Under 2026 blev kryptopl\u00e5nboken \u00e4ntligen enkel att anv\u00e4nda. Passkeys ersatte seed-fraser, inb\u00e4ddade pl\u00e5nb\u00f6cker skapade sig sj\u00e4lva p\u00e5 under en sekund, gasfria transaktioner g\u00f6mde avgiften och ett enda tryck skickade pengarna. Branschen kallade det \u00e5ret d\u00e5 onboarding blev tr\u00e5kig, p\u00e5 ett bra s\u00e4tt. Sedan kom r\u00e4kningen.<\/p>
Varje punkt av friktion som pl\u00e5nboken tog bort visade sig vara en plats d\u00e4r en tjuv f\u00f6rut fastnade. Ta bort installationsfriktionen, och en falsk app glider in i App Store. Ta bort signeringsfriktionen, och ett tryck t\u00f6mmer kontot. Ta bort adressfriktionen, och en f\u00f6rgiftad rad i historiken styr om betalningen. I slutet av juli f\u00f6rlorade en h\u00e5rdvarupl\u00e5nbok, som skulle vara maximal friktion, enligt f\u00f6rsiktiga uppskattningar omkring 116 miljoner dollar (ungef\u00e4r 1,16 miljarder kronor) p\u00e5 grund av en enda rad kod fr\u00e5n 2021. Det h\u00e4r \u00e4r en obduktion av pl\u00e5nbokens UX under 2026, och den obekv\u00e4ma slutsatsen \u00e4r att friktion aldrig var buggen. Den var funktionen.<\/p>
Siffrorna f\u00f6r 2026 pekar f\u00f6rst i en uppmuntrande riktning. S\u00e4kerhetsf\u00f6retaget Scam Sniffer rapporterade att f\u00f6rlusterna till phishing-drainers f\u00f6ll med omkring 83 procent under 2025, till cirka 84 miljoner dollar (runt 840 miljoner kronor) fr\u00e5n n\u00e4ra 494 miljoner dollar \u00e5ret innan, och att antalet drabbade pl\u00e5nb\u00f6cker sj\u00f6nk med ungef\u00e4r tv\u00e5 tredjedelar (cryptonews<\/a>). De smidiga skyddsfunktionerna, allts\u00e5 transaktionssimulering, clear signing och svartlistor mot k\u00e4nda drainers, fungerade faktiskt.<\/p> Men m\u00f6nstret under 2026 v\u00e4nde. Angriparna gick fr\u00e5n massdr\u00e4nering till det som Scam Sniffer kallar whale hunting: f\u00e4rre offer, men st\u00f6rre tr\u00e4ffar, och signaturbaserad phishing sk\u00f6t i h\u00f6jden i januari. Samtidigt dominerades rubrikerna av tv\u00e5 h\u00e4ndelser som inte handlade om klumpiga massutskick alls, utan om pl\u00e5nbokens egen design. Den ena var en h\u00e5rdvarupl\u00e5nbok som l\u00e4ckte runt 116 miljoner dollar. Den andra var 26 falska pl\u00e5nboksappar som Kaspersky hittade mitt inne i Apples App Store. F\u00f6rlusterna hade inte f\u00f6rsvunnit. De hade flyttat, fr\u00e5n den klumpiga drainern till den precisa attacken som utnyttjar sj\u00e4lva gr\u00e4nssnittet.<\/p> Argumentet \u00e4r enkelt och obehagligt. Varje UX-vinst under de senaste \u00e5ren var i praktiken ett borttaget steg. F\u00f6r en vanlig anv\u00e4ndare \u00e4r ett extra steg ett irritationsmoment. F\u00f6r en angripare var exakt samma steg en kontrollpunkt som m\u00e5ste besegras. N\u00e4r branschen tog bort friktion gjorde den det inte bara f\u00f6r anv\u00e4ndaren, utan f\u00f6r alla. Tjuven slapp samma hinder.<\/p> Det g\u00e5r att dela upp pl\u00e5nbokens friktion i fyra lager, och 2026 gav varje lager sitt eget signaturhaveri. Installationsfriktionen, allts\u00e5 m\u00f6dan att hitta och verifiera r\u00e4tt app, f\u00f6ll och gav falska appar i App Store. Signeringsfriktionen, m\u00f6dan att f\u00f6rst\u00e5 vad man godk\u00e4nner, f\u00f6ll och gav blind signering och gasfria godk\u00e4nnanden som t\u00f6mmer konton. Adressfriktionen, m\u00f6dan att skriva och kontrollera en mottagaradress, f\u00f6ll och gav address poisoning. Varum\u00e4rkesfriktionen, den gamla misst\u00e4nksamheten mot ov\u00e4ntade meddelanden, f\u00f6ll och gav phishing som b\u00e4r pl\u00e5nbokens eget ansikte. Det \u00e4r samma logik som i listningsf\u00e4llan<\/a>: bekv\u00e4mlighet marknadsf\u00f6rs som en funktion, medan kostnaden g\u00f6ms.<\/p> Det gamla r\u00e5det var tryggt i sin enkelhet: ladda bara ner pl\u00e5nboken fr\u00e5n den officiella appbutiken. Under 2026 slog Kaspersky h\u00e5l p\u00e5 det r\u00e5det. F\u00f6retaget hittade 26 falska kryptopl\u00e5nboksappar publicerade i Apples App Store, en kampanj som fick namnet FakeWallet och som med m\u00e5ttlig s\u00e4kerhet knyts till hotakt\u00f6ren bakom SparkKitty, sannolikt kinesisktalande operat\u00f6rer. Kampanjen hade varit aktiv sedan \u00e5tminstone h\u00f6sten 2025 och d\u00f6k ofta upp i s\u00f6kresultaten i den kinesiska App Store, d\u00e4r m\u00e5nga riktiga pl\u00e5nb\u00f6cker inte finns tillg\u00e4ngliga (Kaspersky<\/a>).<\/p> Mekaniken \u00e4r en lektion i hur tunn installationsfriktionen blivit. Apparna anv\u00e4nde namn med avsiktliga stavfel, som \u00bbLeddgerNew\u00ab, och n\u00e4r de \u00f6ppnades skickades anv\u00e4ndaren vidare till en webbsida som h\u00e4rmade App Store. D\u00e4r installerades en utvecklarprofil som i sin tur till\u00e4t en trojaniserad pl\u00e5nboksapp. F\u00f6r heta pl\u00e5nb\u00f6cker f\u00e5ngade skadekoden seed-frasen redan n\u00e4r pl\u00e5nboken skapades; f\u00f6r kalla pl\u00e5nb\u00f6cker som Ledger, d\u00e4r den \u00e4kta appen aldrig fr\u00e5gar efter seed-frasen, lurades anv\u00e4ndaren att skriva in den \u00e4nd\u00e5 (The Hacker News<\/a>). De efterh\u00e4rmade varum\u00e4rkena var en lista \u00f6ver de mest betrodda namnen i branschen: MetaMask, Ledger, Trust Wallet, Coinbase, TokenPocket, imToken och Bitpie.<\/p> Sergey Puzan, expert p\u00e5 mobil skadekod hos Kaspersky, beskrev kedjan s\u00e5 h\u00e4r: \u00bbApparna som startar attackkedjan \u00e4r inte i sig skadliga, men de leder till att anv\u00e4ndaren till slut installerar en trojan\u00ab (Kaspersky<\/a>). Det \u00e4r k\u00e4rnan i problemet: App Store-m\u00e4rket var den friktion som anv\u00e4ndarna litade p\u00e5, sj\u00e4lva granskningen och kurateringen. N\u00e4r den tilliten \u00e4r den enda kontrollen r\u00e4cker det att f\u00f6rfalska sammanhanget runt den. Att en falsk Sparrow Wallet-app enligt uppgift t\u00f6mde offer p\u00e5 sammanlagt 1,8 miljoner dollar mellan maj och augusti 2025 (Malwarebytes<\/a>) visar att det inte var en eng\u00e5ngsh\u00e4ndelse.<\/p> Den gamla friktionen vid signering var f\u00f6rst\u00e5else: att l\u00e4sa en transaktion och begripa vad den gjorde. Blind signering tog bort f\u00f6rst\u00e5elsen, och godk\u00e4nnanden med ett tryck tog bort pausen. Resultatet syns i statistiken. Enligt Scam Sniffer stod phishing via Permit och Permit2, allts\u00e5 gasfria signaturer utanf\u00f6r kedjan som ger n\u00e5gon annan r\u00e4tt att spendera dina tokens, f\u00f6r runt 38 procent av alla f\u00f6rluster \u00f6ver en miljon dollar under 2025, och den enskilt st\u00f6rsta f\u00f6rlusten det \u00e5ret var omkring 6,5 miljoner dollar (cirka 65 miljoner kronor) via en enda skadlig Permit-signatur (Cointelegraph<\/a>). Det l\u00f6mska \u00e4r att en Permit inte ser ut som en betalning. Pl\u00e5nboken visar en kryptisk datastr\u00e4ng, och anv\u00e4ndaren godk\u00e4nner n\u00e5got den inte kan l\u00e4sa.<\/p> Charles Guillemet, teknikchef p\u00e5 Ledger, har pekat ut blind signering som det avg\u00f6rande felet: fr\u00e5gan anv\u00e4ndaren egentligen besvarar \u00e4r om man h\u00e4mtar en airdrop eller ger ett skadligt kontrakt tillst\u00e5nd att t\u00f6mma pl\u00e5nboken, utan att gr\u00e4nssnittet s\u00e4ger vilket (Investing.com<\/a>). Motmedlet \u00e4r att tvinga tillbaka f\u00f6rst\u00e5elsen. Clear signing, standarden ERC-7730, f\u00f6ddes hos Ledger 2023 och \u00f6verf\u00f6rdes den 12 maj 2026 till Ethereum Foundation som neutral f\u00f6rvaltare, via dess Trillion Dollar Security Initiative. Principen f\u00e5r plats p\u00e5 en t-shirt, \u00bbWhat You See Is What You Sign\u00ab, och m\u00e5let \u00e4r uttryckligen att den l\u00e4sbara transaktionen ska vara standard, inte ett tillval begravt i avancerade inst\u00e4llningar (Ethereum Foundation<\/a>). Det \u00e4r, i klartext, att \u00e5terinf\u00f6ra l\u00e4sfriktion med flit.<\/p> Ett nytt vridmoment kom med EIP-7702, som efter uppgraderingen g\u00f6r det m\u00f6jligt f\u00f6r ett vanligt konto att delegera sin kod till ett kontrakt med en enda signatur. Praktiskt f\u00f6r smarta pl\u00e5nb\u00f6cker, men Scam Sniffer noterade ocks\u00e5 de f\u00f6rsta skadliga 7702-delegeringarna, d\u00e4r offret med ett tryck g\u00f6r sitt konto till n\u00e5got angriparen styr. Vi har tidigare g\u00e5tt igenom varf\u00f6r forken i sig inte r\u00f6rde ditt konto<\/a>, och hur b\u00f6rserna brottas med det delegerade kontots dilemma<\/a>. Po\u00e4ngen h\u00e4r \u00e4r densamma: en kraftfull funktion som kr\u00e4ver ett enda godk\u00e4nnande \u00e4r ocks\u00e5 en kraftfull attack som kr\u00e4ver ett enda godk\u00e4nnande.<\/p> En kryptoadress \u00e4r 42 tecken av ol\u00e4slig hexadecimal, och ingen vill skriva den f\u00f6r hand. Pl\u00e5nb\u00f6cker l\u00f6ste det med bekv\u00e4mlighet: de kortar ner adressen p\u00e5 sk\u00e4rmen till n\u00e5got i stil med 0x1234 f\u00f6ljt av tre punkter och fyra sluttecken, och de l\u00e5ter dig kopiera en adress direkt ur transaktionshistoriken. Address poisoning utnyttjar exakt den bekv\u00e4mligheten. Angriparen skickar en v\u00e4rdel\u00f6s transaktion, ofta en falsk token eller noll kronor, fr\u00e5n en adress som \u00e4r konstruerad f\u00f6r att ha samma f\u00f6rsta och sista tecken som en adress du nyligen anv\u00e4nt. N\u00e4sta g\u00e5ng du betalar och kopierar fr\u00e5n historiken kopierar du angriparens adress, eftersom den ser r\u00e4tt ut i det nedkortade f\u00e4ltet.<\/p> Omfattningen \u00e4r inte marginell. MetaMask och s\u00e4kerhetsfirman Blockaid rapporterar att de har flaggat mer \u00e4n 65 miljoner f\u00f6rs\u00f6k till adressf\u00f6rgiftning sedan januari 2025, och simulering av transaktioner innan de signeras har blivit en standardfunktion just f\u00f6r att stoppa den h\u00e4r klassen av bedr\u00e4geri (MetaMask<\/a>). \u00c5terigen \u00e4r f\u00f6rsvaret att \u00e5terinf\u00f6ra friktion: att verifiera hela adressen tecken f\u00f6r tecken, att anv\u00e4nda en adressbok med en allowlist i st\u00e4llet f\u00f6r historiken, och att l\u00e5ta pl\u00e5nboken simulera vad transaktionen faktiskt g\u00f6r innan man godk\u00e4nner den. Den nedkortade adressen var en designgenv\u00e4g, och genv\u00e4gen blev en attackyta.<\/p> Den fj\u00e4rde friktionen \u00e4r psykologisk. F\u00f6rr var en sund vana att vara misst\u00e4nksam mot ov\u00e4ntade meddelanden. Men n\u00e4r pl\u00e5nb\u00f6cker l\u00e4rde sig snygg design, push-notiser, inbyggda dapp-webbl\u00e4sare och e-postfl\u00f6den, tr\u00e4nades anv\u00e4ndarna att agera p\u00e5 meddelanden som b\u00e4r pl\u00e5nbokens varum\u00e4rke. Angriparna klonar utseendet: falska e-postmeddelanden om en Ledger Live-uppdatering, falsk MetaMask-support, falska popup-f\u00f6nster inne i en dapp. FakeWallet-kampanjen var i grunden ett varum\u00e4rkesbedr\u00e4geri, och hela SparkKitty-kedjan byggde p\u00e5 att offret k\u00e4nde igen en logotyp och slutade t\u00e4nka.<\/p> Det \u00e4r h\u00e4r obduktionskulturen blir avg\u00f6rande, allts\u00e5 arbetet med att i efterhand fastst\u00e4lla vem som gjorde vad och hur. N\u00e4r en attack v\u00e4l rullat kan en noggrann genomg\u00e5ng visa om felet l\u00e5g i koden, i gr\u00e4nssnittet eller i en klonad logotyp, och vi har sett hur s\u00e5dana genomg\u00e5ngar kan peka ut nya misst\u00e4nkta<\/a> l\u00e5ngt efter att pengarna f\u00f6rsvann. Utan den disciplinen blir varje nytt varum\u00e4rkesbedr\u00e4geri en \u00f6verraskning i st\u00e4llet f\u00f6r ett k\u00e4nt m\u00f6nster som pl\u00e5nboken kan byggas f\u00f6r att st\u00e5 emot.<\/p> Om en smidig pl\u00e5nbok \u00e4r den ena ytterligheten \u00e4r Coldcard den andra. Enheten, tillverkad av Coinkite, \u00e4r maximalisternas val: luftgapad, kompromissl\u00f6s och \u00e4lskad av bitcoinare just f\u00f6r att den g\u00f6r sj\u00e4lvf\u00f6rvar till ett t\u00e5lamodspr\u00f6vande ritual. Under 2026 drabbades den av \u00e5rets st\u00f6rsta h\u00e5rdvarupl\u00e5nbokst\u00f6ld. Enligt blockkedjeanalysf\u00f6retaget TRM Labs t\u00f6mdes mer \u00e4n 5 200 adresser i fyra v\u00e5gor under ungef\u00e4r fyra dygn med start den 30 juli. Den f\u00f6rsta v\u00e5gen ensam drog ut omkring 594 BTC, cirka 38 miljoner dollar, fr\u00e5n ungef\u00e4r 500 pl\u00e5nb\u00f6cker p\u00e5 25 minuter, och den prelimin\u00e4ra totalsumman landade kring 1 816 BTC, omkring 116 miljoner dollar eller drygt 1,16 miljarder kronor (TRM Labs<\/a>). Tom Robinson, medgrundare av Elliptic, bekr\u00e4ftade f\u00f6r TechCrunch att en uppskattning p\u00e5 130 miljoner dollar var \u00bbungef\u00e4r r\u00e4tt\u00ab, och Galaxy Research r\u00e4knade till minst ett dussin olika tjuvar som arbetade parallellt (TechCrunch<\/a>).<\/p> Orsaken var inte en hackad server eller ett lurat offer, utan ett byggfel i enhetens egen firmware. I Coinkites egen tekniska genomg\u00e5ng framg\u00e5r att felet inf\u00f6rdes i firmware 4.0.1, som sl\u00e4pptes i mars 2021, n\u00e4r Coldcard gick \u00f6ver till samma libsecp256k1-implementation som Bitcoin Core och lade till biblioteket libngu. Under migrationen flyttades seed-genereringen fr\u00e5n enhetens h\u00e5rdvarubaserade slumptalsgenerator till en programvarubaserad reserv, och den effektiva entropin f\u00f6ll fr\u00e5n 128 bitar till omkring 40 bitar p\u00e5 modellerna Mk2 och Mk3 (och till ungef\u00e4r 72 bitar p\u00e5 Mk4, Mk5 och Q, d\u00e4r s\u00e4kerhetskretsen d\u00e4mpade fallet). Det gjorde nycklarna m\u00f6jliga att gissa med r\u00e5 ber\u00e4kningskraft, helt utan fysisk tillg\u00e5ng till enheten (Coinkite<\/a>).<\/p> Det mest brutala \u00e4r vad en fix inte kan g\u00f6ra. Som Coinkite skriver reparerar en firmwareuppdatering inte en seed som redan genererats av drabbad firmware; anv\u00e4ndaren m\u00e5ste skapa en helt ny seed och flytta sina medel. En av de drabbade, Jonathan Goodman, sammanfattade det f\u00f6r TechCrunch: \u00bbAllt p\u00e5 grund av att h\u00e5rdvaran som skapade seed-frasen fr\u00e5n b\u00f6rjan hade en rad i sin kod fr\u00e5n 2021 som inneh\u00f6ll en s\u00e5rbarhet\u00ab (TechCrunch<\/a>). Ur ett UX-perspektiv \u00e4r det h\u00e4r det l\u00e4skigaste av alla haverier, f\u00f6r enhetens gr\u00e4nssnitt gav noll signal. Det fanns ingen friktion som varnade, seed-frasen s\u00e5g normal ut, enheten betedde sig normalt och kallf\u00f6rvaringen \u00bbfungerade\u00ab. Felet l\u00e5g under gr\u00e4nssnittet, vid entropin. L\u00e4rdomen \u00e4r inte att friktion \u00e4r on\u00f6dig, utan att friktion inte \u00e4r detsamma som s\u00e4kerhet om den sitter p\u00e5 fel lager.<\/p> Det finns en detalj i Coinkites r\u00e5dgivning som \u00e4r n\u00e4stan \u00f6vertydlig som tes. En seed som skapades med minst 50 oberoende, privata t\u00e4rningskast betraktas inte som utsatt f\u00f6r slumptalsbuggen, eftersom anv\u00e4ndaren d\u00e5 bidrog med sin egen entropi i st\u00e4llet f\u00f6r att lita p\u00e5 enhetens (Coinkite<\/a>). Med andra ord: de som orkade genomf\u00f6ra det tr\u00e5kigaste, mest friktionsfyllda momentet, att sitta och rulla fysiska t\u00e4rningar tiotals g\u00e5nger, var skyddade. De som tog den smidiga standardv\u00e4gen och l\u00e4t enheten sk\u00f6ta det var exponerade.<\/p> Det \u00e4r tesen i en enda mening: friktionen var s\u00e4kerheten. Och m\u00f6nstret upprepas genom hela \u00e5rets obduktion. Anv\u00e4ndaren som verifierade hela adressen, som l\u00e4ste den clear-signade transaktionen, som v\u00e4grade installera en pl\u00e5nbok fr\u00e5n en s\u00f6ktr\u00e4ff och som beh\u00f6ll ett spendtak blev i de allra flesta fall inte t\u00f6md. Friktion kostar sekunder. Avsaknaden av den kostade under 2026 l\u00e5ngt \u00f6ver hundra miljoner dollar.<\/p>Tesen: friktion var aldrig buggen<\/h2>
Installationsfriktionen: 26 falska pl\u00e5nb\u00f6cker i App Store<\/h2>
Signeringsfriktionen: ett tryck r\u00e4cker<\/h2>
Adressfriktionen: det f\u00f6rgiftade historikf\u00e4ltet<\/h2>
Varum\u00e4rkesfriktionen: phishing med din pl\u00e5nboks ansikte<\/h2>
H\u00e5rdvaruundantaget som bekr\u00e4ftar regeln: Coldcard-haveriet<\/h2>
T\u00e4rningarna som r\u00e4ddade n\u00e5gra<\/h2>
\u00c5rets UX-haverier i siffror<\/h2>