Hvad godkender jeg egentlig?

En løbende tilladelse til, at en kontrakt kan flytte bestemte tokens fra din wallet. Den gælder, indtil du aktivt trækker den tilbage.

Hvad er ubegrænset godkendelse?

En tilladelse uden beløbsgrænse. Kontrakten kan dermed flytte hele din beholdning af den token, både nu og senere.

Skal jeg altid vælge et begrænset beløb?

Hvis du kan vælge, er det som regel klogest. Det koster et ekstra gebyr næste gang, og det er billig sikkerhed.

Hvordan finder jeg den rigtige kontraktadresse?

I projektets egen dokumentation, som du finder ved selv at skrive sidens adresse. Sammenlign den derefter med adressen i godkendelsesvinduet.

Betyder verificeret kode, at kontrakten er sikker?

Nej. Verificeret betyder, at kildekoden er offentliggjort og matcher det, der kører. Den kan stadig være skrevet til at tømme dig.

Hvad er de vigtigste advarselstegn?

Hastværk, at du er kommet dertil via et link i en besked, forkert token, ubegrænset beløb uden valg, og en kontraktadresse du ikke kan finde hos projektet.

Hvad gør jeg, hvis jeg ikke forstår vinduet?

Afviser. Det koster ingenting at afvise og undersøge det i ro. Det kan koste hele beholdningen at godkende forkert.

Hvorfor en separat wallet?

Fordi et uheld så kun rammer det, der ligger på den. Din hovedbeholdning ligger et andet sted uden godkendelser.

Hvad gør jeg, hvis jeg har godkendt noget forkert?

Tilbagekald godkendelsen straks, og flyt derefter det, der er tilbage, til en ny wallet med en ny seed phrase.

Hjælper en hardware wallet?

Den beskytter nøglen mod angreb over nettet, men den forhindrer ikke, at du selv godkender noget skadeligt. Kontrollen i vinduet er stadig din.

Hvad vil det sige, at en smart contract er verificeret?

Verificeret betyder, at kontraktens kildekode er offentliggjort og stemmer med det, der kører på blockchain. Etherscan kompilerer kildekoden og sammenligner med bytekoden på netværket. Er de identiske, vises et grønt flueben. Verificeret betyder synlig, ikke sikker. Koden kan stadig indeholde farlige funktioner.

Hvad er en audit-rapport, og hvem laver dem?

En smart contract audit er en systematisk gennemgang af kontraktens kode. Et eksternt sikkerhedsfirma søger fejl, sårbarheder og logiske problemer. Rapporten lister fund med alvorlighed: critical, high, medium, low og informational. Anerkendte firmaer er Trail of Bits, OpenZeppelin, Halborn og Certik. En audit dækker normalt kun den kode, der eksisterede på audittidspunktet.

Hvad er et honeypot-token?

Et honeypot er en kontrakt, der lader dig købe tokens, men blokerer dig fra at sælge. Ejer-funktioner kan sætte salgsgebyret til 100 procent eller blackliste din adresse. Du kan købe og se værdien stige, men når du prøver at sælge, fejler transaktionen. Honeypots er designet til at lokke kapital ind og holde den fast.

En rug pull sker, når projektets bagmænd trækker tilbage tilsagn og tømmer likviditeten fra DEX-puljen. Prisen kollapser til næsten nul, og investorerne sidder med værdiløse tokens. Den klassiske metode er at udtrække LP-tokens fra Uniswap eller PancakeSwap. Ikke-låst likviditet er det største enkeltvarsel.

Kan jeg fratrække tab fra rug pulls i skat?

Nej, ikke for selve rug pullet. Skatterådet har afgjort, at et rug pull ikke er et salg og ikke giver fradrag, og at afståelsessummen ikke kan sættes til 0 kr. (SKM2023.586.SR). Skattestyrelsen giver heller ikke fradrag for en coin, der ikke længere understøttes af en vekslingstjeneste. At dokumentere nulværdien er ikke nok: Tabet realiseres først ved et reelt salg eller bytte. Et sådant handelstab fradrages som et ligningsmæssigt fradrag med en skatteværdi på ca. 26 procent. Du skal dokumentere købspris, salgspris og have transaktionshistorik til rådighed. Hvordan airdrops fra scam-kontrakter uden reel markedsværdi skal behandles, er ikke afklaret i Skattestyrelsens vejledning.

Hvad er FIFO-princippet i kryptoskat?

FIFO står for First In, First Out. Det er det princip, Skattestyrelsen anvender til at beregne din gevinst eller dit tab, når du sælger krypto. De tokens, du købte først, anses for solgt først. Det påvirker din anskaffelsessum og dermed dit skattepligtige resultat. FIFO anvendes særskilt for hver type kryptovaluta.

Hvad er en timelock på en smart contract?

En timelock er en forsinkelsesmekanisme. Når en kontraktejer vil gennemføre en kritisk ændring, skal ændringen annonceres x dage i forvejen. Den kan ikke gennemføres med det samme. Det giver brugerne tid til at trække sig ud, hvis de er uenige i ændringen. En typisk timelock er 24-72 timer. Mangel på timelock er et rødt flag.

Hvad er en proxy-kontrakt?

En proxy-kontrakt er en kontrakt, der uddelegerer logikken til en anden kontrakt kaldet implementationen. Ejeren kan skifte til en ny implementation. Det giver fleksibilitet, men også risiko: uden timelock kan ejeren skifte al logik øjeblikkeligt. En proxy-kontrakt er ikke i sig selv farlig, men den kræver ekstra kontrol af adgangs- og timelockmekanismer.

Hvad er MiCA-forordningens betydning for smart contracts?

MiCA (EU 2023/1114) regulerer udstedere af krypto-aktiver i EU fra 2024. Forordningen stiller krav om hvidbøger og offentliggørelse af kontraktadresser for regulerede tokens. Den erstatter ikke krav om brugerens egen due diligence, men reducerer chancen for åbenlys svindel fra regulerede udstedere. Anonyme meme-tokens er ikke dækkede af MiCA.

Hvad er DAC8, og hvorfor er det relevant?

DAC8 er et EU-direktiv, der kræver, at kryptobørser og -formidlere automatisk indberetter brugertransaktioner til skattemyndighederne fra 2026 og 2027. Det påvirker også dokumentationen af tab. Dine tab skal du stadig selv oplyse i rubrik 58, men børser indberetter dine køb og salg. Læs vores DAC8-guide for detaljer.

Hvordan tjekker jeg, om likviditeten er låst?

Find LP-token-adressen for handelspuljen på Uniswap eller PancakeSwap. Gå til Team.Finance, Unicrypt eller Mudra og søg på LP-token-adressen. Er likviditeten låst, kan du se låseperioden og udløbsdatoen. Er den ikke låst, eller er låseperioden under 6 måneder, er det et advarselssignal. Tjek også, om låsekontrakten selv er auditeret.

Verificér en smart contract før godkendelse

Kort fortalt

1.En verificeret kontrakt på Etherscan viser kildekode, men garanterer ikke sikkerhed.
2.En ekstern audit fra Trail of Bits, OpenZeppelin eller Halborn reducerer risikoen markant.
3.Røde flag: mint-funktion, ingen timelock, ulåst likviditet og anonymt team.
4.Et rug pull eller en scam giver ikke i sig selv fradrag (SKM2023.586.SR). Kun et reelt salg eller bytte giver et fradragsberettiget tab (skatteværdi ca. 26%).
5.Hvordan airdrops fra scam-kontrakter uden reel markedsværdi beskattes, er ikke afklaret.
6.Fra 2026 indberetter børser automatisk via DAC8, men tab skal stadig selvangives.

En smart contract kører på blockchain og kan ikke stoppes. Når du interagerer med en kontrakt, giver du den adgang til dine tokens. Er koden skrevet med ondsindede hensigter, kan den tømme din wallet på sekunder. Denne guide viser, hvad du skal tjekke, før du klikker godkend.

Vi gennemgår Etherscan-verificering, audit-rapporter, røde flag, rug pull-mekanismer og de skattemæssige regler for tab i 2026. Du finder også et interaktivt risikovurderingsværktøj og en gas-gebyr simulator.

Indholdsfortegnelse

1.Hvad er en smart contract?
2.Etherscan og verificeret kildekode
3.Audit-processen trin for trin
4.Audit-firmaer sammenlignet
5.Røde flag og grønne flag
6.Rug pull mekanismer
7.Interaktiv risikoscorer og gas-simulator
8.Skat og tab: danske regler 2026
9.Ofte stillede spørgsmål
10.Kilder og videre læsning

Hvad er en smart contract?

En smart contract er et program, der lever på en blockchain. Det er kode, der kører automatisk, når betingelserne er opfyldt. Ingen kan ændre eller stoppe koden, når den er live på netværket. Det er både styrken og risikoen ved smart contracts.

Smart contracts bruges til tokens, decentraliserede børser (DEX), lending-protokoller og NFT-er. Når du køber en token på en DEX, interagerer du med en smart contract. Når du godkender en protokol til at bruge dine tokens, giver du kontrakten tilladelse.

Ethereum bruger programmeringssproget Solidity. De fleste DeFi-projekter på Ethereum, Base, Optimism og Arbitrum er skrevet i Solidity. Solana bruger Rust og et andet program-format, men principperne for risikovurdering er de samme på alle kædetyper.

Læs mere om grundlaget i vores introduktioner til hvad er DeFi og Ethereum. For wallet-sikkerhed, se vores guide til hvad er en krypto-wallet.

Etherscan og verificeret kildekode

Etherscan er den mest brugte block explorer til Ethereum og EVM-kompatible netværk. Det er udgangspunktet for at verificere en smart contract. Du finder al offentlig information om en kontrakt her: kode, transaktioner, holder-fordeling og token-info.

Sådan finder du en kontrakt

Gå til etherscan.io og indsæt kontraktadressen i søgefeltet. Adressen er en lang række af bogstaver og tal, der starter med 0x. Find adressen i projektets officielle dokumentation. Find aldrig adressen via links i sociale medier eller uopfordrede beskeder. Det er den hyppigste måde at ende på en falsk kontrakt.

Hvad verificeret faktisk betyder

En verificeret kontrakt viser et grønt flueben på "Contract"-fanen på Etherscan. Det betyder, at kildekoden er offentliggjort og matcher bytekoden på netværket. Etherscan kompilerer kildekoden og sammenligner med det, der faktisk kører.

Verificeret betyder synlig, ikke sikker. En kontrakt kan være verificeret og stadig indeholde farlige funktioner. En honeypot-kontrakt er ofte fuldt verificeret, men koden er bevidst skrevet til at blokere salg.

Fire ting du søger i kildekoden

Kan du læse Solidity, er der fire typer funktioner, du søger efter: 1) Funktioner der giver ejeren specielle privilegier. 2) Funktioner der lader ejeren minte ubegrænset supply. 3) Funktioner der kan blokere salg. 4) Funktioner der giver ejeren adgang til kontraktens midler.

Kan du ikke læse Solidity, brug automatiserede værktøjer. Token Sniffer, De.Fi og Go+ Security scanner koden og rapporterer fund. De er ikke perfekte, men de fanger mange oplagte røde flag. Brug dem som et supplement.

Honeypot-advarsel

Et honeypot er en kontrakt, der lader dig købe tokens, men blokerer salg. Du ser prisen stige, men når du prøver at sælge, fejler transaktionen. Honeypots er designet til at lokke kapital ind og holde den fast. De er ofte fuldt verificerede og ser normale ud. Brug Go+ Security eller Token Sniffer til at scanne koden, inden du køber. Et enkelt scan tager under 30 sekunder.

For at beskytte dig yderligere kan du læse om hardware wallets og de bedste kryptobørser i vores andre guider.

Audit-processen trin for trin

Et seriøst projekt gennemgår en struktureret sikkerhedsproces, før det er klart til brugere. Diagrammet nedenfor viser de typiske trin fra deploy til launch.

Trin 1: Deploy på testnet

Kontrakten deployes først på et testnet som Sepolia eller Goerli. Det giver teamet mulighed for at afprøve kontrakten uden at risikere rigtige midler. Testnet-adresser kan verificeres på tilsvarende block explorers.

Trin 2: Verificer kode offentligt

Kildekoden offentliggøres og verificeres på Etherscan. Det giver offentligheden mulighed for at læse og kommentere på koden. Åben kilde er ikke det samme som sikker kode, men det er et minimumskrav.

Trin 3: Automatisk scanning

Værktøjer som Slither, MythX og Echidna analyserer koden automatisk. De fanger en række kendte sårbarheder hurtigt og billigt. Automatisk scanning erstatter ikke manuel audit.

Trin 4: Ekstern audit

Et eksternt sikkerhedsfirma gennemgår koden manuelt. De søger logiske fejl, centraliserings-sårbarheder og edge cases. Rapporten er offentlig og lister alle fund med alvorlighed og status.

Trin 5: Bug bounty

Et bug bounty-program belønner uafhængige sikkerhedsforskere for at finde fejl. Platforme som Immunefi og Code4rena koordinerer disse programmer. Præmierne kan være betydelige for kritiske fund.

Trin 6: Launch på mainnet

Kontrakten deployes på mainnet. Ideelt er alle kritiske og højprioritetsfund rettet, og kontrakten er beskyttet af multisig og timelock på admin-funktioner. Et gradvist rollout med lav TVL-cap reducerer risikoen yderligere.

Audit-firmaer sammenlignet

Ikke alle audit-firmaer er lige. Her er de mest anerkendte firmaer i blockchain-sikkerhedsbranchen, med typiske priser, leveringstid og dækningsomfang. Priserne er vejledende og varierer med projektets kompleksitet.

Firma	Typisk pris (USD)	Leveringstid	Styrkerne	Begrænsninger
Trail of Bits	50.000 - 500.000	4-12 uger	Dybdegående, forskning, komplekse systemer	Lang venteliste, dyr
OpenZeppelin	30.000 - 200.000	3-8 uger	Anerkendt, ERC-standarder, grundig	Begrænset kapacitet, lang venteliste
Halborn	15.000 - 100.000	2-6 uger	Blockchain-specialister, god pris/kvalitet	Mindre historik end ToB/OZ
Certik	5.000 - 50.000	1-4 uger	Stor volumen, hurtig	Kvaliteten varierer, badge-inflation
Code4rena	15.000 - 250.000	1-3 uger	Mange øjne på koden, competitive audit	Varierende dybde, ikke en enkelt ansvarlig
Sherlock	20.000 - 150.000	2-4 uger	Forsikret audit, skin in the game	Begrænset track record

Vær skeptisk over for audit-rapporter fra ukendte firmaer. Nogle projekter betaler useriøse firmaer for et godkendt stempel. Kig altid på firmaets ry i kryptomiljøet og om de har offentlig track record.

Læs mere om DeFi-sikkerhed i vores guide til hvad er DeFi og hvad er NFT.

Røde flag og grønne flag

Nedenfor er en oversigt over de vigtigste røde og grønne flag. Mere end to røde flag bør give anledning til nærmere undersøgelse eller at lade være at investere.

Røde flag (undgå)	Gronne flag (godt tegn)
Ubegrænset mint-funktion med ejer-adgang	Fast eller capped token supply
Blacklist-funktion: ejeren kan blokere salg	Ingen salgs-blacklist i kontrakten
Overførselsskat kan ændres til 100%	Overførselsskat begrænset i koden (fx max 5%)
Proxy-kontrakt uden timelock	Proxy beskyttet af 48+ timers timelock
Admin-adgang via enkelt privat nøgle	Admin-adgang via multisig (fx Gnosis Safe 3/5)
Likviditet ulåst eller låst under 6 mdr	Likviditet låst 12+ mdr via Team.Finance
En adresse har over 20% af supply	Ingen enkelt adresse over 5% af supply
Ingen offentlig audit-rapport	Audit fra anerkendt firma, alle critical fundet rettet
Inaktivt GitHub-repository	Aktiv kodeudvikling, offentlige commits
Anonymt team uden verificerbar historik	Doxxed team med professionel baggrund
Kopieret kode med minimale ændringer	Original kodebase med tydelig arkitektur
Ingen bug bounty-program	Aktivt bug bounty på Immunefi eller Code4rena

Brug en dedikeret wallet til at interagere med nye eller risikable projekter. Læs om sikker opbevaring i vores guide til hardware wallets.

Rug pull mekanismer

En rug pull sker, når projektets bagmænd trækker deres tilsagn tilbage og tømmer likviditeten. Det efterlader investorer med værdiløse tokens. Her er de mest anvendte mekanismer.

Således fungerer en klassisk rug pull

Projektet opretter en token og en DEX-liquidity pool (fx på Uniswap).
Markedsføringen skaber hype. Investorer køber tokens og prisen stiger.
Ejeren trækker deres tilsagn tilbage ved at fjerne alle LP-tokens fra puljen.
Prisen kollapser til næsten nul. Ejerne beholder alle midler.
Investorer sidder med tokens, de ikke kan sælge til nogen rimelig kurs.

Ikke-låst likviditet

Likviditeten i en DEX-pulje bør være låst i mindst 6-12 måneder. Ikke-låst likviditet betyder, at ejerne kan trække alle midler ud når som helst. Tjek om likviditeten er låst via Team.Finance, Unicrypt eller Mudra. Find LP-token-adressen og tjek den på låsetjenesten.

Anonymt team og manglende historik

Et anonymt team er ikke i sig selv et rødt flag. Mange legitime projekter har anonyme udviklere. Men kombineret med andre røde flag som ulåst likviditet eller ingen audit øger det risikoen markant. Et doxxed team med verificerbar historik er en ekstra sikkerhedsforanstaltning.

Pump-and-dump

En token, der stiger 100-1000 procent på få dage uden fundamentale nyheder, er et varselssignal. Kombineret med koordineret markedsføring på Telegram og Twitter er det klassisk pump-and-dump. Spørg altid: hvad er det egentlige use case? Hvem betaler for tjenesten, og hvorfra kommer værdien?

For at lære mere om DEX-sikkerhed og token-godkendelser, se vores guide til DeFi og krypto-wallets.

Interaktiv risikoscorer og gas-simulator

Brug risikovurderingsværktøjet til at vurdere et konkret projekt. Derefter kan du bruge gas-simulatoren til at beregne, hvad en transaktion koster i DKK, inden du godkender den.

Gas-gebyr simulator

Beregn det forventede gas-gebyr i DKK for en transaktion på Ethereum mainnet.

Gas-pris: 30 gwei

10 gwei (billig)200 gwei (dyr)

Transaktionskompleksitet

ETH/DKK kurs: 22.000 kr.

8.000 kr.40.000 kr.

Estimeret gas-gebyr

53 kr.

80.000 gas enheder

0.002400 ETH

Estimatet er vejledende. Faktisk gas varierer med netværksbelastning og kontrakt-logik.

Gas-gebyrer på Layer 2-netværk som Base og Arbitrum er en brøkdel af mainnet. Læs mere om Bitcoin og Ethereum for at forstå de underliggende netværk.

Skat og tab: danske regler 2026

Mister du penge til et rug pull, exploit eller svindel, er der skattemæssige konsekvenser, men ofte intet fradrag. Skattereglerne for tab er ikke ændret i 2026, men fra 2026 skal kryptoudbydere indberette deres brugeres transaktioner (DAC8).

Tab som spekulationstab (statsskattelovens § 5)

Tab på kryptovaluta fradrages som spekulationstab efter statsskattelovens § 5. Skatteværdien er ca. 26 procent. Det er asymmetrisk: gevinster beskattes som personlig indkomst med op til ca. 53 procent ifølge Skattestyrelsen, men tab fradrages kun med ca. 26 procent. Et tab på 10.000 kr. giver ca. 2.600 kr. i skattefradrag.

Tabet opstår kun ved afståelse, dvs. når du reelt sælger eller bytter dine tokens. At bagmændene trækker likviditeten, så dine tokens bliver værdiløse, er ikke et salg: Skatterådet har afvist fradrag ved et rug pull og afvist at sætte afståelsessummen til 0 kr. (SKM2023.586.SR). Tømmer en exploit eller en ukendt hacker din wallet, er der heller ikke fradrag, når gerningsmanden er ukendt. Har du selv sendt krypto til en svindler, er tabet heller ikke et handelstab (SKM2021.513.SR). Du skal dokumentere hvert tilfælde.

FIFO-princippet gælder stadig

Skattestyrelsen anvender FIFO (First In, First Out) til at beregne gevinst og tab. De tokens du købte først, anses for solgt først. Det påvirker din anskaffelsessum og det skattepligtige resultat. FIFO anvendes særskilt for hver type kryptovaluta.

Airdrops fra scam-kontrakter

Mange scam-kontrakter sender tokens til tilfældige wallets som en del af markedsføringen. Gratis airdrops anser Skattestyrelsen som udgangspunkt for en skattepligtig reklamegave, og værdien beskattes som personlig indkomst. Hvordan tokens uden reel markedsværdi, fx fra en kendt scam-kontrakt, skal behandles ved modtagelsen og ved et senere salg, er ikke afklaret i Skattestyrelsens vejledning. Spørg Skattestyrelsen eller søg et bindende svar, hvis beløbet er væsentligt.

SKAT-behandling af scam-tab: dokumentationskrav

Gem alle transaktioner: Skattestyrelsen kræver dokumentation for købspris, salgspris og tidspunkt.
Blockchain-links: Gem transaktions-hash og bloknummer for alle relevante transaktioner.
Værdiløshed: At du kan bevise, at tokens er værdiløse (fx via block explorer eller officiel meddelelse), giver ikke fradrag. Tabet realiseres først ved et reelt salg eller bytte (SKM2023.586.SR).
DAC8 fra 2026: Børser indberetter automatisk, men dine tab skal du stadig selv oplyse i rubrik 58.

Staking-belønninger fra kompromitterede projekter

Har du modtaget staking-belønninger fra et projekt, der siden viste sig at være svindel, er du allerede beskattet ved modtagelsen. Et tab opstår først, hvis du sælger eller bytter tokens efter værdifaldet; et værdifald uden salg giver ikke fradrag. Det er to skattemæssige hændelser med forskellige regler. Belønningerne beskattes som personlig indkomst; et realiseret tab fradrages som et ligningsmæssigt fradrag.

Læs mere om de fulde regler i vores guide til kryptoskat i Danmark, tab og fradrag og DAC8 praktisk guide.

Kilder og videre læsning

Nedenstående er de primære kilder, vi har brugt til denne artikel. Vi anbefaler at læse dem direkte for den seneste information.

Ethereum Foundation: Smart Contracts dokumentation

Officiel introduktion til smart contracts på Ethereum. Forklarer, hvad de er, og hvordan de fungerer på EVM.

https://ethereum.org/da/developers/docs/smart-contracts/

Finanstilsynet: Kryptoaktiver og regulering

Finanstilsynets side om kryptoaktiver, MiCA og dansk regulering. Relevant for at forstå, hvad der er reguleret.

https://www.finanstilsynet.dk/

Retsinformation.dk: Statsskatteloven § 5

Den officielle tekst til statsskattelovens § 5, som regulerer spekulationsindkomst og fradrag.

https://www.retsinformation.dk/

EU-Lex: MiCA-forordningen (EU 2023/1114)

Den officielle tekst til Markets in Crypto-Assets-forordningen, der regulerer kryptoaktiver i EU fra 2024.

https://eur-lex.europa.eu/legal-content/DA/TXT/?uri=CELEX:32023R1114

Skattestyrelsen: Vejledning om kryptovaluta

Skattestyrelsens seneste vejledning om beskatning af kryptovaluta, herunder tab og fradrag.

https://skat.dk/

Ethereum Foundation: Security best practices

Officielle anbefalinger til sikker smart contract-udvikling, herunder kendte angrebsvektorer og forsvarslinjer.

https://ethereum.org/da/developers/docs/smart-contracts/security/

Interne guider

Vi har en række relaterede guider, der uddyber de emner, vi har berørt i denne artikel.

Denne artikel er skrevet til orientering og erstatter ikke juridisk eller skattemæssig rådgivning. Skattereglerne kan ændre sig. Kontakt en revisor eller skatterådgiver for konkret vejledning om din situation.

Hvordan tjekker du en smart contract, før du godkender?