Frikendt og kapret: SEC’s nye linje om fællesskabsstyring

Den 2. november 2026 opdaterede det amerikanske finanstilsyn SEC en FAQ-side. Ingen pressekonference, ingen afstemning i kommissionen, bare tre nye svar på en liste. Alligevel kan de svar vise sig at være et af årets vigtigste signaler til alle, der tror på fællesskabsstyring: at stemme i en DAO er ikke det samme som at kontrollere et netværk. Indehavere, der stemmer uafhængigt af hinanden, udgør som udgangspunkt ikke en »central part«, og uden en central part bliver det sværere at kalde et netværks token et værdipapir.

Timingen er næsten grotesk. Samme år, som juristerne i praksis frikendte den decentrale styring, viste den decentrale styring sig fra sin mest sårbare side. Mindst syv DAO’er blev kapret indefra hen over sommeren, tilsammen for omkring 53,5 mio. dollar (cirka 360 mio. kr). Et af DeFi’s største navne, Jupiter, satte sit eget demokrati på pause. Og en række afstemninger om milliardstore kasser mindede alle om, at magten i disse fællesskaber sjældent er så bredt fordelt, som ordet »fællesskab« antyder.

Frikendt af juristerne, kapret af virkeligheden. Det er fortællingen om fællesskabsstyring i 2026, og den rammer også danske investorer, selvom SEC’s FAQ ikke gælder i Danmark. Her er, hvad der faktisk skete, og hvorfor det betyder noget.

Hvad SEC egentlig skrev den 2. november

SEC’s Division of Corporation Finance (afdelingen for selskabsfinansiering) føjede tre nye punkter, nummereret 1.4 til 1.6, til sin vejledning om krypto-aktiver. Kernen er nem at referere og svær at overvurdere. Uafhængige indehavere, der stemmer hver for sig, bliver ikke automatisk til en koordineret gruppe, blot fordi de deltager i et styringssystem. Og selv hvis de skulle udgøre en gruppe, kræver det faktisk kontrol over driften, de økonomiske beslutninger eller selve stemmeprocessen, før de tæller som en central part, fremgår det af SEC-stabens formulering.

Det afgørende ord er kontrol. Staben skelner skarpt mellem at stemme og at kunne handle. En afstemning kan få bred opbakning og stadig afhænge af en lille gruppe, der rent faktisk kan føre beslutningen ud i livet. Derfor retter vejledningen blikket mod et konkret spørgsmål: hvem kan reelt lukke brugere ind eller ude, ændre opgraderingsreglerne, styre validatorerne eller rette i koden? Det er den faktiske handleevne, ikke antallet af tegnebøger, der afgør sagen.

Vejledningen bygger videre på en fortolkning, SEC’s selskabsafdeling udsendte 17. marts 2026 (med virkning fra 23. marts), hvor det hed, at et fungerende kryptosystem ikke har en central part, der overvåger deltagelsen eller fordeler belønninger. Novembertilføjelsen oversætter princippet til styringens sprog. Den vigtigste sætning er måske også den mest ubehagelige for branchen: et netværk kan fungere præcis efter hensigten og stadig være under central kontrol. Funktionalitet er ikke det samme som decentralisering.

Fra Howey til kontrol: hvorfor et FAQ-svar flytter noget

For at forstå, hvorfor tre linjer i en FAQ kan rykke markeder, skal man forbi et enkelt spørgsmål: er en token et værdipapir? I USA afgøres det stadig i vid udstrækning af kontrol. Hvis en identificerbar central part driver netværket og skaber værdien, ligner token-salget en investeringskontrakt efter den klassiske Howey-test, og så følger registreringspligt, oplysningskrav og håndhævelse. Er der omvendt ingen central part, kan en token snarere behandles som en digital råvare, uden for SEC’s hårdeste greb.

Det er her, governance-tokens har siddet i saksen. Jo mere et projekt lænede sig på token-afstemninger for at fremstå decentralt, desto mere kunne de samme afstemninger bruges som bevis på, at en gruppe kontrollerede netværket. Novembervejledningen løsner knuden: kollektiv stemmeafgivning er i sig selv ikke bevis på kontrol, så længe stemmeretten er bredt fordelt, og deltagerne ikke har en separat aftale om at handle sammen. Vurderingen hviler i stedet på tre former for kontrol.

For konkrete projekter er billedet mudret. Uniswap nævnes som et tilfælde, hvor UNI-afstemningerne passer til rammen, men hvor Uniswap Labs, et privat selskab, rejser spørgsmålet, om én enhed alligevel har hånden på rattet. Aave er endnu tydeligere: DAO’en satte i foråret sine tilbagekøb på pause og afviste et forslag om at få Aave Labs til at afgive visse brand-aktiver, hvilket antyder, at et privat selskab stadig har indflydelse. SEC’s svar giver ingen projektspecifik dom; det leverer kun linealen, ikke karakteren.

Det kaprede år: da stemmen blev selve exploiten

Mens juristerne finpudsede definitionen af kontrol, demonstrerede angriberne, hvor billigt den kan købes. Det nye ved 2026 var ikke, at DAO’er blev drænet; det var metoden. Ingen af sommerens store overtagelser krævede en fejl i koden. Angriberne brød ikke ind. De stemte sig ind.

Mønstret er beskrevet i flere uafhængige optegnelser over året: mindst syv styringsovertagelser trak tilsammen omkring 53,5 mio. dollar (cirka 360 mio. kr) ud af DeFi-kasser mellem juni og september, og den samlede kapitalomkostning for alle syv lå under 10 mio. dollar. Det er et afkast på omtrent fem gange indsatsen, høstet ikke ved at knække kryptografi, men ved at samle nok stemmevægt til at få et forslag igennem.

Logikken er den samme, hver gang. Køb eller lån nok af en tyndt handlet styringstoken til at nå quorum, fremsæt et forslag, der ser harmløst ud, og lad det omdirigere kassen, før nogen når at reagere. Når stemmedeltagelsen er lav og token-fordelingen skæv, behøver man ikke et flertal af fællesskabet. Man behøver blot et flertal af dem, der rent faktisk møder op. At en afstemning kan flytte rigtige penge, så vi tydeligt, da Binance måtte bede en DAO om lov til at frigive sine egne midler, som beskrevet i Domstolen uden dommer.

BonkDAO og Term: to måder at stjæle en afstemning på

To sager fra sommeren viser spændvidden. BonkDAO er lærebogseksemplet på stemmekøb. I juli 2026 brugte en angriber nogle dage på at købe BONK for cirka 4 mio. dollar (cirka 27 mio. kr) på børserne, indtil tegnebogen sad på en dominerende andel af stemmekraften på Solana-platformen Realms. Derefter kom forslaget, Bonk Improvement Proposal #76, der på overfladen handlede om at belønne dem, der stemte ja, men som ifølge sikkerhedsfirmaet Halborns gennemgang indeholdt en skjult klausul: en overførsel af 4,43 billioner BONK fra projektets kasse til en adresse, angriberen kontrollerede. Tabet blev opgjort til omkring 20 mio. dollar (cirka 135 mio. kr), og BONK faldt mærkbart i kølvandet.

Term Finance viser den anden ende af skalaen, hvor det næsten intet kostede. Her var problemet, at timelocks, de forsinkelser der skal give et fællesskab tid til at opdage et ondsindet forslag, var slået fra. Et enkelt funktionskald på Ethereum var ifølge crypto.news nok til at fjerne cirka 2.843 ETH og 1,68 mio. USDC, omtrent 68 procent af hvælvingernes aktiver, i alt tæt på 8,5 mio. dollar (knap 60 mio. kr). Den rapporterede omkostning for angriberen: under 1.000 dollar.

Forskellen mellem de to sager er vigtig. BonkDAO blev kapret af penge, Term af en manglende bremse. Men begge peger på det samme ømme punkt, som SEC’s vejledning kredser om fra den modsatte side: i en DAO er det ikke altid dem, der ejer mest, der bestemmer. Det er dem, der kan handle.

Gnosis og cash-out-knappen: når styringen bliver en udgang

Ikke al fare kommer udefra. Nogle gange er det selve reglerne, der inviterer til et overtag. I juni 2026 vedtog GnosisDAO forslaget GIP-151, der giver indehavere af GNO-token ret til at indløse deres token for en forholdsmæssig andel af kassens likvide aktiver. På papiret er det aktionærvenligt. I praksis, påpegede CryptoSlate, forvandler det en styringstoken til en balanceført fordring, og dermed til et mål.

Regnestykket var åbenlyst for enhver med en regnearksmodel. Kassen rummede omkring 228 mio. dollar (godt 1,5 mia. kr), heraf cirka 109 mio. dollar i likvide aktiver, mens GNO handlede til en rabat på omkring 27 procent i forhold til den justerede indre værdi. Playbooket skriver sig selv: køb token billigere end kassen bag dem, saml nok stemmevægt (det kostede omkring 7,8 mio. dollar at nå tærsklen), og tving en indløsning igennem, der henter forskellen hjem. Afstemningen passerede med mere end det dobbelte af det nødvendige quorum.

Det er præcis den økonomiske kontrol, SEC’s midterste testdimension handler om: ikke hvem der taler højest i forummet, men hvem der kan flytte pengene. Og det er en påmindelse om, at en DAO-kasse ikke er en skattekiste, der er sikret af kode alene. Den er sikret, eller ikke sikret, af reglerne for, hvem der må åbne den.

Jupiter trak stikket: da et fællesskab satte demokratiet på pause

Hvis angrebene er den voldelige ende af styringskrisen, er Jupiter den stille. Solana-aggregatoren bag en af kryptos travleste handelsflader valgte en løsning, der ville have været utænkelig for få år siden: den slukkede for afstemningerne.

Beslutningen blev meldt ud i juni 2025 af Kash Dhanda, en af Jupiters ledere, og begrundelsen var usædvanlig ærlig. »Vi hører klagerne. Vi ser sammenbruddet i tilliden. Vi mærker den evige FUD-cyklus, der vokser med hver afstemning,« skrev han ifølge CoinDesk og beskrev en DAO fanget i en negativ spiral, hvor hver ny afstemning skabte mere splid end retning.

Baggrunden var en strid om, hvem der egentlig bestemte. Kritikere pegede på, at Jupiters stiftere og team sad på omkring 20 procent af JUP-forsyningen, og at en enkelt team-tegnebog i ét forslag havde afgivet over 4,5 procent af alle stemmer. For et projekt, der markedsførte sig på fællesskabsstyring, var det et troværdighedsproblem. Svaret blev at pausere al DAO-afstemning til 2026, standse nye JUP-emissioner og låse foreningens reserve, mens staking-belønningerne på 50 mio. JUP i kvartalet fik lov at løbe videre. Ifølge The Block skulle kassen efter planen være lukket helt frem til 2027.

Ironien er til at tage og føle på. For at redde fællesskabsstyringen satte Jupiter den på pause. Det er en beslægtet bevægelse med den, Yuga Labs valgte, da selskabet gav slip på tvangen omkring sine NFT-royalties, et forsøg på at bygge legitimitet ved at trække sig snarere end at diktere, som vi beskrev i Da Yuga opgav tvangen. Men det rejser et ubehageligt spørgsmål: hvis et fællesskab kan stemme sig selv til tavshed, hvor meget af magten lå så nogensinde hos fællesskabet?

Vitaliks gamle advarsel: at skille penge fra magt

Intet af dette er en overraskelse for dem, der læste det med småt. Allerede i august 2021 skrev Ethereums medstifter Vitalik Buterin et essay, Moving beyond coin voting governance, der nærmest læses som en forudsigelse af 2026.

Hans centrale indvending var, at token-vægtet afstemning binder to ting sammen, der er alt for lette at skille ad: den økonomiske interesse i et projekt og magten til at bestemme over det. Så snart en token kan lånes, wrappes eller parkeres på en børs, kan nogen stemme uden at bære nogen som helst risiko for konsekvenserne. En angriber kan bestikke vælgere for mindre, end den samlede skade koster, fordi hver enkelt vælger kun bærer en brøkdel af tabet. Og de store indehavere koordinerer lettere end de mange små, der sjældent gider sætte sig ind i en afstemning, hvis stemme alligevel ikke rykker noget.

Det er den teoretiske diagnose, sommerens angreb satte to streger under. Når SEC nu skriver, at bredt fordelt stemmeret ikke udgør en central part, beskriver den en idealtilstand, Buterin allerede dengang tvivlede på eksisterede i ren form. Spørgsmålet er ikke, om stemmeretten er bredt fordelt på papiret. Det er, om den stadig er det, når afstemningen rent faktisk falder.

Én afstemning, næsten ingen vælgere: Polkadot-eksemplet

Hvor skæv deltagelsen kan være, viste Polkadot samme uge, som SEC-vejledningen landede. I referendum 1954, et uforpligtende forslag om en strategisk DAO-mandat fra Polkadot Community Foundation, stemte omkring 73 procent imod. Et sundt tegn på et fællesskab, der siger fra? Ikke helt. For det virkelig slående tal var deltagelsen: kun en forsvindende lille brøkdel af den samlede DOT-forsyning deltog overhovedet.

Forslaget udbetalte ingen penge og ændrede ingen kode, så lav deltagelse er delvis forventelig. Men det illustrerer et vilkår, der går igen på tværs af store DAO’er: afstemninger afgøres rutinemæssigt af en lille, aktiv kerne, mens langt de fleste indehavere aldrig dukker op. Et klart flertal mod et forslag siger overraskende lidt, når flertallet er regnet ud af nogle få procent af de stemmeberettigede.

Kombinationen er styringskrisens egentlige motor: magt koncentreret hos få, deltagelse spredt så tyndt, at de få sjældent mødes af modstand. Det er på én gang det, der gør angrebene billige, og det, der gør SEC’s ideal om »bredt fordelt« stemmeret svært at genkende i praksis.

Mens Europa ser til: MiCA, Finanstilsynet og den retlige blinde vinkel

For en dansk læser er det nærliggende at spørge, hvad SEC’s amerikanske FAQ overhovedet har med sagen at gøre. Juridisk set: ingenting direkte. I EU reguleres krypto ikke efter et »central part«-spørgsmål, men efter MiCA-forordningen, der retter sig mod udstedere og mod udbydere af krypto-tjenester (CASP’er). I Danmark er det Finanstilsynet, der giver MiCA-tilladelser og fører tilsyn med CASP’er, og reglerne har været i kraft siden 30. december 2024.

Men netop derfor er den amerikanske diskussion interessant set fra Europa: den udstiller et hul, MiCA deler. En fuldt decentral DAO, uden en identificerbar udsteder, falder i vid udstrækning uden for MiCA, men efterlades samtidig uden nogen retlig form overhovedet. Den Europæiske Centralbank har i et arbejdspapir advaret om, at DAO’er mangler retlig status, og det er ikke en akademisk spidsfindighed. Uden en juridisk person at holde ansvarlig bliver det uklart, hvem der hæfter, når en afstemning dræner en kasse, eller når en opgradering går galt.

Det er samme ømme punkt, som udspillede sig i retssalen i Lido-sagen, hvor spørgsmålet om personligt ansvar for DAO-deltagere pludselig blev meget konkret. SEC’s svar griber den anden ende: ikke hvem der hæfter, men hvem der kontrollerer. Tilsammen indkredser de to retssystemer det samme tomrum fra hver sin side.

Hvorfor et amerikansk FAQ-svar rammer en dansk portefølje

Selv uden direkte retsvirkning i Danmark har SEC’s linje praktiske følger for en dansk investor. Token-klassifikation i USA afgør, hvad store børser og udstedere tør liste, hvordan produkter struktureres, og hvor meget juridisk risiko der klæber til et projekt. Når barren for, hvornår token-afstemninger gør et netværk til en central part, sænkes, bliver det lettere for governance-tokens at leve videre som noget, der ligner råvarer frem for værdipapirer. Det påvirker likviditet og tilgængelighed, også for europæiske handlende.

Dertil kommer, at kronen via Nationalbankens fastkurspolitik er bundet til euroen, så globale pengestrømme rammer gennem EUR/USD, mens dollaren har kostet omkring 6,7 kroner hen over november. Når amerikansk regulering flytter kapital ind eller ud af en hel aktivklasse, mærkes det altså også i danske porteføljer, på samme måde som de makrotal, vi fulgte i Inflationstallet uden årstal, forplanter sig til kursen uanset landegrænser.

Endelig gælder det at huske sondringen: spot-krypto hører under MiCA, mens krypto-derivater (futures og perpetuals) er finansielle instrumenter under MiFID II og dermed under markedstilsynet, ikke MiCA. En dansker, der handler en governance-token på spot, og en, der handler en future på samme token, sidder i to forskellige regelsæt, og SEC-vejledningen taler strengt taget kun ind i det amerikanske spot-spørgsmål.

Juristernes dom: frihed eller blåstempling?

Reaktionerne fra advokatstanden var overvejende positive, men med forbehold. Miles Jennings, juridisk chef i investeringsselskabet a16z crypto, hilste opdateringen velkommen og fremhævede, at projekter nu tydeligere kan bevare en decentral styring og samtidig bruge juridiske enheder, som den amerikanske DUNA-konstruktion (en decentral, uregistreret nonprofit-forening), uden at det i sig selv koster dem deres decentrale status.

Men entusiasmen er ikke uden asterisk. For det første er der tale om vejledning fra SEC’s stab, ikke en ny lov; en kommende ledelse kan fortolke tingene anderledes. For det andet, og det er den dybere kritik, risikerer en for generøs læsning at blåstemple netop den illusion, 2026 punkterede. Hvis bredt fordelt stemmeret frikender et netværk, men stemmeretten i praksis sjældent udøves bredt, så belønner reglen projekter for at se decentrale ud frem for at være det. Funktionalitet er ikke decentralisering, skrev SEC selv. Papirfordeling er det heller ikke.

Det efterlader et paradoks, branchen nu skal leve med. Den samme egenskab, der gør et netværk juridisk behageligt (ingen enkelt part med hånden på rattet), er den, der gør kassen svær at forsvare, når en angriber samler stemmer nok. Decentralisering er på én gang det juridiske skjold og det operationelle sårbarhedspunkt.

Styringsminimering mod styringshærdning: to veje ud

Branchens svar på det kaprede år deler sig i to lejre. Den ene vil fjerne mennesker fra de farligste beslutninger (styringsminimering): tag kassen og de kritiske parametre ud af afstemningernes rækkevidde, og lad kode med faste regler styre dem. Hvis ingen afstemning kan flytte pengene, kan ingen kapret afstemning det heller.

Den anden lejr vil beholde demokratiet, men give det bedre bremser (styringshærdning): obligatoriske timelocks (som Term havde slået fra), vogter-vetoer, der kan standse et ondsindet forslag, og konstruktioner med to tokens eller to kamre, der gør det dyrere at samle ensidig magt. Lido indførte eksempelvis en dual governance, hvor stakere kan forsinke eller i sidste ende blokere beslutninger, de er dybt uenige i.

Her bliver det interessant, for de to veje kan kollidere med SEC’s logik. Compound stemte 1. november 2026 om at fjerne sit community-multisigs ret til at annullere forslag, altså at svække en vogter-mekanisme. En vogter-veto beskytter mod angreb, men den ligner også præcis den ensidige magt til at ændre eller standse, som SEC udpeger som et rødt flag for central kontrol. Et projekt kan altså ende i et dilemma: den mekanisme, der gør kassen sikker, er den, der kan gøre token til et værdipapir. Vi gennemgik den afvejning mere indgående i Vetoet der reddede sig selv.

Hvad man skal holde øje med nu

Flere tråde er stadig løse ved udgangen af 2026. Den første er Jupiter: teamet lovede en frisk styringsmodel i 2026, der forener frem for at splitte. Om den kommer, og om den giver fællesskabet reel magt eller blot en pænere facade, bliver en prøvesten for, om et stort projekt kan genstarte sit demokrati efter at have slukket det.

Den anden tråd er regulatorisk. SEC’s novembervejledning er kun på stab-niveau, og i august 2026 fremlagde kommissionen under formand Paul Atkins et bredere forslag, Regulation Crypto Assets, der kan give rammen lovkraft eller ændre den. I EU er det store ubesvarede spørgsmål, om MiCA eller en kommende retsakt nogensinde giver decentrale DAO’er en egentlig juridisk form, så ansvaret ikke længere forsvinder ud i tomrummet.

Den tredje er den simpleste: det næste angreb. Så længe tyndt handlede styringstokens, lav deltagelse og deaktiverede bremser findes side om side, forbliver den billigste exploit i krypto ikke en fejl i koden, men en afstemning, ingen andre mødte op til. Frikendelsen fra juristerne ændrer ikke den regning.

Ofte stillede spørgsmål

Hvad betyder SEC’s vejledning fra 2. november 2026 helt enkelt?

At det at eje og stemme med en governance-token ikke i sig selv gør dig til del af en »central part«, der kontrollerer et netværk. SEC’s stab skelner mellem at stemme og at kunne handle: først når en person eller en koordineret gruppe har faktisk kontrol over driften, økonomien eller stemmeprocessen, peger det mod central kontrol, og dermed mod, at en token kan være et værdipapir.

Gælder SEC’s regler for danske kryptoinvestorer?

Nej, ikke direkte. I Danmark og resten af EU gælder MiCA-forordningen, hvor Finanstilsynet fører tilsyn med udbydere af krypto-tjenester. Men amerikansk token-klassifikation påvirker globalt, hvad børser lister, og hvordan projekter bygges, så linjen mærkes indirekte også i en dansk portefølje.

Hvad er et stemmekup eller en governance-overtagelse?

Det er, når en angriber køber eller låner nok styringstokens til at nå quorum og få et forslag vedtaget, der typisk omdirigerer protokollens kasse. Det kræver ingen fejl i koden; det udnytter, at stemmekraften er koncentreret og deltagelsen lav. I 2026 drænede mindst syv sådanne overtagelser omkring 53,5 mio. dollar fra DeFi-kasser.

Hvorfor satte Jupiter sin DAO-afstemning på pause?

Jupiters ledelse pegede på et sammenbrud i tilliden og en negativ spiral, hvor hver afstemning skabte mere splid end fremdrift, samtidig med kritik af, at stiftere og team sad på en stor del af JUP-forsyningen. Afstemningerne blev pauseret fra 2025 med løfte om en ny styringsmodel i 2026.

Hvordan kan en DAO beskytte sin kasse mod et stemmekup?

To hovedveje bruges: styringsminimering (tag kassen og kritiske parametre ud af afstemningernes rækkevidde) og styringshærdning (timelocks, vogter-vetoer og konstruktioner med to tokens eller to kamre). Ironien er, at nogle af disse bremser samtidig kan ligne den ensidige kontrol, SEC advarer imod, så valget er en reel afvejning.

Af Marcus Okafor, seniorredaktør på HOGE Wire med fokus på DAO-styring, DeFi og europæisk kryptoregulering.