakt med runt 2,36 miljoner dollar i realiserade f\u00f6rluster och ytterligare cirka 10,14 miljoner dollar i exponering. Tv\u00e5 viktiga f\u00f6rbeh\u00e5ll: de 63 procenten r\u00e4knar transaktioner, inte anv\u00e4ndare eller kronor (angriparnas kontrakt \u00e5teranv\u00e4nds oproportionerligt ofta), och det \u00e4r inte ett protokollfel utan \u00e4nnu ett fall av blind signering. Den bredare bilden \u00e4r faktiskt ljusare: enligt Scam Sniffer f\u00f6ll de totala n\u00e4tfiske- och drainerf\u00f6rlusterna med 83 procent under 2025, till 83,85 miljoner dollar, \u00e4ven om enskilda 7702-offer f\u00f6rlorade stort (ett fall p\u00e5 1,54 miljoner dollar i augusti 2025) (Cointelegraph<\/a>).<\/p>

Clear signing: att l\u00e4sa vad du signerar<\/h2>

Om blind signering \u00e4r sjukdomen \u00e4r clear signing motgiftet. Tanken \u00e4r enkel: pl\u00e5nboken ska visa vad en transaktion faktiskt g\u00f6r i klartext (”skicka 2 ETH till adress X”, ”ge kontrakt Y r\u00e4tt att spendera obegr\u00e4nsat”) i st\u00e4llet f\u00f6r en hash. Standarden heter ERC-7730 och b\u00f6rjade som ett Ledger-projekt. Den 12 maj 2026 l\u00e4mnade Ledger \u00f6ver registret till Ethereum Foundation som neutral f\u00f6rvaltare, med parollen att clear signing ska vara standardl\u00e4get och principen ”What You See Is What You Sign” (Ethereum Foundation<\/a>).<\/p>

Haken \u00e4r t\u00e4ckningen. Clear signing fungerar bara f\u00f6r kontrakt som n\u00e5gon har f\u00f6rsett med l\u00e4sbar metadata, och l\u00e5ngt ifr\u00e5n alla har det \u00e4nnu. M\u00e5nga pl\u00e5nb\u00f6cker l\u00e4gger dessutom till ett simuleringssteg som visar en f\u00f6rhandsvisning av vad transaktionen kommer att g\u00f6ra. \u00c4ven det har visat sig g\u00e5 att lura: forskare har dokumenterat simuleringsn\u00e4tfiske d\u00e4r en godartad f\u00f6rhandsvisning f\u00f6ljs av ett helt annat utfall vid sj\u00e4lva k\u00f6rningen. Simulering \u00e4r ett lager, inte en garanti. Po\u00e4ngen kvarst\u00e5r: ju mer beh\u00f6righet som flyttas in i kod, desto viktigare blir det att m\u00e4nniskan i andra \u00e4nden verkligen f\u00f6rst\u00e5r vad hon godk\u00e4nner.<\/p>

Vad smarta konton faktiskt ger dig<\/h2>

Det vore or\u00e4ttvist att l\u00e5ta Radiant f\u00e5 sista ordet, f\u00f6r account abstraction l\u00f6ser verkliga problem. Med ett smart konto kan du bunta flera steg (godk\u00e4nn och byt i en enda transaktion), l\u00e5ta en paymaster betala gasen s\u00e5 att en ny anv\u00e4ndare slipper \u00e4ga ETH f\u00f6r att komma ig\u00e5ng, och anv\u00e4nda passkeys: den kryptografi som redan sitter i telefonens s\u00e4kerhetschip och i Face ID. Precompilen RIP-7212 g\u00f6r den kurvan (P-256) billig att verifiera p\u00e5 kedjan, fr\u00e5n runt 300 000 gas till cirka 3 450 (Alchemy<\/a>), och FIDO-alliansen r\u00e4knar numera omkring fem miljarder passkeys i bruk i v\u00e4rlden (FIDO<\/a>).<\/p>

Tv\u00e5 funktioner sticker ut. Sessionsnycklar (standardiserade som ERC-7715<\/a>) l\u00e5ter dig ge en begr\u00e4nsad, tidsbest\u00e4md fullmakt: en spelklient f\u00e5r signera drag i en timme utan att fr\u00e5ga varje g\u00e5ng, eller en AI-agent f\u00e5r spendera h\u00f6gst ett visst belopp mot ett visst kontrakt. Det flyttar fr\u00e5gan fr\u00e5n ”f\u00f6rst\u00e5r du den h\u00e4r transaktionen?” till ”f\u00f6rst\u00e5r du den h\u00e4r fullmakten?”, och den f\u00f6rskjutningen f\u00f6rtj\u00e4nar sin egen eftertanke (vi har skrivit om pl\u00e5nboken som spenderar \u00e5t dig<\/a>). Den andra \u00e4r social \u00e5terst\u00e4llning. Redan 2021 argumenterade Vitalik Buterin f\u00f6r att seed-fraser \u00e4r ett felt\u00e4nk: de skyddar inte mot st\u00f6ld<\/a>, och den m\u00e4nskliga hj\u00e4rnan \u00e4r d\u00e5lig p\u00e5 att minnas l\u00f6senord men bra p\u00e5 relationer. Ett smart konto kan i st\u00e4llet l\u00e5ta betrodda v\u00e4nner eller enheter hj\u00e4lpa dig \u00e5terf\u00e5 \u00e5tkomst.<\/p>

Vem betalar f\u00f6r gasfritt?<\/h2>

”Gasfritt” betyder aldrig gratis, bara att n\u00e5gon annan betalar. En paymaster kan fungera p\u00e5 tre s\u00e4tt: appen sponsrar gasen som en kundanskaffningskostnad, anv\u00e4ndaren betalar i en stablecoin i st\u00e4llet f\u00f6r ETH, eller en tj\u00e4nst avg\u00f6r per transaktion om den vill t\u00e4cka avgiften. Circles paymaster, som l\u00e5ter dig betala gas i USDC, tar till exempel ut ett p\u00e5slag p\u00e5 omkring 10 procent f\u00f6r att hantera v\u00e4xling och prisr\u00f6relser (Circle<\/a>). Kostnaden per operation beror helt p\u00e5 vilken kedja du \u00e4r p\u00e5, och det \u00e4r d\u00e4rf\u00f6r n\u00e4stan all sponsring sker p\u00e5 Layer 2. Tio tusen aktiva anv\u00e4ndare med ett dussin operationer i m\u00e5naden kan kosta en app allt fr\u00e5n runt 11 500 till 92 000 kronor per m\u00e5nad p\u00e5 Base.<\/p>

Kedja<\/th>Kostnad per sponsrad transaktion<\/th>Kommentar<\/th><\/tr><\/thead>
Ethereum mainnet<\/td>~11-43 kr<\/td>Dyrast; s\u00e4llan sponsrat i volym<\/td><\/tr>
Arbitrum<\/td>~0,20-1,40 kr<\/td>Layer 2; vanligt f\u00f6r sponsring<\/td><\/tr>
Base<\/td>~0,10-0,80 kr<\/td>Layer 2; billigast i praktiken<\/td><\/tr>
Polygon<\/td>~0,10-0,50 kr<\/td>Sidokedja<\/td><\/tr><\/tbody><\/table><\/figure>

Det finns ocks\u00e5 en tystare kostnad: centralisering. En stor del av alla UserOperations g\u00e5r i dag genom ett f\u00e5tal bundlare, med Pimlico och Alchemy i topp. Vitalik Buterin har varnat f\u00f6r att beroendet av bundlare och rel\u00e4er \u00e4r en k\u00e4lla till s\u00e5rbarhet<\/a>, eftersom det inte finns n\u00e5gon alternativ v\u00e4g in i blocket om de v\u00e4grar. L\u00f6sningen som diskuteras heter FOCIL, en mekanism som slumpar fram validerare som tvingas inkludera transaktioner, men den ligger fortfarande i framtiden.<\/p>

B\u00f6rsen och f\u00f6rvararen: hur proffsen t\u00e4nker<\/h2>

F\u00f6r en b\u00f6rs eller en professionell f\u00f6rvarare blev EIP-7702 ett nytt kontrollmoment. En inbetalningsadress som pl\u00f6tsligt b\u00e4r en 0xef0100-pekare kan vara delegerad till en sweeper, s\u00e5 seri\u00f6sa akt\u00f6rer skannar numera efter delegeringar och kan frysa eller flagga ins\u00e4ttningar fr\u00e5n uppgraderade konton. F\u00f6rvaringsj\u00e4tten Fireblocks r\u00e5d \u00e4r rakt: en enda skadlig delegering \u00e4r allt som kr\u00e4vs, s\u00e5 delegera bara till fullst\u00e4ndigt granskade kontrakt, och h\u00e5ll 7702-funktioner till heta pl\u00e5nb\u00f6cker med begr\u00e4nsat v\u00e4rde (Fireblocks<\/a>).<\/p>

Samtidigt suddas gr\u00e4nsen mellan b\u00f6rs och pl\u00e5nbok ut. Coinbase gjorde sina inb\u00e4ddade pl\u00e5nb\u00f6cker allm\u00e4nt tillg\u00e4ngliga i oktober 2025, med nycklar i ett s\u00e4kert chip (TEE) som Coinbase s\u00e4ger sig inte kunna n\u00e5 (Coinbase<\/a>), och Stripe k\u00f6pte pl\u00e5nboksbyggaren Privy i juni 2025 f\u00f6r att baka in sj\u00e4lvf\u00f6rvaring i vanliga appar (CoinDesk<\/a>). Fr\u00e5gan om vem som egentligen st\u00e5r bakom din f\u00f6rvaring blir d\u00e4rf\u00f6r allt viktigare; vi har j\u00e4mf\u00f6rt akt\u00f6rerna i v\u00e5r genomg\u00e5ng av kryptof\u00f6rvarare<\/a>.<\/p>

S\u00e5 l\u00e4ser och \u00e5terkallar du en delegering<\/h2>

Om du har en EOA och vill veta om den blivit ett smart konto, eller om du misst\u00e4nker en skadlig delegering, g\u00e5r det att kontrollera sj\u00e4lv. S\u00e5 h\u00e4r g\u00f6r du:<\/p>

  1. S\u00f6k upp din adress i en blockutforskare som Etherscan, eller i en s\u00e4rskild delegeringskontroll som eip7702.app. Ett smart konto via 7702 visar en kod som b\u00f6rjar med 0xef0100 f\u00f6ljt av adressen till det kontrakt som styr det.<\/li>
  2. Kontrollera vilket kontrakt pekaren g\u00e5r till. \u00c4r det din pl\u00e5nboksleverant\u00f6rs k\u00e4nda, granskade delegator (till exempel MetaMask eller Ambire) \u00e4r allt normalt.<\/li>
  3. Vill du nollst\u00e4lla kontot signerar du en ny 7702-auktorisation som pekar p\u00e5 nolladressen. D\u00e5 blir kontot en vanlig EOA igen.<\/li>
  4. Tj\u00e4nster som revoke.cash kan visa en delegering men kan i regel inte \u00e5terkalla den \u00e5t dig; de pekar bara ut problemet.<\/li>
  5. \u00c4r delegeringen skadlig \u00e4r \u00e5terkallelse inte tillr\u00e4ckligt: flytta tillg\u00e5ngarna till en helt ny pl\u00e5nbok, eftersom angriparen kan hinna f\u00f6re. Att bara \u00e5terkalla ger en falsk trygghet.<\/li><\/ol>

    Finansinspektionen, MiCA och ansvaret<\/h2>

    Var landar allt det h\u00e4r juridiskt f\u00f6r en svensk anv\u00e4ndare? Ren sj\u00e4lvf\u00f6rvaring, inklusive smarta konton du styr sj\u00e4lv, ligger utanf\u00f6r MiCA:s tillst\u00e5ndsplikt. Finansinspektionen<\/a> \u00f6vervakar leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster (CASP), allts\u00e5 b\u00f6rser, v\u00e4xlare och f\u00f6rvarare, inte pl\u00e5nboksprogramvara du k\u00f6r sj\u00e4lv. Sedan den 1 oktober 2025 m\u00e5ste varje kryptof\u00f6retag som riktar sig till svenska kunder ha ans\u00f6kt om tillst\u00e5nd hos FI eller avveckla verksamheten (FI<\/a>).<\/p>

    Gr\u00e5zonen uppst\u00e5r i mitten. Om din pl\u00e5nbok erbjuder molnbaserad \u00e5terst\u00e4llning, en paymaster-tj\u00e4nst eller en tredjepartsnyckel i en MPC-l\u00f6sning, b\u00f6rjar n\u00e5gon annan hantera en del av din \u00e5tkomst, och d\u00e5 \u00e4r det inte l\u00e4ngre sj\u00e4lvklart att det r\u00e4knas som ren sj\u00e4lvf\u00f6rvaring. Notera ocks\u00e5 att kryptoderivat (terminer, perpetualer) \u00e4r finansiella instrument under MiFID II, inte MiCA, och d\u00e4rmed en annan tillsynsfr\u00e5ga. Skattem\u00e4ssigt spelar det ingen roll om kontot \u00e4r en EOA eller ett smart konto: Skatteverket<\/a> ser varje avyttring, inklusive byte av en krypto mot en annan, som en skattepliktig h\u00e4ndelse som ska redovisas i bilaga K4 med 30 procent i kapitalskatt och genomsnittsmetoden f\u00f6r omkostnadsbeloppet.<\/p>

    V\u00e4gen fram\u00e5t: native konton som dr\u00f6jer<\/h2>

    Slutm\u00e5let, som skulle g\u00f6ra bundlare och rel\u00e4er \u00f6verfl\u00f6diga, \u00e4r native account abstraction: att protokollet sj\u00e4lvt f\u00f6rst\u00e5r smarta konton, utan en separat mempool. Men det m\u00e5let forts\u00e4tter att glida undan. EIP-8130, det konfigurationsbaserade f\u00f6rslaget fr\u00e5n Coinbase och Base, var t\u00e4nkt att landa i Base uppgradering Cobalt i september 2026. I st\u00e4llet flyttades det nyligen ut ur Cobalt till en ny, \u00e4nnu oschemalagd fork som kallas Zenith (base\/base PR #4924<\/a>), och det k\u00f6rs fortfarande bara p\u00e5 testn\u00e4tet Vibenet (Base-dokumentationen<\/a>).<\/p>

    V\u00e4rre f\u00f6r enhetligheten: samarbetet mellan Base-l\u00e4grets EIP-8130 och Ethereums eget f\u00f6rslag EIP-8141 (s\u00e5 kallade frame transactions) br\u00f6t samman i b\u00f6rjan av september 2026, s\u00e5 de tv\u00e5 l\u00e4gren driver nu separata standarder (Etherspot-sammanst\u00e4llning<\/a>). P\u00e5 Ethereums huvudkedja forkade Glamsterdams testn\u00e4t Plat\u00e5berget i augusti, men native account abstraction \u00e4r inte huvudnumret d\u00e4r (det \u00e4r ePBS och block-access-listor); EIP-8141 \u00e4r schemalagt f\u00f6r inkludering i en senare Hegot\u00e1-fork, tidigast 2027, och inte som dragpl\u00e5ster. Pedro Gomes, grundare av WalletConnect, har efter m\u00e5nader p\u00e5 EIP-8141 landat i att EIP-8130 \u00e4r ”the better path for native account abstraction” eftersom det \u00e4r enklare och mer portabelt (via X<\/a>). F\u00f6r dig som anv\u00e4ndare betyder splittringen en sak: bron som EIP-7702 utg\u00f6r kommer att dr\u00f6ja kvar l\u00e4nge \u00e4n.<\/p>

    Uppgradering<\/th>N\u00e4r<\/th>Vad det betyder f\u00f6r smarta konton<\/th><\/tr><\/thead>
    Pectra<\/td>7 maj 2025<\/td>EIP-7702: en EOA kan l\u00e5na kontraktskod (tx-typ 0x04)<\/td><\/tr>
    Fusaka<\/td>3 dec 2025<\/td>PeerDAS, billigare Layer 2; ingen native AA<\/td><\/tr>
    Glamsterdam (Plat\u00e5berget-testn\u00e4t)<\/td>forkat aug 2026<\/td>Huvudnummer ePBS och block-access-listor; native AA inte dragpl\u00e5stret<\/td><\/tr>
    Base Cobalt<\/td>sep 2026<\/td>EIP-8130 flyttat ut till en ny Zenith-fork; k\u00f6r bara p\u00e5 Vibenet-devnet<\/td><\/tr>
    Hegot\u00e1<\/td>tidigast 2027<\/td>EIP-8141 schemalagt f\u00f6r inkludering, ej huvudnummer<\/td><\/tr><\/tbody><\/table><\/figure>

    Slutsats: signera som om koden g\u00f6r exakt det du s\u00e4ger<\/h2>

    Radiant \u00e4r inte en varning mot smarta konton. Det \u00e4r en varning om att f\u00f6rtroendet har flyttat. N\u00e4r beh\u00f6righeten ligger i kod g\u00f6r kontraktet exakt det du signerar, varje g\u00e5ng, utan tvekan, \u00e4ven n\u00e4r det du signerar \u00e4r en katastrof. Skyddet ligger d\u00e4rf\u00f6r inte i en dyrare h\u00e5rdvarupl\u00e5nbok, utan i att aldrig godk\u00e4nna n\u00e5got du inte kan l\u00e4sa. Det g\u00e4ller privatpersonen med en enda pl\u00e5nbok lika mycket som DAO:n med elva undertecknare.<\/p>

    En kort checklista att ta med sig:<\/p>

    • Anv\u00e4nd en pl\u00e5nbok med clear signing och transaktionssimulering, och lita inte blint p\u00e5 hashen p\u00e5 h\u00e5rdvarusk\u00e4rmen.<\/li>
    • Signera aldrig p\u00e5 en enhet du misst\u00e4nker kan vara komprometterad; en h\u00e5rdvarupl\u00e5nbok skyddar inte om datorn ljuger.<\/li>
    • Kontrollera dina 7702-delegeringar med j\u00e4mna mellanrum och nollst\u00e4ll dem du inte k\u00e4nner igen.<\/li>
    • Delegera bara till k\u00e4nda, granskade kontrakt, och ge sessionsnycklar och paymasters s\u00e5 sn\u00e4va fullmakter som m\u00f6jligt.<\/li>
    • F\u00f6r st\u00f6rre belopp: sprid nycklar p\u00e5 flera personer och enheter, men kom ih\u00e5g att multisig inte hj\u00e4lper om alla signerar samma blinda hash.<\/li><\/ul>

      Vanliga fr\u00e5gor<\/h2>

      Vad \u00e4r ett smart konto och account abstraction?<\/h3>

      Ett smart konto styrs av ett smart contract i st\u00e4llet f\u00f6r av en enda privat nyckel, vilket \u00e4r k\u00e4rnan i det som kallas account abstraction. Det g\u00f6r att reglerna f\u00f6r vem som f\u00e5r flytta pengar kan programmeras: flera signaturer, utgiftsgr\u00e4nser, gasfria transaktioner, passkeys och social \u00e5terst\u00e4llning. Du skaffar ett i dag antingen via ERC-4337 (ett nytt kontraktskonto) eller via EIP-7702 (din befintliga adress l\u00e5nar kontraktskod).<\/p>

      Var Radiant-hacket ett fel i det smarta kontraktet?<\/h3>

      Nej. Radiants Gnosis Safe-multisig gjorde exakt det som tre beh\u00f6riga undertecknare signerade. Angriparna anv\u00e4nde skadlig kod som visade korrekta transaktionsdata p\u00e5 sk\u00e4rmen medan en annan nyttolast skickades till h\u00e5rdvarupl\u00e5nb\u00f6ckerna, s\u00e5 att undertecknarna blindsignerade ett byte av kontroll \u00f6ver protokollet. Felet l\u00e5g i signeringen och i en riktad social manipulation, inte i koden.<\/p>

      Skyddar en h\u00e5rdvarupl\u00e5nbok mot den h\u00e4r typen av attack?<\/h3>

      Bara delvis. En h\u00e5rdvarupl\u00e5nbok skyddar din privata nyckel, men den avkodar inte alltid vad en transaktion g\u00f6r, utan visar en hash som du ombeds godk\u00e4nna. Om du signerar den hashen p\u00e5 en internetansluten och m\u00f6jligen komprometterad enhet kan du godk\u00e4nna n\u00e5got helt annat \u00e4n du tror. Skyddet ligger i clear signing och i att aldrig signera det du inte kan l\u00e4sa.<\/p>

      \u00c4r ett smart konto reglerat av Finansinspektionen?<\/h3>

      Ren sj\u00e4lvf\u00f6rvaring, inklusive smarta konton du styr sj\u00e4lv, ligger utanf\u00f6r MiCA:s tillst\u00e5ndsplikt, och Finansinspektionen \u00f6vervakar leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster som b\u00f6rser och f\u00f6rvarare, inte pl\u00e5nboksprogramvara du k\u00f6r sj\u00e4lv. Gr\u00e5zonen uppst\u00e5r n\u00e4r en tj\u00e4nst tar hand om en del av din \u00e5tkomst, till exempel moln\u00e5terst\u00e4llning eller en tredjepartsnyckel. Skattem\u00e4ssigt behandlar Skatteverket ett smart konto exakt som en vanlig pl\u00e5nbok.<\/p>

      Hur ser jag och \u00e5terkallar en EIP-7702-delegering?<\/h3>

      S\u00f6k upp din adress i en blockutforskare som Etherscan eller i en delegeringskontroll som eip7702.app; en 7702-delegering visas som en kod som b\u00f6rjar med 0xef0100 f\u00f6ljt av kontraktets adress. F\u00f6r att nollst\u00e4lla den signerar du en ny auktorisation som pekar p\u00e5 nolladressen. Tj\u00e4nster som revoke.cash kan visa delegeringen men oftast inte \u00e5terkalla den, och om delegeringen \u00e4r skadlig b\u00f6r du flytta tillg\u00e5ngarna till en ny pl\u00e5nbok.<\/p>