Post-mortem-kulturen: obduktion efter kryptoens store hacks

Den 9. juni 2026 kollapsede kursen på H-token med omkring 85 procent i løbet af få timer. Bag faldet lå et angreb på Humanity Protocol, et identitetsprojekt, der bruger håndfladescanninger og zero-knowledge proofs; angriberne overtog kontrollen med projektets cross-chain broer og tømte dem for cirka 36 millioner dollar, svarende til omkring 235 millioner kroner. Indgangen var ikke en fejl i selve koden, men en medarbejders kompromitterede laptop. Inden for få dage lå der en detaljeret obduktionsrapport offentligt tilgængelig, komplet med transaktionshashes, en tidslinje og en vurdering af, at værktøjerne pegede mod nordkoreanske grupper.

Ritualet, der fulgte, er værd at standse ved. I de fleste brancher bliver et sikkerhedsbrud pakket ind i jura og tavshed. I krypto sker ofte det modsatte: tabet bliver til en offentlig genre. Obduktionen, eller post-mortem’en, er blevet et kulturelt fænomen med sine egne konventioner, sin egen æstetik og sine egne helte og skurke. Denne artikel handler ikke om, hvordan de enkelte hacks teknisk fungerer, men om kulturen, der er vokset op omkring dem, og om hvorfor den for danske DeFi-brugere ofte er det eneste reelle værn.

Hvad er en post-mortem i krypto?

En post-mortem er i udgangspunktet en rapport, der forklarer, hvad der gik galt: hvordan angriberen kom ind, hvad der blev tabt, og hvad der bliver gjort ved det. I krypto er formatet vokset til noget større end en teknisk redegørelse. Fordi de fleste protokoller kører på åbne blockchains, kan alle følge pengene i realtid. Hver transaktion, hver tømt pulje og hver efterfølgende bevægelse ligger offentligt på kæden. Det gør det næsten umuligt at feje et brud ind under gulvtæppet, og det har skabt en forventning om, at holdene står frem hurtigt og ærligt.

Resultatet er en genre med faste elementer: en tidslinje ned til den enkelte blok, en analyse af den grundlæggende årsag, en liste over berørte adresser og en plan for kompensation. Ofte følger et tilbud til angriberen om at returnere midlerne mod en dusør. Sammenlign det med et klassisk databrud i banksektoren, hvor detaljerne typisk først kommer frem måneder senere, hvis overhovedet. I krypto er obduktionen både en teknisk pligt og en offentlig forestilling.

The DAO: genren blev født i 2016

Genrens fødsel kan dateres ret præcist. I juni 2016 udnyttede en angriber en reentrancy-fejl i The DAO, dengang en af kryptos største investeringspuljer, og drænede cirka 3,6 millioner ETH, omtrent en tredjedel af fonden. Fællesskabets svar blev en af de mest omtalte beslutninger i Ethereums historie: en hard fork ved blok 1.920.000, der rullede tyveriet tilbage og delte netværket i to, Ethereum og Ethereum Classic. Selve debatten, ført åbent på fora og mailinglister, var i sig selv en kollektiv obduktion.

Ti år senere er historien kommet fuld cirkel. I 2026 er The DAO relanceret, ikke som investeringsvehikel, men som en sikkerhedsfond. Ifølge The Block aktiverer fonden mere end 75.000 ETH i uindløste midler fra genopretningen i 2016, en beholdning, der ved sommerens ETH-kurs blev opgjort til omkring 130 millioner dollar, cirka 850 millioner kroner. Omtrent 69.420 ETH bliver staket for at generere anslået 8 millioner dollar om året, som deles ud til sikkerhedsforskere og beredskabshold. Blandt de syv kuratorer er Ethereum-medstifter Vitalik Buterin og den tidligere MetaMask-sikkerhedschef Taylor Monahan, mens udvikleren Griff Green har stået i spidsen for genoplivningen. CoinDesk beskriver initiativet som The DAOs anden akt, denne gang med sikkerhed som mission.

Rekt.news og nekrolog-genren

Hvis The DAO gav genren dens oprindelsesmyte, gav Rekt.news den dens stemme. Sitet skriver anonyme, noir-farvede nekrologer over faldne protokoller, ofte med en sarkastisk tone og en moralsk brod rettet mod skødesløs kode og grådige teams. Dets leaderboard fungerer som en slags kollektiv hukommelse, en hall of shame, hvor tabene rangeres efter størrelse. At havne øverst er blevet et anti-adelsmærke, som ingen ønsker.

Genren har siden fået selskab af mere nøgterne databaser, blandt andet sikkerhedsfirmaet SlowMists offentlige hackregister, der katalogiserer hændelser med kølig systematik. Tilsammen udgør de et fælles arkiv, som nye udviklere kan læse sig klog på. Pointen er kulturel snarere end teknisk: branchen har valgt at gøre sine nederlag til offentlig læring frem for skjult skam.

Bybit: benchmark for transparens

Det hidtil største eksempel på, hvordan en obduktion kan gøres rigtigt, kom den 21. februar 2025. Børsen Bybit mistede omkring 1,5 milliarder dollar, cirka 9,8 milliarder kroner, i det største kryptotyveri nogensinde. Det afgørende var, at angrebet ikke skyldtes en fejl i en smart contract eller stjålne nøgler. Ifølge efterforskningen fra sikkerhedsfirmaet Sygnia blev ondsindet JavaScript injiceret i brugerfladen på Safe{Wallet}, så de personer, der skulle godkende overførslen, så én transaktion på skærmen, mens de reelt signerede en anden. Det er blind signing sat i system, og de kryptografiske nøgler blev aldrig kompromitteret.

Bybits direktør Ben Zhou satte en ny standard for åbenhed. I stedet for at gå i defensiven leverede han løbende opdateringer og fik offentliggjort foreløbige forensiske rapporter fra Sygnia og Verichains inden for få dage. Børsen udlovede desuden en dusør på op mod 140 millioner dollar, omkring 920 millioner kroner, til dem, der kunne spore og fryse midlerne, som TechCrunch rapporterede. FBI knyttede senere angrebet til den nordkoreanske Lazarus-gruppe. Bybit-sagen blev målestok for, hvor hurtigt og hvor detaljeret et hold bør stå frem.

On-chain forhandling: Euler Finance

En anden søjle i kulturen er den on-chain forhandling, hvor offer og gerningsmand kommunikerer direkte via beskeder indlejret i transaktioner. Det klassiske eksempel er Euler Finance, der i marts 2023 tabte cirka 197 millioner dollar, omkring 1,3 milliarder kroner, i et flash loan-angreb. Euler tilbød angriberen at beholde 10 procent, cirka 19,7 millioner dollar eller 130 millioner kroner, mod at returnere resten, og varslede ellers en dusør for oplysninger, der kunne afsløre vedkommende.

Det virkede. Angriberen svarede on-chain, undskyldte og sendte pengene tilbage i portioner. Fordi en stor del af byttet var konverteret til ETH, der steg i mellemtiden, endte holdet med at inddrive omtrent 240 millioner dollar, altså mere end det oprindelige tab. The Block beskrev den sidste tilbagebetaling som afslutningen på de genindvindelige midler. Euler udgav siden sin egen udførlige beretning, «War and Peace», der læses som en spændingsroman om forhandlingen bag kulisserne. Obduktionen var her ikke kun en rapport, men et forsvar mod et tab, der ellers ingen retslig vej havde.

SEAL Safe Harbor: ritualet bliver til institution

Efterhånden som den improviserede forhandling gentog sig, opstod behovet for at sætte den i faste rammer. Det gjorde sammenslutningen Security Alliance med sit Whitehat Safe Harbor, et offentligt og juridisk bindende tilbud, som protokoller kan tilslutte sig på forhånd. Rammen giver en whitehat, der griber ind under et aktivt angreb, lov til at handle mod at returnere midlerne inden for 72 timer og beholde en dusør på 10 procent, dog med et loft på 1 million dollar, cirka 6,6 millioner kroner, og betinget af KYC og OFAC-tjek.

Ideen er at fjerne den juridiske gråzone, der ellers afholder velmenende hackere fra at redde midler. Ifølge Security Alliance dækker rammen aktiver for mere end 68 milliarder dollar, omtrent 450 milliarder kroner, på tværs af flere end 20 protokoller, heriblandt store navne som Uniswap og Aave. Dermed er det, der begyndte som en enkeltstående besked i en transaktion, blevet til en form for privat retsorden for en branche, der i vidt omfang står uden for den offentlige.

Tallene bag genren i 2026

Behovet for kulturen er ikke blevet mindre. Ifølge en opgørelse fra TRM Labs ramte antallet af hacks et rekordniveau på 207 i første halvår af 2026, mens det samlede tab faldt til cirka 972 millioner dollar, omkring 6,4 milliarder kroner, mindre end halvdelen af de 2,3 milliarder dollar i samme periode året før. Et mønster træder tydeligt frem: smart contract-angreb udgjorde 125 af de 207 hændelser, men kun en lille del af værdien, mens kompromitterede nøgler, infrastruktur og interne systemer stod for omkring 15 procent af hændelserne, men hele 76 procent af tabet. Aktivitet knyttet til Nordkorea tegnede sig for cirka 643 millioner dollar, omtrent 4,2 milliarder kroner, eller to tredjedele af det stjålne. Medianstabet lå på cirka 219.000 dollar, godt 1,4 millioner kroner.

Derfor er obduktionen danske brugeres eneste værn i DeFi

Her bliver kulturen relevant på en meget konkret måde for danske brugere. Siden MiCA-forordningen trådte i kraft den 30. december 2024, fører Finanstilsynet tilsyn med udbydere af kryptoaktivtjenester (CASP’er) i Danmark og udsteder tilladelserne. Det betyder, at hvis en licenseret børs eller depotudbyder mister dine midler, for eksempel gennem et svigt i signeringskontrollen som ved Bybit, har du en klageadgang og en tilsynsmyndighed at gå til; MiCA suppleres af DORA-reglerne om digital driftsstabilitet.

Men her går den afgørende skillelinje: fuldt decentraliseret DeFi falder uden for MiCA. Bruger du en protokol uden en juridisk ansvarlig udbyder, findes der ingen CASP, ingen klageinstans og ingen garantifond, hvis pengene forsvinder. EU’s regler for DeFi ventes tidligst i 2027 eller 2028. For en dansk investor, der bruger en decentral låneprotokol, er den offentlige obduktion og et eventuelt whitehat-tilbud derfor ofte den eneste realistiske vej til at få noget tilbage. Og fordi kronen er bundet til euroen via Nationalbankens fastkurspolitik, mens de fleste tab opgøres i dollar, rammer et globalt hack den danske bruger i en valuta, vedkommende sjældent selv har valgt.

Sådan læser du en troværdig post-mortem

Ikke alle obduktioner er lige meget værd. Nogle er ærlige tekniske redegørelser, andre er PR forklædt som transparens. Erfarne læsere kigger efter en håndfuld tegn, når en ny rapport lander:

• En præcis tidslinje ned til den enkelte blok, ikke løse vendinger om et «sofistikeret angreb», der dækker over banale fejl.
• En konkret grundårsag med verificerbare transaktionshashes, så uafhængige kan efterprøve forløbet.
• Ekstern forensik fra et anerkendt firma, efter modellen med Sygnia og Verichains i Bybit-sagen.
• En klar plan for kompensation af berørte brugere, med beløb og tidsramme.
• En åben kanal til angriberen, gerne via en Safe Harbor-ramme, med en klart defineret dusør.
• Konkrete kodeændringer og en fornyet audit, ikke blot løfter om at gøre det bedre.

Fælles for de bedste eksempler er, at de behandler læseren som voksen. Bybit, Euler og The DAO satte hver sin standard, ikke ved at undgå katastrofen, men ved at møde den offentligt. I en branche, hvor koden er lov, og hvor domstolene ofte kommer til kort, er evnen til at skrive en ærlig obduktion blevet en kernekompetence på linje med at skrive sikker kode i første omgang.

Af redaktionen på HOGE Wire, Danmark.