Duellerende post-mortems: retorikken der afgør skylden i krypto

En post-mortem er ikke en teknisk rapport, det er retorik

Når en krypto-protokol mister brugernes penge, følger der næsten altid en fast rutine. Inden for timer eller dage udgiver teamet bag protokollen et såkaldt post-mortem: en offentlig redegørelse for, hvad der gik galt, hvem der var involveret, og hvad der sker med de tabte midler herfra. Genren er blevet så indarbejdet i krypto-branchen, at den nærmest fungerer som en uformel erstatning for den forklaringspligt, almindelige finansielle selskaber har over for et tilsyn.

Men et post-mortem er ikke en kendelse afsagt af en uafhængig domstol. Det er skrevet af en part med noget på spil, som regel protokollens eget team, nogle gange en modpart i samme hændelse. Og ligesom enhver anden tekst forfattet af en interesseret part er ordvalget sjældent tilfældigt. Hvem der er sætningens grammatiske subjekt, hvilke detaljer der fremhæves, og hvilke der udelades helt, er redaktionelle beslutninger med reelle konsekvenser for, hvem der bliver holdt ansvarlig, hvem der får kompensation, og i sidste ende hvem der risikerer et søgsmål.

Den 12. marts 2026 fik krypto-branchen et næsten laboratorierent eksempel på, hvor meget retorik betyder. En bruger mistede 50,4 millioner dollar (cirka 328 mio. kr. ved en dollarkurs på omkring 6,50 kr., jævnfør Nationalbankens valutakurser) i et enkelt swap. Både Aave og CoW Swap, de to protokoller involveret i hændelsen, offentliggjorde hver deres post-mortem om præcis samme tab, tre dage efter det skete. De var begge faktuelt forsvarlige. Alligevel fortalte de to markant forskellige historier om, hvem der bar skylden.

Fra Google til krypto: genren i korte træk

Post-mortem-genren i krypto er ikke opfundet i branchen selv. Den stammer fra Googles blameless postmortem-kultur inden for softwaredrift, hvor formålet er at analysere en fejl uden at jagte en syndebuk og i stedet rette op på systemet. Efter Ethereums DAO-hack i 2016 begyndte krypto-projekter for alvor at overtage formatet, og outlets som rekt.news har siden gjort en næsten litterær disciplin ud af at katalogisere branchens største tab som en form for offentlig nekrolog, komplet med sort humor og et permanent leaderboard over de største hacks nogensinde.

Selve genrens anatomi, og en model til at bedømme, hvor godt et konkret post-mortem klarer sig, har HOGE Wire dækket tidligere. Det, der er mindre udforsket, er ikke hvad et post-mortem indeholder, men hvordan det er skrevet, hvilke ord der bruges, og hvorfor sprogbrugen i sig selv er en strategisk beslutning på linje med, hvor meget kompensation der tilbydes, eller hvor hurtigt teamet reagerer.

Grammatikkens magt: hvem er sætningens subjekt

Der findes et gammelt princip inden for krisekommunikation: den, der er grammatisk subjekt i en sætning, bliver af læseren opfattet som den handlende part, og dermed også som den, der bærer ansvaret. »Brugeren accepterede advarslen« placerer ansvaret hos brugeren. »Vores system tillod, at en ordre på 50 millioner dollar blev rutet gennem en pulje uden likviditet« placerer ansvaret hos systemet. Begge sætninger kan beskrive nøjagtig samme hændelse, uden at nogen af dem er faktuelt forkerte.

Det er ikke løgn at vælge den ene formulering frem for den anden. Det er et valg af vinkel, ofte truffet af jurister og kommunikationsfolk i samarbejde med de udviklere, der rent faktisk kender den tekniske årsag. I en branche uden nogen fælles standard for, hvordan et post-mortem skal formuleres, ender den samme hændelse ofte med at blive fortalt to gange: én gang af hver involveret part, med to forskellige subjekter i de centrale sætninger. Det er præcis, hvad der skete i marts 2026, da et enkelt fejlslagent swap fik to protokoller til at skrive hver sin version af sandheden.

Sagen: da 50,4 millioner dollar blev til 36.000

Hændelsen, der satte det hele i gang, var i sig selv usædvanlig teknisk kedelig, hvilket gør kontrasten i de to post-mortems endnu tydeligere. En bruger forsøgte at konvertere 50,4 millioner dollar i aEthUSDT til aEthAAVE gennem CoW Swaps widget, som er integreret direkte i Aaves brugerflade. Sådan en swap-widget finder normalt den bedste kurs ved at søge på tværs af flere likviditetskilder samtidig. I dette tilfælde blev ordren rutet gennem Aave V3, Uniswap V3 og til sidst en SushiSwap-pool for AAVE/WETH, som kun indeholdt omkring 73.000 dollar (cirka 475.000 kr.) i likviditet, en brøkdel af, hvad der krævedes for at absorbere en ordre af den størrelse.

Resultatet var en prispåvirkning på 99,9 procent. Brugeren endte med cirka 329 AAVE-tokens, på det tidspunkt værd omkring 36.000 dollar (cirka 234.000 kr.), for en handel der under normale markedsforhold burde have været værd tusindvis af gange mere. Det er ifølge flere brancheanalytikere en af de største enkeltstående eksekveringsfejl i DeFi’s historie, dokumenteret i detaljer af The Block.

Tre dage senere, den 15. marts 2026, offentliggjorde både Aave og CoW Swap hver deres post-mortem om hændelsen. Det er her, historien for alvor bliver interessant, for de to redegørelser er svære at genkende som beskrivelser af samme begivenhed.

Aaves fortælling: brugeren sagde ja tak

Aaves version lagde vægten på, at widgetten tydeligt viste en advarsel, »High price impact (99.9%)«, som krævede en eksplicit bekræftelse, før handlen kunne gennemføres. Ifølge Aave accepterede brugeren advarslen fra en mobil enhed, og midlerne forblev tilgængelige, blot i det illikvide AAVE og til en langt dårligere kurs end forventet.

Aaves konkrete indrømmelse var begrænset til gebyret: det oprindelige estimat på 600.000 dollar (cirka 3,9 mio. kr.) blev nedjusteret til det faktiske beløb på 110.368 dollar (cirka 717.000 kr.), som blev refunderet til brugeren. Som produktændring lancerede Aave »Aave Shield«, der som standard blokerer swaps med en prispåvirkning over 25 procent, en konkret og efterprøvelig reaktion på hændelsen. Men selve fortællingen placerede det afgørende ansvar hos brugeren, der »sagde ja« til en advarsel, mens systemets rolle i overhovedet at rute en ordre af den størrelse gennem en pulje med minimal likviditet fyldte langt mindre i teksten.

CoW Swaps fortælling: fem fejl i træk

CoW Swaps redegørelse var markant mere selvkritisk. Ifølge protokollens eget post-mortem afviste en hardkodet gasgrænse på 12 millioner, en rest fra ældre kode, flere bedre tilbud undervejs, så kun den absolut dårligste løsning, omkring 329 AAVE, stod tilbage som gyldig mulighed. Under selve eksekveringen vandt den bedst placerede »solver« to auktioner i træk, men formåede ikke at gennemføre nogen af transaktionerne on-chain, og opgav til sidst.

CoW Swap skrev direkte i sit eget post-mortem: »The auction system has no mechanism to detect or escalate this pattern.« Endnu mere opsigtsvækkende var indrømmelsen af, at en transaktion »may have leaked from a private mempool«, en mistanke underbygget af, at Etherscan markerede transaktionen som bekræftet inden for 30 sekunder, hurtigere end en normal offentlig blokbekræftelse typisk tillader. Det er en sjælden indrømmelse: et team, der antyder, at dets eget system utilsigtet kan have lækket information til en aktør, som efterfølgende profiterede på lækagen. Detaljerne fremgår af The Blocks gennemgang af begge redegørelser.

Hvem tjente på kaosset? MEV-jægerne

Det mest talende ved begge post-mortems er måske, hvad de ikke gik i dybden med. MEV, forkortelse for maximal extractable value, dækker over den værdi, som blokbyggere og bots kan udvinde ved at omarrangere, indsætte eller udskyde transaktioner i en blok, ofte på bekostning af den almindelige bruger. Et sandwich-angreb, hvor en bot placerer sine egne handler lige før og efter en stor ordre for at profitere på den kursbevægelse, ordren selv skaber, er en af de mest almindelige former.

Ifølge on-chain-data hentede Titan Builder, en blokbygger, omkring 34 millioner dollar (cirka 221 mio. kr.) i ETH fra selve hændelsen, mens en separat MEV-bot indkasserede yderligere cirka 9,9 millioner dollar (cirka 64 mio. kr.) gennem netop et sandwich-angreb omkring den samme transaktion. Tilsammen er det mere end det oprindelige tab, brugeren led.

Det er værd at hæfte sig ved, at CoW Swap markedsfører sig selv på netop at beskytte brugere mod MEV, og alligevel gik hverken Aaves eller CoW Swaps post-mortem i dybden med, hvordan så store summer kunne blive høstet af tredjeparter midt i det, der officielt blev fremstillet som en historie om et illikvidt marked og en teknisk fejl i en auktion. Retorisk er det en form for selektiv stilhed: begge parter fortalte sandheden om det, de valgte at fokusere på, men ingen af dem gjorde MEV-udvindingen til historiens centrum, selvom den beløbsmæssigt overgår både brugerens tab og det gebyr, der optog store dele af begge tekster.

Sat op ved siden af hinanden bliver forskellen i vinkel tydelig:

Modenhedstesten: CoW Swaps eget domænekup

Godt en måned senere fik CoW Swap sin egen prøve på, hvordan det føles at være offeret snarere end den forklarende part. Den 14. april 2026 lykkedes det angribere at social engineere domæneregistratoren Gandi SAS og overtage kontrollen med domænet cow.fi i omkring 4,5 timer. I den periode viste angriberne en falsk kopi af CoW Swaps hjemmeside, som narrede besøgende til at signere ondsindede transaktioner og dermed tømme deres wallets.

De samlede tab fra episoden endte omkring 1,2 millioner dollar (cirka 7,8 mio. kr.) i USDC. Vigtigt er det, at selve CoW-protokollen og dens smart contracts ikke var kompromitteret, angrebet ramte domæneinfrastrukturen og brugernes tillid til, at cow.fi rent faktisk var cow.fi, ikke koden bag selve handelssystemet. Sikkerhedsværktøjer slog hurtigt alarm, og CoW DAO bekræftede episoden offentligt kort efter, en markant hurtigere reaktion end mange sammenlignelige domænekapringer i branchens historie.

Det interessante her er konsistensen i egen retorik: samme team, der en måned tidligere havde indrømmet konkrete fejl i sit eget auktionssystem over for Aave, indrømmede nu lige så hurtigt, at dets eget domæne var blevet kapret gennem et svigt hos en ekstern registrator. Det tyder på, at CoW Swaps tilgang til kommunikation ikke kun var situationsbestemt i marts, men en gennemgående politik.

CIP-86: erstatning som goodwill, ikke som ansvar

CoW DAOs svar på domænekapringen kom i form af et formelt governance-forslag, CIP-86, som blev vedtaget den 8. maj 2026. Forslaget etablerede et diskretionært kompensationsprogram finansieret af CoW DAOs Legal Defense Reserve, som kunne dække op til 100 procent af verificerede tab i USDC.

For at være berettiget skulle en wallet enten selv have handlet på CoW Swap før hændelsen, eller være finansieret direkte fra en wallet, der havde, med en verificerbar on-chain-forbindelse. Ejeren skulle desuden have signeret en ondsindet besked eller transaktion med den specifikke drainer-kontrakt, der blev brugt i angrebet, mens brugere, der selv havde tastet deres seed phrase ind på den falske side, var udelukket fra programmet. Der blev også krævet KYC-verifikation af alle ansøgere. Tidslinjen var stram: krav skulle indsendes senest 14. maj, verifikation og KYC-processen løb frem til 21. maj, og selve udbetalingerne fandt sted mellem 21. og 31. maj.

Sprogbrugen i selve forslaget er værd at hæfte sig ved: programmet er formuleret som en diskretionær bevilling snarere end en juridisk erstatning eller en indrømmelse af ansvar. Holdt op mod den fempunkts-model, HOGE Wire har brugt til at bedømme post-mortems, scorer episoden højt på både hastighed og kompensationsgrad, men lavere på det juridiske spørgsmål om, hvem der reelt bar ansvaret for, at en ekstern registrator kunne kapres i første omgang.

Den modsatte strategi: Hyperbridge bygger om frem for at lappe

En tredje hændelse samme måned viser endnu en tilgang til retorik: næsten ren teknisk gennemsigtighed, uden meget fortolkning overhovedet. Den 13. april 2026 udnyttede en angriber en sårbarhed i Hyperbridges Ethereum-gateway-kontrakt, EthereumHost, ved hjælp af en forfalsket cross-chain-besked. Kontrakten skulle have valideret indgående beskeder mod en gyldig state-commitment fra Polkadot-siden, men gemte i stedet en commitment-værdi bestående udelukkende af nuller, hvilket tyder på, at valideringen enten manglede helt eller kunne omgås for netop denne kaldevej, som CoinDesk beskrev kort efter hændelsen.

Angriberen prægede 1 milliard DOT-tokens, nominelt værd omkring 1,19 mia. dollar (cirka 7,7 mia. kr.) på papiret. Men den tynde likviditet i Ethereums DOT-pool betød, at et forsøg på at sælge en så stor mængde udløste massivt kursfald undervejs, og angriberen endte reelt med langt mindre end den nominelle værdi. Det oprindelige tabsestimat på omkring 237.000 dollar (cirka 1,5 mio. kr.) blev senere opjusteret til omkring 2,5 millioner dollar (cirka 16,25 mio. kr.), efter at skaden på incitamentspuljer på tværs af Ethereum, Base, BNB Chain og Arbitrum blev talt med, ifølge CryptoTimes.

Da Hyperbridge relancerede systemet den 15. juni 2026, valgte teamet en tredje retorisk vej, hverken brugerens ansvar som hos Aave eller en detaljeret indrømmelse af interne procesfejl som hos CoW Swap, men en beskrivelse af en fuldstændig arkitektonisk genopbygning. »Instead of patching the old system, we rebuilt the parts that concentrated risk underneath the network,« skrev Hyperbridge-teamet. Budskabet er ikke »vi fejlede, undskyld«, men snarere »det gamle system var forkert designet fra grunden, og det er nu erstattet i sin helhed«, en fortælling der bevidst flytter fokus fra skyld til fremtid.

Antimodellen: tweetet der ikke holdt

For at forstå, hvorfor selv Aaves brugerorienterede fremstilling eller CoW Swaps indrømmelser fremstår som disciplineret kommunikation, er det værd at genkalde sig den absolutte bundgrænse for krise-retorik i krypto: Sam Bankman-Frieds tweet fra den 7. november 2022. Midt i et løb på FTX, og med fuldt kendskab til et hul i kundemidlerne på flere milliarder dollar, skrev han: »FTX is fine. Assets are fine.«

Tweetet blev fjernet omkring et døgn senere, og FTX gik konkurs inden for ugen. Under den efterfølgende retssag vidnede FTX’s tidligere teknologichef, Gary Wang, at »FTX was not fine«, og at selskabet ikke havde nok aktiver til at dække kundernes udbetalinger, ifølge Cointelegraphs dækning af sagen. Det er den rene modsætning til et post-mortem: ingen indrømmelse, ingen tidslinje, ingen teknisk forklaring, blot en benægtelse, der senere viste sig at være usand, og som blev slettet i stedet for korrigeret og fulgt op. Sammenlignet med selv den mest brugerkritiske formulering fra Aave fremstår FTX’s tweet som en påmindelse om, hvad det reelt koster i tillid, når der slet ikke kommer noget post-mortem, kun en benægtelse.

DORA-uret: lovkrav versus frivillighed

Ingen af de protokoller, denne artikel har gennemgået, var juridisk forpligtet til at offentliggøre noget som helst. Det er en pointe, der ofte drukner i diskussionen om, hvorvidt et givent post-mortem er godt eller dårligt skrevet: for rent decentraliserede protokoller uden en juridisk enhed bag findes der ingen lov, der kræver en forklaring inden for en bestemt frist, på et bestemt sprog, til en bestemt myndighed.

Det er markant anderledes for regulerede finansielle virksomheder. I Danmark fører Finanstilsynet tilsyn med, at banker, forsikringsselskaber, pensionskasser, realkreditinstitutter og finansielle infrastrukturselskaber overholder EU’s DORA-forordning (Digital Operational Resilience Act), som har været gældende siden januar 2025. DORA fastsætter et decideret ur for hændelsesrapportering: en indledende underretning skal sendes senest 4 timer efter, en hændelse er klassificeret som alvorlig, og under alle omstændigheder senest 24 timer efter, virksomheden blev opmærksom på den; en mellemliggende rapport skal følge inden for 72 timer; og en endelig rapport med rodårsagsanalyse skal være klar senest en måned efter.

Det er præcis den slags juridiske ur, HOGE Wire tidligere har beskrevet i forbindelse med bankernes vej fra ETP’er til fuld forvaring, hvor traditionelle finansielle selskaber bevæger sig længere ind på krypto-markedet og dermed selv bliver underlagt disse frister. DeFi-protokoller som Aave, CoW Swap og Hyperbridge er hverken omfattet af DORA eller CASP’er, udbydere af kryptoaktivtjenester, i MiCA-forordningens forstand, medmindre en juridisk enhed centralt driver og udbyder tjenesten. Deres post-mortems er derfor rene kommunikationsvalg, ikke lovpligtige dokumenter, hvilket gør retorikken endnu vigtigere at forstå, for der findes intet regelsæt, der tvinger dem til at vælge den ene formulering frem for den anden.

Hele forløbet i foråret 2026 udspillede sig desuden i en periode, hvor markedet i forvejen var nervøst over rentepolitikken, jævnfør HOGE Wire’s gennemgang af presset fra obligationsrenterne på hele krypto-markedet, hvilket gjorde hurtig og klar kommunikation fra protokollerne endnu vigtigere for at undgå yderligere panik blandt brugerne, oven i den skade der allerede var sket.

Sat op mod hinanden tegner fem hændelser et mønster i, hvad hurtig og ærlig kommunikation faktisk betyder for tilliden bagefter:

Hvad adskiller god retorik fra dårlig

Tværs gennem disse fem hændelser tegner der sig et mønster, der har mindre at gøre med, hvor stort tabet var, og mere med, hvordan protokollen vælger at fortælle om det. CoW Swaps indrømmelse af en forældet gasgrænse og en mulig mempool-lækage, og Hyperbridges detaljerede beskrivelse af en valideringsfejl med nulværdier, bygger begge tillid, fordi de navngiver en konkret, teknisk årsag, som protokollen selv er ansvarlig for, i stedet for udelukkende at pege på markedsforhold eller brugeradfærd.

Det betyder ikke, at Aaves fremstilling var uærlig. Advarslen på 99,9 procent blev faktisk vist, og brugeren accepterede den. Men ved konsekvent at gøre brugeren til sætningens subjekt, mens systemets rolle i at rute en så stor ordre gennem en pulje med minimal likviditet fik langt mindre plads, valgte Aave en vinkel, der mindsker protokollens eget ansvar i læserens øjne, selv når de underliggende fakta holder vand.

Kompensation ser ud til at spille en lige så stor rolle som selve indrømmelserne. CIP-86’s beslutning om at dække op til 100 procent af verificerede tab, uden at det formelt indebærer en indrømmelse af juridisk ansvar, er et mønster, der går igen i flere af de sager, HOGE Wire tidligere har set på i gennemgangen af hvem der overlever et hack, og hvem der dør: protokoller, der betaler brugerne tilbage, uanset om de formelt anerkender skyld, ser ud til at bevare markant mere tillid end dem, der ikke gør.

Tilsammen tegner sagerne et billede af, hvad et troværdigt post-mortem bør indeholde:

• En konkret, navngivet teknisk årsag, ikke kun »markedsforhold« eller »brugerfejl«
• En tidslinje med klokkeslæt, ikke kun datoer
• Et klart svar på, om og hvordan brugere kompenseres
• En kodeændring eller ny revision, der kan efterprøves uafhængigt
• Åbenhed om, hvem andre der tjente på hændelsen, for eksempel via MEV

Den eneste strategi, der konsekvent slår fejl, er stilhed eller decideret benægtelse. FTX’s slettede tweet er den tydeligste illustration af, at fraværet af et post-mortem, eller et post-mortem der senere viser sig at være usandt, koster langt mere end selv den mest ubehagelige indrømmelse. Som Mitchell Amador, stifter og administrerende direktør for sikkerhedsplatformen Immunefi, har formuleret det: »’We were audited’ was never the same as ‘we are safe.’ One protocol was audited 11 times and still lost $128 million,« skrev han i CoinDesk. Det samme princip gælder for retorik: at have udgivet et post-mortem er ikke det samme som at have udgivet et troværdigt et.

Ben Zhou, medstifter og administrerende direktør for Bybit, formulerede en beslægtet pointe efter branchens indtil videre største hack til 1,5 milliarder dollar (cirka 9,75 mia. kr.) i februar 2025, hvor han understregede, at »our response is primarily to maintain transparency«, ifølge Cryptonews. Med over 972 millioner dollar (cirka 6,3 mia. kr.) tabt på tværs af 207 registrerede hændelser i første halvår af 2026 alene, ifølge TRM Labs, forsvinder behovet for den slags gennemsigtighed næppe foreløbig. Spørgsmålet, en protokol i dag må stille sig selv, er ikke længere kun, om den vil blive hacket, men hvilke ord den vælger at bruge, den dag det sker.

Ofte stillede spørgsmål

Fem centrale spørgsmål om post-mortem-kulturen i krypto, besvaret kort.

Hvad er et post-mortem i krypto-sammenhæng?

Et post-mortem er en offentlig teknisk redegørelse, som et protokol-team udgiver efter et hack eller en alvorlig fejl, hvor de forklarer, hvad der gik galt, hvem der var berørt, og hvad de gør for at rette op. Genren stammer fra Googles blameless postmortem-kultur inden for softwaredrift, men fungerer i krypto som en uformel erstatning for den forklaringspligt, regulerede finansielle selskaber har over for et tilsyn.

Hvorfor gav Aave og CoW Swap forskellige forklaringer på det samme tab?

Fordi de to protokoller havde forskellige interesser at beskytte. Aave fremhævede, at brugeren aktivt accepterede en advarsel om 99,9 procent prispåvirkning, og lagde dermed ansvaret hos brugeren. CoW Swap indrømmede i stedet flere interne fejl i sit eget auktionssystem, herunder en forældet gasgrænse og en mulig lækage fra en privat mempool. Begge redegørelser var faktuelt korrekte, men de valgte forskellige detaljer at fremhæve og forskellige grammatiske subjekter, hvilket ændrer, hvem læseren opfatter som ansvarlig.

Er krypto-protokoller juridisk forpligtet til at offentliggøre post-mortems?

Nej, ikke rent decentraliserede protokoller uden en juridisk enhed bag. MiCA-forordningen stiller krav til udbydere af kryptoaktivtjenester og udstedere, men rammer ikke autonome smart contracts. Det betyder, at et post-mortem fra en DeFi-protokol som udgangspunkt er frivilligt, mens regulerede finansielle selskaber under DORA-forordningen har lovbestemte frister for, hvornår og hvordan de skal indberette en hændelse til deres tilsynsmyndighed.

Hvad er DORA, og gælder det for DeFi-protokoller?

DORA (Digital Operational Resilience Act) er en EU-forordning, der har været gældende siden januar 2025, og som stiller krav til it-risikostyring og hændelsesrapportering for regulerede finansielle virksomheder som banker, forsikringsselskaber og finansiel infrastruktur. Finanstilsynet fører tilsyn med DORA i Danmark. Forordningen gælder ikke for decentraliserede protokoller uden en juridisk enhed bag, hvilket er en central del af forklaringen på, hvorfor DeFi-protokollers post-mortems er frivillige, mens bankers hændelsesrapportering er lovpligtig.

Hvordan kan almindelige brugere vurdere, om et post-mortem er troværdigt?

Se efter, om teamet indrømmer konkrete interne fejl frem for udelukkende at pege på markedsforhold eller brugeradfærd, om der er en klar tidslinje, om der tilbydes kompensation, og om der følger en reel kodeændring eller en ny revision bagefter. Et post-mortem, der kun bruger passiv sprogbrug og undgår at nævne, hvad protokollen selv kunne have gjort anderledes, bør læses med et kritisk blik.

Marcus Okafor er redaktør hos HOGE Wire og dækker krypto-sikkerhed og protokolkultur.