Seed-frasen: oppbevaring og de vanlige tabbene

En gjenopprettingsfrase — ofte kalt seed-frase eller recovery phrase — er en rekke på tolv eller tjuefire ord som lommeboken viser deg én gang, når den settes opp. Ordene er ikke et passord. De er selve utgangspunktet som alle de private nøklene i lommeboken regnes ut fra. Har du ordene, har du beholdningen. Har noen andre ordene, har de den også.

Det er hele mekanismen, og den forklarer alt annet i denne artikkelen. Finanstilsynet oppsummerer konsekvensen i én setning: «Hvis du mister de private nøklene til kryptoeiendelene dine, mister du også permanent og uopprettelig tilgangen til dem.»

Hvorfor det ikke finnes noen vei tilbake

Et bankkort kan sperres og erstattes. Et passord kan tilbakestilles fordi det finnes en tjeneste med en database, en kundeservice og en identitetskontroll bak. En blokkjede har ingen av delene. Det finnes ingen utsteder som kan bekrefte at du er du, ingen som fører en liste over hvem som eier hva ut over selve adressene, og ingen instans som kan overstyre.

Selve appen eller enheten er ikke problemet. Går telefonen i bakken eller enheten i stykker, installerer du lommeboken på nytt et annet sted og skriver inn frasen. Beholdningen dukker opp igjen, fordi den aldri lå i enheten — den lå i blokkjeden hele tiden, og frasen er det som gir tilgang til den. Det er nettopp derfor frasen er alt som betyr noe: den overlever maskinvaren, og den overlever deg.

De fem måtene folk mister frasen på

1. Den ble aldri skrevet ned

Oppsettet går fort. Appen viser ordene, du tenker at du tar det senere, og du trykker videre. Så lenge telefonen virker og appen står der, merker du ingenting. Problemet oppstår den dagen telefonen blir borte, byttes ut eller nullstilles — og da er det for sent, fordi frasen bare vises ved oppsett.

Dette er den vanligste varianten, og den rammer folk som har hatt en lommebok i årevis uten problemer. Fravær av problemer i fem år er ikke en sikkerhetskopi.

2. Den ble lagret digitalt

Skjermbilde i bildemappen. Notat i telefonens notatapp som synkroniseres til skyen. E-post til seg selv. Et dokument i en delt mappe. Alle disse gjør frasen tilgjengelig for alt som får tilgang til kontoen din — og en skykonto er noe helt annet å bryte seg inn i enn en blokkjede.

Overtakelse av en e-postkonto eller en skykonto er et av de vanligste angrepene som finnes, og det starter ofte med et vanlig passordtyveri eller en phishing-lenke. Hvordan de angrepene ser ut, står i artikkelen om phishing og svindel på SMS og i artikkelen om ID-tyveri. Et skjermbilde av en gjenopprettingsfrase er den mest verdifulle filen på hele telefonen din, og den er lagret på det stedet flest kommer til.

3. Papiret forsvant

Frasen ble skrevet ned, på en lapp, i en notatbok eller bakerst i en perm. Så kom en flytting, en oppussing, en opprydding etter noen som døde, eller bare tiden. Papir tåler dessuten hverken vann eller varme særlig godt, og en lapp i en skuff overlever ikke en vannlekkasje i etasjen over.

Det finnes ingen sentral kopi. Er lappen borte, er beholdningen borte, uansett hvor godt du husker at du hadde den.

4. Den ble oppgitt til noen

Dette er den varianten som gjør mest vondt, fordi den innebærer at eieren selv skrev inn ordene. Angrepene er godt innøvd: en falsk supportmedarbeider i en chat, en «wallet-oppgradering» som krever at du «bekrefter» frasen, en side som ser ut som lommebokens egen og ber deg «importere» kontoen, eller en «gjenvinningstjeneste» som lover å hente tilbake midler du allerede har tapt.

Regelen som holder i alle disse tilfellene, er at frasen aldri skal tastes inn noe annet sted enn i lommeboken din egen når du faktisk gjenoppretter den. Ikke på en nettside. Ikke i et skjema. Ikke i en chat.

5. Ingen andre visste at den fantes

Eieren dør, eller blir alvorlig syk. Frasen ligger et sted, kanskje godt gjemt, kanskje delt i to biter — men ingen vet at den finnes, hva den er, eller hva den hører til. For arvingene ser det ut som en lapp med tilfeldige ord.

Dette er en av de vanligste måtene kryptovaluta går tapt for godt på, og den er også den eneste som kan løses fullt ut mens eieren lever. Hvordan det gjøres uten å legge nøkler i et dokument mange skal lese, er gjennomgått i artikkelen om arv av kryptovaluta.

Praktisk oppbevaring

Uten å peke på et eneste produkt kan sikkerheten koke ned til fem prinsipper.

Analogt, ikke digitalt. Frasen skal ikke ligge i en fil, en app, en sky, en e-post eller et bilde. Skrevet for hånd på noe fysisk er den utilgjengelig for alt som skjer over nett.

Mer enn ett eksemplar, på mer enn ett sted. Ett eksemplar er ett punkt som kan brenne, oversvømmes eller kastes. To eksemplarer på to fysisk atskilte steder fjerner den risikoen. Til gjengjeld dobler det antallet steder noen kan finne den, så begge steder må være steder du faktisk kontrollerer.

Materialet må tåle noe. Papir er sårbart for vann, varme og tid. Noen bruker mer holdbare materialer. Poenget er ikke hva det er laget av, men at det tåler den vanligste ulykken: vann.

Ordene skal ikke ligge sammen med forklaringen. Finner noen en lapp med tolv ord, må de også vite hva det er før den er verdt noe. Ligger lappen sammen med et notat om hvilken lommebok den hører til og hvor mye som står der, har du gjort arbeidet for dem.

Test at gjenopprettingen faktisk virker. En frase du aldri har prøvd, er en frase du ikke vet om er riktig avskrevet. Ett ord feil, eller to ord byttet om, og den virker ikke — og det oppdager du i verste fall den dagen du trenger den.

Adressen er offentlig, frasen er hemmelig

Det er lett å blande sammen de to tingene lommeboken viser deg. Adressen — den lange strengen du oppgir når noen skal sende deg noe — er offentlig av natur. Alle kan slå den opp, se hva som har gått inn og ut, og se saldoen. Det er ingen sikkerhetsbrist, det er slik en åpen blokkjede er bygget.

Frasen er det motsatte. Den skal aldri deles med noen, aldri oppgis for å «motta» noe, og aldri brukes for å bevise hvem du er. Skal noen sende deg krypto, trenger de adressen. Skal noen «bekrefte» kontoen din, trenger de ingenting — for det finnes ingen konto å bekrefte.

Den offentlige siden har en bakside verdt å kjenne: deler du adressen din åpent, deler du samtidig hele historikken knyttet til den, og enhver som kobler adressen til navnet ditt, ser hvor mye som står der. Det gjør deg til et mer attraktivt mål for de svindelforsøkene som bygger på at avsenderen vet noe om deg fra før.

Skattemessig er tapt tilgang ikke bare tapt

Mange tror at når nøkkelen er borte, er saken over også overfor Skatteetaten. Det stemmer ikke, og misforståelsen går i skattyters disfavør. Skatte-ABC sier: «Realisasjon foreligger også hvis token går endelig tapt, f.eks. som følge av svindel, hacking eller når token blir brent. Det samme gjelder hvis det på annen måte kan konstateres at token er endelig tapt, f.eks. ved at tilgangen til den digitale lommeboken er gått tapt, uten at tilgangen kan gjenopprettes.»

Er tapet endelig, kan det altså være fradragsberettiget etter skatteloven § 6-2 første ledd, med 22 prosent. Men Skatte-ABC legger til at «det må vurderes konkret om en token er realisert» — og en konkret vurdering krever at du kan vise hva du eide, hva det kostet, og hva som skjedde. Reglene og dokumentasjonskravene står i artikkelen om tap på krypto og når du får fradrag.

Det gir en grunn til å føre regnskap som er uavhengig av lommeboken: dato, antall og pris i kroner for hvert kjøp, med kvitteringer. Den oversikten er verdt penger både hvis alt går bra og hvis alt går galt, og den er umulig å lage i ettertid.

Det du kan gjøre i dag

Finn ut om frasen din faktisk finnes et sted du kan peke på. Ikke «den ligger nok i skuffen» — peke på. Er svaret nei, er det den ene oppgaven som betyr noe.

Slett digitale kopier hvis du har dem, og husk at sletting i en app ofte bare flytter filen til en papirkurv i skyen som må tømmes også.

Og vurder hvilken form beholdningen din faktisk har, før du bruker mer tid på oppbevaring. Har du ikke nøklene selv, er det ikke frasen som er risikoen din — da er den beskrevet i artikkelen om hva som skjer når en børs går konkurs. Forskjellen mellom eierformene er satt opp i artikkelen om egen lommebok, børs eller børshandlet produkt.