En smart contract audit är en oberoende teknisk granskning av ett smart kontrakts källkod. Den görs innan koden läggs ut på en publik blockkedja och letar efter säkerhetshål, logiska buggar, skadlig kod och optimeringsbrister.
Granskningen är viktig eftersom ett smart kontrakt i regel inte kan ändras eller raderas när det väl är lanserat. En sårbarhet som upptäcks för sent kan leda till att användarnas medel dräneras helt.
En fullständig audit tar normalt 1–4 veckor och kostar från 5 000 USD för ett enkelt kontrakt. Men en audit är ingen 100 % garanti, och projekt som lanseras helt utan granskning – ofta anonyma memecoins och nya DeFi-protokoll – innebär extremt hög risk för rug pulls, dolda avgifter och bakdörrar.
💡 Vår rekommendation
För de flesta som undrar hur man undviker ogranskade kryptoprojekt rekommenderar vi Safello.
Safello är en svensk, reglerad kryptoväxlare med tillsyn av Finansinspektionen och notering på Nasdaq First North. Du köper direkt via Swish eller BankID på under 30 sekunder, och Trustpilot-betyget ligger på 4.3–4.6/5. Eftersom du köper direkt av en växlare behöver du inte själv koppla en plånbok till okända smarta kontrakt – men tillsynen gäller bolaget, inte de kryptovalutor du köper.
Kryptovalutor är högriskinvesteringar — värdet kan falla kraftigt och du kan förlora hela ditt insatta kapital.
📊 Jämförelse: Ledande kryptobörser
Smart contract audits beställs av projekten själva, och ingen av tjänsterna nedan säljer dem som produkt till konsumenter. Tabellen visar i stället de etablerade aktörer du kan välja bland när du vill köpa kryptovalutor via en börs eller växlare.
| Tjänst | Typ och målgrupp | Svensk betalning | Utbud | Trustpilot | Erbjudande |
|---|---|---|---|---|---|
| Safello | Svensk reglerad kryptoväxlare (nybörjare och trygghetsfokuserade) | BankID, Swish, SEPA/kort | Direktköp av BTC, ETH m.fl. och månadssparande | 4.3–4.6/5 | Se erbjudande → |
| Trijo | Svensk kryptobörs (nybörjare och månadssparare) | BankID, Swish, Autogiro | BTC, ETH, LTC, ADA m.fl. och Kryptospar | 4.1–4.5/5 | Se erbjudande → |
| Kraken | Global börs (erfarna tradare och säkerhetsfokuserade) | SEPA (EUR), inte BankID eller Swish | Spot, futures, staking, Kraken Pro, margin och OTC | 4.0–4.3/5 | Se erbjudande → |
| Coinbase | Global, US-noterad börs (nybörjare till proffs) | Kort, Apple Pay och SEPA, inte BankID eller Swish | 100+ mynt, Coinbase Advanced, self-custody wallet och staking | 1.5–2.0/5 | Se erbjudande → |
| Binance | Global storbörs (avancerade tradare och altcoin-jägare) | Kort och SEPA, inte BankID eller Swish | Världens största utbud, futures, staking, Launchpad och P2P-handel | 1.8–2.2/5 | Se erbjudande → |
Några uppgifter är särskilt relevanta för den här guiden. Safello står under tillsyn av Finansinspektionen, Coinbase beskrivs som US-noterad med hög regulatorisk efterlevnad och Kraken lyfts för sitt säkerhetsrykte och Proof of Reserves. Binance har enligt underlaget regleringsutmaningar på vissa marknader.
Tillsyn över ett företag betyder dock inte att kryptovalutorna det erbjuder omfattas av samma skydd. Enligt Finansinspektionen omfattas de flesta kryptovalutor inte av konsumentskyddande regler.
📋 Vad du lär dig i den här guiden
Den här guiden går igenom:
- vad en smart contract audit är och varför den behövs
- hur CertiK granskar kod steg för steg
- vilka bakdörrar och sårbarheter granskarna letar efter
- vad en audit kostar och vad den inte kan lova
- hur du kontrollerar om ett projekt är granskat
Vill du hellre köpa via en svensk växlare än att pröva okända projekt kan du komma igång med Safello via Swish eller BankID.
🪙 Smart contract audit förklarat — från grunden
Ett smart kontrakt är kod som ligger på en blockkedja och utför sina regler automatiskt, till exempel i decentraliserad finans (DeFi). Kontraktet skrivs ofta i språk som Solidity, Rust, Move eller Vyper. När det väl har lagts ut på en blockkedja som Ethereum eller Solana kan koden i regel inte ändras eller raderas.
Därför granskas koden i förväg. En audit är en oberoende teknisk genomgång som ska hitta sårbarheter innan pengar står på spel, eftersom en miss i efterhand kan innebära att användarnas medel dräneras helt.
🛡️ Så granskar CertiK koden
CertiK grundades av professorer från Yale och Columbia University och kombinerar automatiserad AI-analys med manuell kodgranskning och matematisk bevisföring. Arbetsflödet ser i grova drag ut så här:
- Statisk analys och AI-skanning: automatiserade verktyg söker igenom koden efter kända sårbarhetsmönster, som reentrancy, integer overflow och saknade behörighetskontroller.
- Formell verifiering: kontraktets logik översätts till matematiska satser, och automatiska bevisverktyg används för att visa att koden följer sin specifikation under alla tänkbara tillstånd.
- Manuell granskning: säkerhetsforskare går igenom arkitekturen och letar efter sådant verktygen missar, som dolda ägarbehörigheter, orakelmanipulering och komplexa ekonomiska attacker.
- Rapport och åtgärd: utvecklarna får en rapport där fynden är klassade från Critical (kritiska) till Informational.
- Publicering: projektet får en offentlig rapport och ett Skynet Security Score på 0–100 på CertiK Skynet.
🚨 Bakdörrar och andra sårbarheter
Granskarna letar bland annat efter dessa hot:
- Bakdörrar (privileged functions): funktioner som ger projektägaren obegränsad makt, till exempel att skapa oändligt många nya tokens, frysa enskilda plånböcker eller dra tillbaka likviditeten – en så kallad rug pull.
- Reentrancy: ett externt kontrakt anropar samma funktion upprepade gånger innan det första anropet är klart, så att medel dräneras. Den historiska DAO-hacken är det klassiska exemplet.
- Orakelmanipulering: kontrakt som hämtar prisdata från bara en likviditetspool kan utsättas för flash loan-attacker, där priset tillfälligt manipuleras.
- Honeypot: en dold funktion som låter dig köpa en token men hindrar dig från att någonsin sälja den.
Ogranskade projekt är därför en tydlig varningssignal. Många anonyma memecoins och nya DeFi-protokoll lanseras utan audit, vilket innebär extremt hög risk.
Om du vill köpa etablerade kryptovalutor via en svensk aktör i stället för att själv utvärdera nya kontrakt finns villkoren hos Safello.
Se Safellos fullständiga villkor →
✅ Vad gäller — och vad gäller inte?
| Påstående | Stämmer? | Notering |
|---|---|---|
| Ett projekt med audit kan inte hackas | ❌ | En audit visar bara status för den specifika koden vid granskningstillfället och är ingen 100 % garanti. |
| Ett smart kontrakt kan enkelt rättas efter lansering | ❌ | Koden kan i regel inte ändras eller raderas på blockkedjan, vilket är skälet till att granskningen sker i förväg. |
| Ett granskat kontrakt förblir granskat efter uppgraderingar | ⚠️ | Uppgraderingar via proxy-kontrakt eller ändrade parametrar kan skapa nya risker som den ursprungliga granskningen inte täcker. |
| Ett projekt utan audit innebär extremt hög risk | ✅ | Många anonyma memecoins och nya DeFi-protokoll lanseras utan audit, med risk för rug pulls, dolda avgifter och bakdörrar. |
| En audit säger något om kryptovalutans värde | ❌ | Granskningen gäller koden, inte värdet. Finansinspektionen har varnat för att kryptovalutor saknar inneboende värde och är svåra att värdera. |
| Kryptotillgångar omfattas av konsumentskydd | ❌ | De flesta kryptovalutor omfattas inte av konsumentskyddande regler och står inte under Finansinspektionens tillsyn. |
| Tillsyn över en växlare gäller även varje kryptovaluta den erbjuder | ❌ | Tillsynen avser bolaget. Själva kryptovalutorna står i de flesta fall inte under tillsyn. |
Aktuella regler och varningar hittar du hos Finansinspektionen. Den som vill handla via en tillsynad svensk aktör kan läsa mer om Safello.
💰 Vad bör du räkna med?
En audit betalas av projektet, inte av dig som köper. Kostnaden visar ändå vad en ordentlig granskning kräver.
| Faktor | Typiskt spann |
|---|---|
| Enkelt ERC-20-kontrakt | från 5 000 USD |
| Komplext protokollekosystem med flera smarta kontrakt | 50 000–150 000+ USD |
| Tidsåtgång för en fullständig audit | 1–4 veckor |
Det som driver priset och tiden är:
- Kodbasens storlek.
- Kodens komplexitet.
- Antalet smarta kontrakt i protokollet.
Priset på en audit är också en påminnelse om att granskning är ett resurskrävande arbete som görs av säkerhetsexperter, inte en formalitet. Projekt som hoppar över den sparar pengar på ett sätt som kan drabba användarna, eftersom ett oupptäckt fel i ett oföränderligt kontrakt inte går att rätta i efterhand.
Själva handeln har också en kostnad för dig. Safello har högre transaktionsavgift eller påslag än globala börser, och Trijo har högre växlings- och uttagsavgifter än globala plattformar. Kraken har låga maker/taker-avgifter på Kraken Pro, och Binance har enligt underlaget marknadens lägsta spothandelsavgifter. Du betalar alltså ofta mer för bekvämligheten med svensk betalning, så väg avgifter mot hur viktigt Swish och BankID är för dig.
Kolla avgifterna hos Safello →
🎯 Så gör du — steg för steg
- Ta reda på om projektet har granskats. Leta efter en audit från ett oberoende bolag. Saknas den helt bör du behandla projektet som extremt hög risk, särskilt om teamet är anonymt eller det är en ny memecoin.
- Läs den offentliga rapporten. Hos CertiK publiceras rapporten och Skynet Security Score på skynet.certik.com. Poängen väger in källkodssäkerhet, styrning, marknadsstabilitet och övervakning på kedjan dygnet runt.
- Titta på fynden. Fynden är klassade från Critical till Informational. Kontrollera om utvecklarna har åtgärdat de allvarligaste.
- Leta efter bakdörrar. Se om rapporten nämner funktioner som låter ägaren skapa oändligt många tokens, frysa plånböcker eller dra tillbaka likviditeten.
- Kontrollera tidpunkt och version. En audit gäller koden vid granskningstillfället. Om kontraktet har uppgraderats via proxy-kontrakt eller fått ändrade parametrar kan nya risker ha tillkommit.
- Väg in helhetsbilden. Även ett granskat projekt är ingen garanti, och kryptovalutan i sig saknar i de flesta fall konsumentskydd och är en högriskinvestering. Både Finansinspektionen och de europeiska tillsynsmyndigheterna har varnat för extrema prisrörelser, missledande marknadsföring, bedrägerier och tekniska säkerhetsrisker. En audit minskar bara en del av dessa risker, nämligen den som sitter i själva koden.
Vill du köpa via en svensk aktör i stället för att själv pröva nya kontrakt kan du jämföra Safellos avgifter först.
❓ Vanliga frågor
🔍 Vad är en smart contract audit?
Det är en oberoende teknisk granskning av ett smart kontrakts källkod, ofta skriven i Solidity, Rust, Move eller Vyper. Syftet är att hitta säkerhetshål, logiska buggar, skadlig kod och optimeringsbrister innan koden distribueras på en publik blockkedja.
🏢 Vem utför en smart contract audit?
Granskningen utförs av specialiserade säkerhetsbolag, till exempel CertiK, som grundades av professorer från Yale och Columbia University. Utvecklarna får en rapport där fynden är klassade från Critical till Informational.
🛡️ Hur granskar CertiK koden?
CertiK kombinerar automatiserad AI-analys, formell verifiering och manuell kodgranskning. Den automatiska analysen söker efter kända sårbarhetsmönster, den formella verifieringen översätter kontraktets logik till matematiska satser och säkerhetsforskare granskar sedan koden manuellt för dolda ägarbehörigheter och komplexa attackvektorer. Resultatet blir en rapport och ett offentligt Skynet Security Score på CertiK-plattformen.
🚪 Vad är en bakdörr i ett smart kontrakt?
En bakdörr är en funktion som ger projektägaren obegränsad makt, till exempel att skapa oändligt många nya tokens, frysa enskilda plånböcker eller dra tillbaka likviditeten. Manuell granskning letar särskilt efter sådana dolda ägarbehörigheter.
🪤 Vad är en rug pull?
En rug pull innebär att projektägaren godtyckligt drar tillbaka likviditeten med hjälp av en privilegierad funktion i koden. Risken är extremt hög i ogranskade projekt, till exempel anonymt skapade memecoins och nya DeFi-protokoll, där dolda avgifter och bakdörrar också förekommer. En audit syftar till att hitta just sådana funktioner innan projektet lanseras, men den ersätter inte din egen försiktighet.
🔁 Vad är en reentrancy-attack?
Det är en klassisk sårbarhet där ett externt kontrakt anropar en funktion i det sårbara kontraktet upprepade gånger innan det ursprungliga anropet är slutfört. Medel dräneras på så sätt, och DAO-hacken är det historiska exemplet. Mönstret hör till de kända sårbarheter som den automatiska statiska analysen söker efter i början av en audit.
Se Safellos fullständiga villkor →
🕒 Hur lång tid tar en audit?
En fullständig audit tar normalt 1–4 veckor, beroende på kodbasens storlek och komplexitet. Under den tiden körs automatiserad analys, formell verifiering och manuell granskning, och därefter får utvecklarna en rapport med fynd att åtgärda innan den slutliga rapporten publiceras.
💰 Vad kostar en audit?
Priset varierar från 5 000 USD för ett enkelt ERC-20-kontrakt till 50 000–150 000+ USD för komplexa protokollekosystem med flera smarta kontrakt. Kostnaden bärs av projektet och styrs av hur stor och komplex kodbasen är. Att ett projekt har råd med en audit säger dock inget om hur bra det är som investering.
Kolla avgifterna hos Safello →
⚠️ Betyder en audit att ett projekt inte kan hackas?
Nej. En audit är ingen 100 % garanti och visar bara status vid tidpunkten för granskningen av den specifika koden. Uppgraderas kontraktet via proxy-kontrakt eller ändras parametrar kan nya risker uppstå.
📈 Vad är CertiK Skynet och Security Score?
Skynet är CertiKs offentliga plattform där projekt får ett Security Score på 0–100. Poängen väger in källkodssäkerhet, styrningsstruktur, marknadsstabilitet och övervakning på kedjan dygnet runt. Du hittar den på skynet.certik.com.
🧱 Varför är granskning före lansering så viktig?
Eftersom koden i regel inte kan ändras eller raderas när den ligger på blockkedjan går en upptäckt sårbarhet inte att rätta på vanligt sätt. Det kan i värsta fall leda till att användarnas medel dräneras helt. Granskningen före lansering är därför det enda tillfälle då fel kan hittas och rättas utan att användarnas pengar redan står på spel. Den betyder också att en audit bör läsas som en ögonblicksbild: ändras kontraktet senare via proxy-kontrakt behöver risken bedömas på nytt.
🍯 Vad är en honeypot?
En honeypot är en dold funktion i köp- och säljskattekoden som gör att du kan köpa en token men aldrig sälja den. Eftersom funktionen är dold syns den inte på ytan, och därför letar granskare efter den i koden. Ett projekt utan audit ger dig ingen sådan kontroll i förväg.
🏆 Sammanfattning
De viktigaste lärdomarna är dessa:
- En smart contract audit är en oberoende granskning av koden innan lansering, och den är viktig eftersom koden i regel inte kan ändras efteråt.
- CertiK kombinerar AI-skanning, formell verifiering och manuell granskning, och publicerar resultatet på Skynet.
- Bakdörrar, reentrancy, orakelmanipulering och honeypots hör till de vanligaste hoten.
- En audit är ingen 100 % garanti, och ogranskade projekt innebär extremt hög risk.
- Tillsyn över en växlare gäller bolaget, inte de kryptovalutor som säljs.
För dig som vill köpa via en svensk, tillsynad växlare med Swish och BankID är Safello ett naturligt val. Vill du hellre spara månadsvis via Autogiro kan du titta på Trijo.
Kryptovalutor är högriskinvesteringar och värdet kan falla kraftigt — du kan förlora hela ditt insatta kapital. Innehållet är allmän information och utgör inte investeringsrådgivning. Avgifter och villkor ändras löpande. Verifiera alltid aktuell information direkt hos tjänsten innan du registrerar dig eller handlar.
Om författaren
