Förvara krypto säkert: börs, mjukvaruplånbok eller hårdvaruplånbok

Krypto ligger aldrig i en app eller på en enhet. Det ligger på en blockkedja, och den som har de privata nycklarna (private keys) kan flytta det. Frågan om förvaring handlar därför om vem som håller nycklarna: en börs, en app i din telefon eller en separat enhet som bara finns till för att skydda dem. Varje alternativ tar bort en risk och lägger till en annan.

Guiden går igenom skillnaden mellan att låta kryptot ligga kvar hos en börs och att förvara det själv, hur mjukvaruplånböcker och hårdvaruplånböcker skiljer sig åt, vad återställningsfrasen är och hur du säkerhetskopierar den, hur du flyttar från en börs till en egen plånbok steg för steg och vilka bedrägerier som riktar sig mot den som förvarar själv. Har du inte köpt något ännu börjar du med vår guide om att köpa bitcoin.

Det du förvarar är nycklar, inte mynt

En kryptoplånbok (crypto wallet) håller de privata nycklar som styr dina tillgångar. Tillgångarna själva finns registrerade på blockkedjan, och plånboken är det som låter dig skicka dem. Därför går det att tappa bort en telefon eller en hårdvaruplånbok utan att förlora något, så länge du har kvar det som återskapar nycklarna. Och det går att förlora allt utan att enheten lämnat huset, om någon annan kommer över det.

Krypto på börsen: du litar på en motpart

Efter ett köp ligger kryptot hos börsen, och för många är det rimligast: du behöver inte hålla reda på några ord. Men börsen är en motpart, inte ett valv. Så länge den håller nycklarna är du beroende av att den både vill och kan lämna tillbaka tillgångarna när du ber om dem.

EU:s MiCA-förordning ställer krav just på den punkten. En börs som förvarar kunders kryptotillgångar ska ha arrangemang som skyddar kundernas äganderätt, särskilt om leverantören blir insolvent, och får inte använda kundernas tillgångar för egen räkning. De förvarade tillgångarna ska hållas åtskilda från börsens egna, också på blockkedjan, och vara rättsligt avskilda från börsens egendom så att börsens borgenärer inte kan göra anspråk på dem vid en konkurs, enligt artikel 70 och 75 i MiCA-förordningen. Artikel 75 gör också börsen ansvarig mot kunden för förluster som kan tillskrivas den, upp till tillgångarnas marknadsvärde när förlusten inträffade.

Kraven gäller bara bolag som har tillståndet. Sedan övergångsperioden tog slut ska bolag utan tillstånd inte fortsätta erbjuda kryptotjänster till konsumenter i EU, utan avveckla verksamheten ordnat och informera kunderna om hur tillgångarna kan flyttas, skriver Finansinspektionen. Myndigheten påpekar också att ett välkänt varumärke inte automatiskt innebär att bolaget har rätt att bedriva verksamheten här. Kontrollera därför bolagsnamnet i ESMA:s förteckning över auktoriserade leverantörer och, för svenska bolag, i Finansinspektionens företagsregister.

Börserna skyddar själva kundernas tillgångar med teknik från specialiserade förvaringsleverantörer. Trijo förvarar merparten hos Fireblocks och kräver flera signaturer för att flytta dem, enligt Trijo, och Firi delar nyckeldelarna mellan sig själv och Fireblocks, enligt Firi. Det minskar risken för intrång, men det ändrar inte att det är börsen som håller nycklarna.

Två saker är bra att känna till om det ändå går fel. Försvinner tillgångarna i en hackerattack mot en handelsplats har du inte rätt till förlustavdrag, enligt Skatteverket. För konkurser och avvecklingar har Skatteverket i stället gjort särskilda bedömningar i enskilda fall, bland annat för FTX och Celsius, som finns under vanliga frågor på samma sida. Och när en börs stänger är det sällan en dramatisk kollaps. Oftare är det ett besked och ett sista datum, som när CoinEx meddelade att börsen läggs ner.

Egen förvaring: du håller nycklarna själv

Med en egen plånbok finns ingen motpart som kan gå omkull, frysa ditt konto eller bli hackad med dina tillgångar. Tillståndsplikten för kryptotillgångstjänster gäller bland annat förvaring och administration av kryptotillgångar för kunders räkning, enligt Finansinspektionen. När du själv håller nycklarna förvarar ingen åt dig, och tillverkaren av appen eller enheten har därför inget sådant tillstånd som du kan kontrollera. Det gör det extra viktigt att köpa och ladda ned direkt från tillverkaren.

Ansvaret flyttar samtidigt till dig. Ingen kan återställa en bortglömd återställningsfras eller ångra en överföring till fel adress. Vilken risk som väger tyngst, börsens eller din egen, beror på beloppet, hur länge du tänker behålla tillgångarna och hur van du är att hantera nycklar.

Mjukvaruplånbok: gratis och smidig, men uppkopplad

En mjukvaruplånbok är en app i telefonen, ett program på datorn eller ett tillägg i webbläsaren. Nycklarna skapas och lagras på enheten, krypterade. MetaMask lagrar dem krypterat lokalt på den enhet där appen är installerad, enligt MetaMask, och Rabby skriver att nycklarna ligger lokalt och att bolaget inte sparar några uppgifter om plånboken, enligt Rabbys säkerhetssida.

En mjukvaruplånbok kostar ingenting och behövs för decentraliserade appar och växlare, men nycklarna finns på en uppkopplad enhet som du använder till allt annat. Skadlig kod, ett manipulerat webbläsartillägg eller en signatur du inte förstått kan räcka för att tömma plånboken. Flera appar försöker fånga det sista: Rabby simulerar varje transaktion och visar hur saldot påverkas innan du signerar, och varnar för riskabla godkännanden, enligt Rabby.

Hårdvaruplånbok: nycklarna lämnar aldrig enheten

En hårdvaruplånbok är en separat enhet som skapar och håller nycklarna. Datorn eller telefonen fungerar bara som skärm: den förbereder en transaktion, men signeringen sker på enheten, och du kontrollerar mottagaradress och belopp på enhetens egen skärm innan du godkänner. Även om datorn är infekterad kan skadlig kod inte signera något utan att du trycker på enheten.

Enheterna är byggda på olika sätt. Ledger, Trezor och Tangem använder certifierade säkerhetschip, medan Keystone signerar offline och för över transaktionerna med QR-koder, så att nycklarna aldrig lämnar enheten, enligt Keystone. Tangem ser ut som ett bankkort och används med mobilen. En hårdvaruplånbok kostar pengar: den billigaste Ledgermodellen, Nano S Plus, kostar från 619 kronor i Ledgers butik för svenska besökare, och Trezor Safe 3 från 59 euro i Trezors butik. Priser och modeller för alla enheter vi jämfört finns i recensionerna.

Det går också att kombinera: en mjukvaruplånbok som gränssnitt och en hårdvaruplånbok som godkänner. MetaMask, Rabby och Exodus kan alla kopplas till hårdvaruplånböcker, och då ligger nycklarna kvar på enheten även när du använder appen. En hårdvaruplånbok skyddar däremot inte mot att du själv godkänner en bedräglig transaktion. Läs alltid vad enheten visar innan du bekräftar.

Återställningsfrasen är det enda som räknas

När du skapar en plånbok får du oftast en återställningsfras, en lista vanliga ord i en bestämd ordning som räcker för att återskapa nycklarna på en ny enhet. MetaMask, Phantom och Exodus använder 12 ord, och Ledger använder 24 ord enligt standarden BIP39, enligt Ledger. Det är frasen och inte enheten som är värdefull. Den som har orden kan tömma plånboken från vilken enhet som helst, utan att någonsin röra din.

Det betyder också att ingen annan har en kopia. Phantom lagrar aldrig frasen och kan inte återställa den, enligt Phantom, och Exodus skriver detsamma om sin fras på sin supportsida. Tappar du frasen och sedan enheten finns tillgångarna kvar på blockkedjan, men ingen kommer åt dem.

Passphrase: ett extra ord som bara du kan

Flera hårdvaruplånböcker låter dig lägga till en passphrase, ett eget valfritt ord eller en mening utöver återställningsfrasen. Med den skapas en helt annan uppsättning konton, och den som hittar dina nedskrivna ord kommer bara åt kontona utan passphrase. Ledger tillåter en passphrase på upp till 100 tecken, enligt Ledger, och hos Trezor, Keystone och BitBox02 matas den in direkt på enheten. Baksidan är att passphrasen inte går att återskapa. Glömmer du den är kontona bakom den förlorade, även om du har kvar återställningsfrasen.

Andra sätt att säkerhetskopiera

Alla plånböcker bygger inte på en nedskriven fras. Trezor erbjuder Shamir Backup, där återställningen delas upp i flera delar, upp till 16, och du själv väljer hur många som krävs för att återskapa plånboken, enligt Trezor. Då kan en enskild del hittas utan att den ensam räcker. Tangem klonar i stället nyckeln krypterat till ett eller två extra kort, enligt Tangem, och frasen är valfri. BitBox02 sparar backupen på ett medföljande microSD-kort, och orden kan även visas för nedskrivning på papper eller metall, enligt BitBox.

Några tillverkare erbjuder också backup hos sig själva. Ledger Recover är en valfri prenumeration som krypterar frasen och delar den mellan Ledger och två andra bolag, där återställning kräver identitetskontroll, enligt Ledger. MetaMask och Phantom låter dig knyta återställningen till ett Google- eller Apple-konto, enligt MetaMask och Phantom. Det skyddar mot en bortglömd fras, men gör samtidigt det kontot till en väg in.

Frasen skyddar bara om den skapades på rätt sätt. Ett fel i firmware kan göra en fras svagare än den ser ut, som i Coldcard-felet, där en uppdatering inte räckte utan en ny fras behövde skapas.

Så säkerhetskopierar du frasen i praktiken

Den vanligaste backupen är fortfarande papper och penna, direkt när plånboken skapas. Papper är billigt men tål varken vatten eller eld. Därför skriver många in eller slår in orden på en platta av rostfritt stål, som finns hos flera tillverkare och återförsäljare. Vilket material du väljer spelar mindre roll än att du gör det, att orden står i rätt ordning och att du vet var backupen finns.

Så flyttar du krypto från en börs till en egen plånbok

Flytten i sig är en vanlig överföring, men den går inte att ångra. Kontrollera först att börsen tillåter uttag till en egen plånbok och vad det kostar. Safello tar 0,00025 BTC per uttag av bitcoin enligt Safello, och Firi 0,0001 BTC enligt Firi. Safello har dessutom en uttagsbegränsning för nya kunder, som nämns i Safellos kom igång-artikel.

Bedrägerierna som riktar sig mot egen förvaring

Den som förvarar själv kan inte bli av med tillgångarna i en börskonkurs, men kan bli lurad att lämna ifrån sig dem. Nästan alla upplägg har samma mål: att du ska skriva in återställningsfrasen någonstans, godkänna en transaktion du inte själv startat eller skicka till fel adress.

Falska appar och webbplatser. En av de vanligaste metoderna är falska versioner av plånboksappen, som efter en påstådd felkod ber dig skriva in återställningsfrasen, enligt Ledgers varningssida. Ledger varnar också för domännamn som bara skiljer sig med en bokstav från det riktiga. Gå alltid in på tillverkarens webbplats direkt i stället för via en annons eller en länk i ett mejl.

Falsk support. Bedragare utger sig för att vara kundtjänst, i mejl, sms, telefonsamtal och till och med i brev. Ledger skriver att bolaget aldrig kontaktar användare via sms eller telefon, och att ett påstått meddelande från Ledger via sms, Whatsapp, Telegram, telefon eller brev ska behandlas som nätfiske, enligt Ledger. Avsändaren kan dessutom vara äkta: i september 2026 skickade en obehörig aktör ett falskt säkerhetsmejl från Trezors konto hos e-postleverantören Brevo, enligt Trezor. En äkta avsändare gör alltså inte ett mejl pålitligt. Ber det om frasen är det falskt.

Falska kopior av dina adresser (address poisoning). Bedragaren skickar en transaktion utan värde från en adress som liknar en du använt, med samma början och slut men andra tecken i mitten. Kopierar du sedan adressen ur transaktionshistoriken hamnar pengarna hos bedragaren, och överföringen går inte att ångra, enligt MetaMask. MetaMask varnar numera automatiskt för adresser som liknar tidigare mottagare, och Trezor Suite suddar ut misstänkta transaktioner i historiken, enligt Trezor. Kopiera aldrig en adress ur historiken och kontrollera tecknen i mitten, inte bara början och slutet.

Manipulerade tillägg och skadlig kod. I december 2025 publicerades en manipulerad version av Trust Wallets webbläsartillägg i Chrome Web Store, och användare som öppnade den under några dagar kunde få plånboken tömd, enligt Trust Wallet. Mobilappen berördes inte. Nordkoreanska WaterPlum går en annan väg och lurar utvecklare att köra skadlig kod under falska jobbintervjuer. Angreppet går runt plånbokens säkerhet i stället för igenom den, som vi skrev i artikeln om WaterPlums falska jobberbjudanden. För större belopp är det ett argument för en hårdvaruplånbok, där en infekterad dator inte räcker för att signera.

Investeringsbedrägerier. Finansinspektionen avråder från investeringar som erbjuds via sociala medier, telefon eller mejl och ber dig aldrig använda BankID på någon annans uppmaning, i sina tips mot bedrägerier. Kontrollera också FI:s varningslista.

Tappad nyckel ger inget förlustavdrag

Att förlora tillgången till sin krypto är inte samma sak som att sälja den med förlust. Har du tappat bort den privata nyckeln till en plånbok, eller förlorat tillgångarna i en hackerattack mot en handelsplats, har du inte rätt till förlustavdrag, enligt Skatteverket. En återställningsfras som tappas bort kostar alltså hela innehavet utan att något kan dras av i deklarationen. Hur du deklarerar det du faktiskt sålt eller bytt går vi igenom i guiden om att deklarera krypto.

Vilken förvaring passar dig?

Det finns inget svar som passar alla. Ett litet belopp som du köpt för att lära dig kan gott ligga kvar på en börs med tillstånd, där du kan återställa kontot och slipper hantera nycklar. För ett större innehav som du tänker behålla länge väger argumenten för en hårdvaruplånbok tyngre, eftersom den tar bort både motparten och den uppkopplade enheten ur ekvationen. En mjukvaruplånbok passar den som använder decentraliserade appar, gärna tillsammans med en hårdvaruplånbok. Det är vår bedömning, inte en regel.

I vår jämförelse av kryptoplånböcker har Ledger högst betyg bland hårdvaruplånböckerna, 8,7, följt av Tangem med 8,6 och Trezor med 8,5. Keystone får 8,2 och BitBox02 7,9. Bland mjukvaruplånböckerna får MetaMask och Trust Wallet 8,2, Exodus och Rabby 8,1 och Phantom 7,8. Betygen och motiveringarna är CryptoFebers redaktionella bedömning. De två mest kända tillverkarna jämför vi sida vid sida i Ledger vs Trezor.

Väljer du att låta tillgångarna ligga kvar på en börs är tillståndet det viktigaste att kontrollera. I vår jämförelse av kryptobörser ser du vilken myndighet som gett varje börs dess MiCA-tillstånd. Oavsett vilket du väljer gäller det Finansinspektionen skriver: kryptotillgångar är enligt myndigheten inte lämpliga för de flesta konsumenter, eftersom de är svåra att värdera och risken att förlora pengarna är hög, enligt FI:s sida om risker med krypto.