Ethereum-lommebok Kapret: 63% Angrepsrate [2026]

En fersk analyse publisert 21. august 2026 slår fast at 63 prosent av alle transaksjoner som bruker Ethereums nye “autorisasjonsfunksjon” for lommebøker er knyttet til ondsinnede smartkontrakter. Samtidig har sikkerhetsforskere hos Zscaler og Upwind dokumentert hvordan en selvspredende npm-orm kalt ChainDrop, oppdaget 4. august 2026, bruker en Ethereum-smartkontrakt som kommandosentral for skadevaren sin. To separate hendelser, samme mønster: angripere har begynt å bruke Ethereums infrastruktur selv som verktøy, ikke bare som mål.

For lesere i Norge og Norden, hvor både utviklermiljøer og kryptoinvestorer er tallrike, er dette mer enn en teknisk fotnote. Det er et varsel om at grensen mellom “smartkontrakt-sikkerhet” og “programvareforsyningskjede-sikkerhet” har visket seg ut. Denne artikkelen går gjennom tallene, teknikken og hva det betyr fremover.

Hva er Ethereums nye autorisasjonstransaksjoner?

Ethereum har de siste årene beveget seg bort fra rigide lommebok-kontoer og mot mer fleksible “smart accounts”. Den nye funksjonen for autorisasjonstransaksjoner lar en vanlig lommebok midlertidig oppføre seg som en smartkontrakt, slik at brukeren kan godkjenne mer avanserte handlinger, som å la en app flytte tokens på vegne av brukeren, uten å måtte signere hver eneste transaksjon manuelt.

Tanken er god: mindre friksjon, færre klikk, og en lommebok som kan “låne” funksjonalitet fra en smartkontrakt. Problemet er at den samme mekanismen gjør det mulig for en angriper å be brukeren om en bred fullmakt én gang, og deretter tømme lommeboken senere uten at brukeren merker noe før pengene er borte. Forskerne bak analysen som ble publisert i august fant at et flertall av de tidlige brukerne av funksjonen ikke var vanlige lommebok-eiere, men angripere som testet og misbrukte den nye tillatelsesmodellen.

Det er verdt å understreke at funksjonen i seg selv ikke er en sårbarhet i tradisjonell forstand. Koden gjør det den skal. Problemet ligger i hvordan brukergrensesnitt og lommebok-apper presenterer godkjenningen til sluttbrukeren, og hvor lett det er å skjule omfanget av en fullmakt bak en enkel “Godkjenn”-knapp.

Tallene bak de 63 prosentene

Studien, omtalt av Blockin Media 21. august 2026, gikk gjennom transaksjonene som bruker den nye autorisasjonsmekanismen siden lanseringen og fant at 63 prosent pekte mot kontrakter som allerede var merket som ondsinnede eller mistenkelige i eksisterende trusseldatabaser. Det betyr at bare litt over en tredjedel av bruken så langt kan regnes som legitim, hverdagslig lommebok-aktivitet.

Det gir et sjeldent tidlig varsel. Normalt tar det måneder, ofte år, før angripere klarer å dominere bruken av en helt ny protokollfunksjon på denne måten. At det skjer allerede i utrullingsfasen tyder på at kriminelle nettverk overvåker Ethereums utviklingsveikart tett, og at de har verktøy klare til å utnytte nye funksjoner nærmest samme dag de blir tilgjengelige på hovednettet.

Mønsteret ligner det sikkerhetsselskapet Blockaid har pekt på gjennom hele 2026: svikt i tilgangskontroll, ondsinnede oppgraderinger av proxy-kontrakter der angripere bytter ut den underliggende koden med bakdørsversjoner, og mangelfull verifisering av meldinger som går på tvers av ulike blokkjeder. Den nye autorisasjonsfunksjonen faller rett inn i den første kategorien: et tillatelsessystem som er for tillitsfullt overfor kontrakter brukeren aldri har hørt om.

ChainDrop: npm-ormen som styres fra en Ethereum-kontrakt

Parallelt med lommebok-historien rullet en helt annen, men beslektet, sak ut i starten av august. 4. august 2026 ble en konto tilhørende vedlikeholderen av det populære npm-pakken keyv kompromittert. Angriperen brukte kontoen til å presse ut ondsinnede commits direkte til kildekode-repositorier, noe som trigget tillitsbaserte CI/CD-pipeliner til automatisk å publisere infiserte pakkeversjoner. Fordi pipelinene i utgangspunktet var klarert, fikk de infiserte pakkene tilsynelatende gyldige signaturer og opphavshistorikk.

Skadevaren fikk navnet ChainDrop av sikkerhetsforskere hos Zscalers ThreatLabz, og kampanjen ble internt kalt “Here We Go Again” av enkelte analytikere fordi den minner om tidligere store forsyningskjedeangrep i npm-økosystemet. Det som skiller ChainDrop fra en gjennomsnittlig npm-orm er hvordan den finner sine kommandoservere.

I stedet for å hardkode et sett med domener, som sikkerhetsteam relativt raskt kan blokkere, forankrer ChainDrop kommando- og kontrollinfrastrukturen (C2) sin i en Ethereum-smartkontrakt kalt StringListStore, med adressen 0xE1f2395ee43e45A1556EC6438a88c31B83493103. Skadevaren henter oppdatert liste over aktive C2-domener direkte fra kontrakten via et vanlig eth_call-oppslag, altså et gratis, offentlig lesekall som ikke krever noen transaksjon eller signatur.

Konsekvensen er at angriperen kan bytte ut hele listen med kommandodomener med én eneste Ethereum-transaksjon, uten å røre en eneste infisert maskin. Tradisjonelle blokklister og statiske indikatorer på kompromittering (IOC-er) mister mye av verdien sin når kommandoinfrastrukturen kan flytte seg på minutter og fortsatt være tilgjengelig fra tusenvis av offentlige noder verden over.

Slik fungerer datastrømmen teknisk

Ifølge en teknisk gjennomgang fra sikkerhetsselskapet Upwind henter den infiserte klienten domenelisten fra smartkontrakten via rundt 75 hardkodede, offentlige Ethereum RPC-endepunkter, slik at ett enkelt endepunkt som blir tatt ned eller blokkert ikke stopper angrepet. Selve dataene som sendes ut fra offerets maskin går til https://[domene]:443/router, kryptert med AES-256-GCM, der selve øktnøkkelen igjen er pakket inn med RSA-OAEP før overføring.

// Forenklet, illustrativt eksempel på mønsteret
// (ikke faktisk kildekode fra ChainDrop)
const contract = new ethers.Contract(
  "0xE1f2395ee43e45A1556EC6438a88c31B83493103",
  ["function getDomains() view returns (string[])"],
  provider
);

const c2Domains = await contract.getDomains();
// Skadevaren velger et av de returnerte domenene
// og krypterer utgående data med AES-256-GCM
// før øktnøkkelen pakkes inn med RSA-OAEP.

Upwind sin anbefaling til berørte utviklingsmiljøer er uvanlig kontant: behandle alle maskiner og CI-løpere som har vært i kontakt med de infiserte pakkeversjonene som fullstendig kompromitterte, og bygg dem på nytt fra bunnen fremfor å prøve å “rense” dem. Når skadevaren bruker en blokkjede som fallback-kanal for kommandoer, blir tradisjonell rettsteknisk gjennomgang og opprydding vesentlig vanskeligere, fordi det ikke finnes noen sentral logg å beslaglegge.

EtherRAT: Løsepengevirus som henter ordre fra blokkjeden

ChainDrop er ikke alene om å bruke Ethereum som kontrollkanal. I en trusselrapport datert 5. august 2026 beskriver sikkerhetsselskapet Cyware en bakdør kalt EtherRAT, bygget på Node.js, som også henter sine kommandodestinasjoner fra Ethereum-smartkontrakter. EtherRAT er i hovedsak et verktøy for løsepengevirus-operatører, og gir dem det rapporten omtaler som robust og vanskelig-å-blokkere ekstern tilgang til infiserte systemer.

At to uavhengige trusselaktører, med ulike mål, lander på samme teknikk med bare noen dagers mellomrom, tyder på at dette ikke er en isolert idé fra én dyktig utvikler. Det ligner mer på en teknikk som sprer seg i kriminelle fora og verktøysett, på samme måte som utpressingsvirus-som-tjeneste spredte seg for noen år siden.

Hvorfor blokkjeden er blitt et yndet skjulested for C2

Fra et angriperperspektiv gir en offentlig blokkjede flere fordeler sammenlignet med en tradisjonell server i et datasenter. For det første er den umulig å “ta ned”: Ethereum har titusenvis av noder verden over, og et lesekall mot en kontrakt kan gjøres mot hvilken som helst av dem. For det andre er endringer billige og raske, en enkelt transaksjon som koster noen få dollar i gebyr er nok til å bytte ut hele kommandolisten. For det tredje er trafikken vanskelig å skille fra vanlig, legitim blokkjedeaktivitet, siden et eth_call-oppslag ser identisk ut enten det kommer fra en lommebok-app eller fra skadevare.

Samtidig er det en svakhet angripere sjelden nevner: alt som skjer på en offentlig blokkjede er permanent og synlig. Når sikkerhetsforskere først har identifisert kontraktsadressen, kan de følge hver eneste oppdatering av domenelisten i sanntid, uten å måtte samarbeide med en internettleverandør eller domeneregistrar om innsyn. Det er trolig derfor både ChainDrop og EtherRAT ble avdekket og dokumentert i løpet av dager, ikke måneder.

Markedskonsekvenser for DeFi-sektoren

2026 har allerede vært et tungt år for DeFi-sikkerhet. Ifølge tall omtalt av Cybernews og Seeking Alpha ble det i april stjålet nærmere 300 millioner dollar fra en kryssbro brukt av Kelp DAO, bygget på LayerZero, i det som ble omtalt som det største DeFi-hacket i 2026 på det tidspunktet. PeckShield har separat registrert åtte brorelaterte hendelser i løpet av året som til sammen har tappet 328,6 millioner dollar fra ulike protokoller.

Denne bakgrunnen gjør at markedet reagerer raskere og mer nervøst på nye sikkerhetsvarsler enn tidligere. Når analyser om misbrukte autorisasjonstransaksjoner og blokkjede-basert skadevare kommer på toppen av en allerede lang liste av bro-hack og protokollfeil, blir det vanskeligere for utviklerteam å overbevise institusjonelle investorer om at infrastrukturen er moden nok for store kapitalinnskudd. Flere sikkerhetsselskaper, deriblant Blockaid, har pekt på at de samme tre feilmønstrene, svak tilgangskontroll, ondsinnede proxy-oppgraderinger og manglende verifisering av meldinger på tvers av kjeder, går igjen i de fleste av årets store hendelser.

For utviklerverktøy og programvareforsyningskjeden spesifikt er signaleffekten enda tydeligere. Når en enkelt kompromittert vedlikeholderkonto på en pakke som keyv, som brukes i tusenvis av andre prosjekter, kan sette i gang en selvspredende orm, blir spørsmålet om hvem som egentlig kontrollerer avhengighetene i egen kodebase mer presserende for norske og nordiske utviklerteam også.

Historisk kontekst: fra Mt. Gox til smartkontrakt-våpenisering

Kryptohistorien har alltid handlet om et våpenkappløp mellom utviklere og angripere. Mt. Gox-kollapsen i 2014 handlet om dårlig sikret børsinfrastruktur. DAO-hacket i 2016 handlet om en feil i selve smartkontraktkoden. Broene som har blitt drenert gjennom 2020-tallet, fra Ronin til Wormhole og videre, har handlet om svak verifisering mellom ulike kjeder.

Det som skjer nå representerer et nytt kapittel: blokkjeden som infrastruktur brukes ikke lenger bare som mål for tyveri, men som verktøy for å gjennomføre og skjule helt andre typer angrep, som løsepengevirus og programvareforsyningskjedeangrep, som i utgangspunktet ikke har noe med kryptovaluta å gjøre. Skillet mellom “kryptosikkerhet” og “generell IT-sikkerhet” blir dermed stadig vanskeligere å opprettholde for sikkerhetsteam som tradisjonelt har delt disse ansvarsområdene.

Sammenligning: tradisjonell C2 vs blokkjede-basert C2

Tabellen under oppsummerer hovedforskjellene mellom klassisk kommandoinfrastruktur og den blokkjedebaserte varianten som ChainDrop og EtherRAT bruker.

Egenskap	Tradisjonell C2 (server/domene)	Blokkjede-basert C2 (Ethereum)
Nedetid	Kan tas ned av hosting-leverandør eller myndigheter	Praktisk talt umulig å ta ned
Kostnad ved rotasjon	Ny server/domene, ofte timer	Én transaksjon, minutter
Sporbarhet	Krever samarbeid med ISP/registrar	Fullt offentlig og evig loggført
Blokkeringsmotstand	Domeneblokklister virker relativt godt	Statiske IOC-lister mister effekt raskt
Tilgangspunkt	Ett eller få faste endepunkter	Tusenvis av offentlige RPC-noder
Deteksjonsvindu (2026-eksempler)	Ofte uker til måneder	Dager (ChainDrop: ~1 uke)

Oversikt: sentrale hendelser i august 2026

For å sette de to hovedsakene i sammenheng med resten av trusselbildet, oppsummerer tabellen under de viktigste relaterte hendelsene fra samme periode.

Dato	Hendelse	Kilde	Nøkkeltall
4. aug. 2026	ChainDrop npm-orm oppdaget via kompromittert keyv-konto	Zscaler ThreatLabz	~75 RPC-endepunkter brukt
5. aug. 2026	EtherRAT-bakdør dokumentert for løsepengevirus-aktører	Cyware Daily Threat Intelligence	Node.js-basert
10. aug. 2026	Coinsbuy mister midler fra TRON- og Ethereum-lommebøker	Cecuro Hack Radar	Ca. 7,9-8,07 mill. dollar
19. aug. 2026	Samlet oversikt viser 8 brorelaterte hack i 2026	PeckShield / Bitcoin.com News	328,6 mill. dollar tapt
21. aug. 2026	Studie: 63 % av autorisasjonstransaksjoner ondsinnet	Blockin Media	63 % av transaksjonene

Betydning for norske og nordiske brukere

Norge har en uforholdsmessig stor andel utviklere som jobber med JavaScript- og Node.js-baserte prosjekter, hvor pakker som keyv og cacheable er vanlige avhengigheter i alt fra interne verktøy til produksjonssystemer hos fintech-selskaper. Det gjør norske og nordiske utviklerteam til et reelt nedstrøms-offer for forsyningskjedeangrep som ChainDrop, selv om selve angrepet startet med en kompromittert konto på den andre siden av Atlanteren.

På forbrukersiden har kryptointeressen i Norden holdt seg høy gjennom 2026, med et voksende antall privatpersoner som bruker lommebok-apper som støtter nyere Ethereum-funksjoner, inkludert autorisasjonstransaksjoner. Når 63 prosent av bruken av en slik funksjon er knyttet til ondsinnede kontrakter, betyr det i praksis at en norsk bruker som klikker “Godkjenn” i en ukjent app løper en betydelig statistisk risiko for å signere bort kontroll over egen lommebok.

Slik beskytter du deg og organisasjonen din

For utviklerteam er det viktigste tiltaket å behandle enhver avhengighet som ble oppdatert i august 2026 til en versjon publisert av keyv– eller cacheable-vedlikeholderne som mistenkelig inntil den er verifisert mot kjente, trygge hashsummer. Upwinds anbefaling om å bygge om berørte CI-løpere og maskiner fra bunnen, fremfor å forsøke punktvis opprydding, bør følges bokstavelig der det er mistanke om eksponering.

For vanlige lommebok-brukere er rådet enklere å formulere, men vanskeligere å praktisere konsekvent: les alltid gjennom hva en godkjenning faktisk gir tillatelse til, spesielt når appen ber om en bred autorisasjon fremfor en enkeltstående transaksjon. Bruk lommebøker som viser tydelig hvilke rettigheter en kontrakt får, og fjern gamle godkjenninger jevnlig via verktøy som viser aktive tillatelser knyttet til adressen din.

Oppdater eller lås avhengigheter til verifiserte versjoner av keyv og cacheable
Bygg om, ikke bare “rens”, CI-løpere som kan ha kjørt infiserte pakker
Gjennomgå og trekk tilbake gamle lommebok-godkjenninger jevnlig
Vær skeptisk til apper som ber om brede autorisasjonstransaksjoner uten tydelig forklaring
Overvåk avhengighetstreet for uventede commits fra vedlikeholderkontoer

Prediksjoner for resten av 2026

Basert på mønsteret som har utviklet seg gjennom august, er det mulig å skissere noen sannsynlige utviklingstrekk for resten av året.

Flere skadevare-familier vil trolig ta i bruk blokkjede-basert C2-infrastruktur etter at ChainDrop og EtherRAT har vist at teknikken fungerer i praksis.
Lommebok-leverandører vil sannsynligvis innføre tydeligere advarsler eller “risikoscore” for autorisasjonstransaksjoner mot ukjente kontrakter i løpet av høsten.
Andelen ondsinnet bruk av den nye autorisasjonsfunksjonen vil trolig synke noe etter hvert som legitime apper tar den i bruk, men neppe under 30-40 prosent før tekniske sikkerhetsnett er på plass.
Flere npm-vedlikeholdere vil trolig innføre tvungen tofaktorautentisering og signerte commits etter presset fra ChainDrop-saken.
Ytterligere bro- og protokollhack er ventet gjennom høsten 2026, i tråd med det jevne tempoet på over 300 millioner dollar i kryssbro-tap som allerede er registrert i år.

Konkurransebildet: hvordan andre kjeder håndterer det samme problemet

Ethereum er ikke alene om å slite med denne typen risiko. Solana, Arbitrum og andre lag 2-nettverk har alle hatt egne hendelser knyttet til brokonstruksjoner og tillatelsesmodeller i 2026. Forskjellen er at Ethereums enorme utvikleraktivitet og de mange avhengige lommebok-appene gjør enhver ny protokollfunksjon til et attraktivt tidlig mål, rett og slett fordi den potensielle offergruppen er så mye større. Det gjør Ethereum til et naturlig “først ute”-mål for denne typen angrep, men det betyr også at løsningene og advarslene som utvikles her, ofte blir mønsteret resten av bransjen kopierer noen måneder senere.

Ofte stilte spørsmål

Hva er en autorisasjonstransaksjon på Ethereum?

Det er en ny type transaksjon som lar en vanlig lommebok midlertidig få smartkontrakt-lignende funksjonalitet, slik at brukeren kan godkjenne mer avanserte handlinger uten å signere hver enkelt transaksjon manuelt.

Hvorfor er 63 prosent av bruken ondsinnet?

Fordi funksjonen er ny, har angripere vært raskere enn vanlige lommebok-apper med å ta den i bruk, og de tester allerede hvordan de kan misbruke brede fullmakter til å tømme lommebøker senere.

Hva er ChainDrop?

ChainDrop er en selvspredende npm-orm, oppdaget 4. august 2026, som spredte seg via en kompromittert vedlikeholderkonto for pakken keyv og bruker en Ethereum-smartkontrakt som kommandosentral.

Er min Ethereum-lommebok i fare hvis jeg bare bruker vanlige overføringer?

Risikoen er lavere ved enkle overføringer. Faren oppstår først når du godkjenner en autorisasjonstransaksjon eller en bred fullmakt til en app eller kontrakt du ikke kjenner.

Hvordan vet jeg om prosjektet mitt bruker en infisert versjon av keyv?

Sjekk avhengighetslisten og byggloggene for pakkeversjoner publisert rundt 4. august 2026, og sammenlign hashsummer mot kjente, verifiserte utgivelser fra vedlikeholderen.

Kan et blokkjede-basert C2 stoppes av vanlige brannmurer?

Ikke effektivt. Fordi oppslaget skjer mot offentlige Ethereum RPC-endepunkter som ser ut som vanlig trafikk, klarer ikke tradisjonelle domeneblokklister å stoppe det på samme måte som med klassisk C2.

Hva bør bedrifter gjøre umiddelbart?

Verifiser alle avhengigheter mot keyv og cacheable, bygg om potensielt eksponerte CI-løpere fra bunnen, og gjennomgå aktive smartkontrakt-godkjenninger knyttet til firmaets lommebøker.

Vil Ethereum fjerne eller endre autorisasjonsfunksjonen?

Det er ikke varslet noen fjerning. Det mer sannsynlige utfallet er strengere anbefalinger til lommebok-utviklere om hvordan fullmakter presenteres og bekreftes overfor brukeren.

Kilder: Zscaler ThreatLabz, Upwind, Cyware Daily Threat Intelligence, Yellow.com.