Post-mortem-kulturen: Livet efter et krypto-hack
Et hack tømmer en protokol, og inden for et døgn dukker obduktionen op. Vi ser på post-mortem-kulturen, fra The DAO og Ronin til Euler, Curve og Bybit.
Et angreb rammer en DeFi-protokol klokken tre om natten. Likviditeten bliver tømt ud af en bro på få minutter, on-chain-detektiver vågner, og token-prisen kollapser, før de fleste brugere har drukket deres morgenkaffe. Så, ofte inden for et døgn, dukker dokumentet op: en post-mortem. Det er kryptoverdenens skriftestol, en offentlig obduktion skrevet af de samme folk, der lige har mistet brugernes penge. Genren er blevet en kulturel institution, lige så genkendelig som et whitepaper eller en token-launch, og den fortæller os mere om branchens selvforståelse end nogen marketingkampagne.
Genren der opstod af nødvendighed
En post-mortem i krypto er en detaljeret redegørelse, et team udgiver efter et hack eller et alvorligt nedbrud. Den beskriver, hvad der gik galt, hvornår, hvordan angriberen bar sig ad, og hvad der nu skal ske. I traditionel finans ville den slags ligge bag lukkede døre hos advokater og tilsynsmyndigheder. I krypto er den offentlig, fordi den må være det. Alt ligger på kæden. Når 173.600 ETH forlader en wallet, kan hele verden følge med i realtid, og ethvert forsøg på at skjule tabet bliver afsløret af den første den bedste blokudforsker. Radikal åbenhed blev ikke valgt af idealisme, men fordi alternativet ikke fandtes.
Resultatet er en kultur, hvor nederlag bliver dokumenteret lige så omhyggeligt som sejre. Sider som rekt.news’ leaderboard rangerer de største tab som en makaber highscore-liste, og et velskrevet efterspil kan paradoksalt nok styrke et teams omdømme. Post-mortemet er blevet en genre med faste konventioner, en blanding af teknisk rapport, krisekommunikation og bekendelse.
Fra The DAO til reentrancy-angreb
Skabelonen blev skrevet i sommeren 2016. The DAO, en ambitiøs investeringsfond styret af kode på Ethereum, blev drænet for 3,6 mio. ETH gennem et såkaldt reentrancy-angreb, hvor en funktion kaldes gentagne gange, før den når at opdatere sin egen saldo. Dengang svarede tabet til omkring 360 mio. kr.; til dagens ETH-kurs hos CoinGecko ville de samme mønter være mange milliarder kroner værd. Det illustrerer en pointe, der går igen: tallene i en post-mortem ældes sjældent godt.
The DAO tvang Ethereum-fællesskabet til et valg, der stadig deler vandene. Et flertal stemte for en hard fork, der rullede tyveriet tilbage, mens en mindretalsgruppe nægtede at omskrive historien og fortsatte på den oprindelige kæde, i dag kendt som Ethereum Classic. Som CoinDesk har beskrevet, formede den beslutning hele branchens syn på, hvad uforanderlighed egentlig betyder. Den lærte også udviklerne, at en post-mortem ikke kun handler om teknik, men om legitimitet.
Ronin og gaming-industriens dyreste lektie
For HOGE Wires læsere i krydsfeltet mellem spil og krypto er Ronin-sagen den mest lærerige af dem alle. Ronin er den sidechain, der driver Axie Infinity, et af de mest populære play-to-earn-spil nogensinde, udviklet af Sky Mavis. I marts 2022 fik angriberne kontrol over fem af de ni validator-nøgler, der godkendte udbetalinger fra broen, og forsvandt med 173.600 ETH og 25,5 mio. USDC, samlet omkring 4,1 mia. kr. (omregnet til cirka 6,6 kr. per dollar, kursen i slutningen af juni 2026).
Det opsigtsvækkende var rodårsagen. Ifølge Sky Mavis’ egen post-mortem begyndte angrebet med spear phishing: en medarbejder blev lokket med et falsk jobtilbud, der via et inficeret dokument gav angriberen fodfæste i virksomhedens systemer. Ikke en fejl i en smart contract, men et menneske. De amerikanske myndigheder tilskrev senere angrebet den nordkoreanske Lazarus-gruppe, hvilket CoinDesk dækkede, da OFAC sanktionerede gerningsmandens wallet. Sky Mavis dækkede brugernes tab, fordoblede antallet af validatorer og indførte et bug bounty-program på op til en million dollar.
Anatomien i en troværdig post-mortem
Efter snart et årti har genren udviklet en fast struktur. Læsere, investorer og forsikringsudbydere forventer at finde de samme byggesten, og fraværet af dem læses som et faresignal. En troværdig post-mortem rummer typisk:
- En præcis tidslinje med tidsstempler og de relevante transaktions-hashes, så enhver selv kan verificere forløbet på kæden.
- En ærlig rodårsagsanalyse, der peger på den konkrete fejl, uanset om den ligger i koden, i nøglehåndteringen eller i et menneske.
- En opgørelse af det samlede tab fordelt på aktiver og berørte brugere.
- En redegørelse for de strakshandlinger, der stoppede blødningen, fra pausede kontrakter til kontakt med børser.
- En konkret plan for kompensation og for, hvordan netop denne fejl ikke kan gentage sig.
Det, der adskiller en respekteret rapport fra en defensiv pressemeddelelse, er villigheden til at navngive egne fejl uden omsvøb. Fællesskabet straffer bortforklaringer hårdt, og on-chain-data gør det umuligt at pynte på tallene.
Mr. White Hat og kunsten at forhandle med en tyv
Et af de mærkeligste ritualer i kulturen er den offentlige forhandling med gerningsmanden. Da Poly Network i august 2021 mistede 611 mio. dollar, cirka 4,0 mia. kr., i datidens største DeFi-tyveri, skete der noget uventet: angriberen begyndte at sende pengene tilbage. Teamet omdøbte personen til “Mr. White Hat”, tilbød en dusør og endda en rolle som sikkerhedsrådgiver, og næsten alt blev returneret, som Chainalysis dokumenterede. Mange i sikkerhedsbranchen fandt sproget pinligt, fordi det vaskede en kriminel handling ren.
Euler Finance gjorde forhandlingen til en kunstform. Efter et flash loan-angreb i marts 2023 på omkring 1,3 mia. kr. tilbød teamet angriberen ti procent som dusør og truede samtidig med en belønning for oplysninger, hvis resten ikke kom retur. Det virkede. I sin egen beretning, betegnende nok kaldet “War & Peace”, beskriver Euler, hvordan presset fik gerningsmanden til at sende midlerne tilbage. Fordi en stor del var konverteret til ETH, der steg undervejs, endte protokollen med at få cirka 1,6 mia. kr. retur, altså mere end det oprindelige tab.
Når koden selv er gerningsmanden
Ikke alle post-mortems peger på en ond hensigt eller en sløset udvikler. Da Curve Finance blev ramt i juli 2023 for omkring 70 mio. dollar, cirka 460 mio. kr., lå fejlen ikke i Curves egen kode, men i selve compileren. Visse versioner af programmeringssproget Vyper havde en defekt beskyttelse mod reentrancy, så flere ellers korrekt skrevne pools pludselig var sårbare. Chainalysis kortlagde, hvordan angrebet ramte flere pools på samme tid.
Den mest interessante post-mortem kom derfor ikke fra Curve, men fra Vyper-holdet selv, der i en teknisk redegørelse forklarede, hvordan en låsemekanisme var slået fejl på tværs af versioner. Sagen viste, at ansvaret i et lagdelt økosystem kan ligge langt fra den protokol, der bløder. En del af midlerne blev i øvrigt reddet af white-hats som c0ffeebabe.eth, der brugte de samme MEV-teknikker som angriberne, blot til at få pengene i sikkerhed.
De største tyverier og deres efterspil
Tabellen nedenfor samler nogle af de mest omtalte sager og det efterspil, deres post-mortems beskriver. Beløbene er omregnet til kroner og afrundet.
| Protokol | År | Tab (cirka) | Rodårsag | Efterspil |
|---|---|---|---|---|
| The DAO | 2016 | 3,6 mio. ETH (~360 mio. kr. dengang) | Reentrancy | Hard fork; Ethereum Classic opstod |
| Poly Network | 2021 | ~4,0 mia. kr. | Svag adgangskontrol på tværs af kæder | Næsten alt returneret af “Mr. White Hat” |
| Ronin (Axie Infinity) | 2022 | ~4,1 mia. kr. | Kompromitterede validator-nøgler | Sky Mavis dækkede tab; Lazarus tilskrevet |
| Nomad | 2022 | ~1,25 mia. kr. | Fejl i bro-kontrakt | Kaotisk “free-for-all” af kopister |
| Euler Finance | 2023 | ~1,3 mia. kr. | Flash loan og donationsfejl | ~1,6 mia. kr. forhandlet retur |
| Curve Finance | 2023 | ~460 mio. kr. | Compiler-fejl i Vyper | Delvist reddet af white-hats |
| Bybit | 2025 | ~9,9 mia. kr. | Manipuleret signeringsflow | Største tyveri nogensinde; Lazarus tilskrevet |
rekt.news og forensik som folkesport
Omkring post-mortemet er der vokset et helt økosystem af amatører og professionelle efterforskere. Uafhængige forensikere følger pengestrømme på tværs af kæder, blokudforskere er gratis tilgængelige, og pseudonyme efterforskere kan opbygge ry på at afsløre, hvor stjålne midler ender. Nomad-broen blev i august 2022 et grelt eksempel: en fejl i en kontraktopdatering gjorde alle beskeder gyldige, og det, der begyndte som ét angreb, blev til et frit slag, hvor hundredvis af wallets kopierede den samme transaktion. CNN kaldte det et af de mest kaotiske hacks, web3 havde set.
Det foreløbige toppunkt kom i februar 2025, da børsen Bybit mistede omkring 1,5 mia. dollar, knap 9,9 mia. kr., i det største krypto-tyveri nogensinde. Ifølge Bloomberg ramte angrebet selve signeringsflowet i en multisig-løsning, ikke en klassisk kontraktfejl. En ubehagelig fællesnævner går igen i materialet: de fleste ramte protokoller var blevet revideret af et sikkerhedsfirma inden angrebet. En audit er ingen garanti, og det ved kulturen efterhånden godt.
Hvad Finanstilsynet og MiCA betyder for efterspillet
For danske og europæiske aktører er post-mortemet på vej fra en frivillig kulturel norm til en reguleret pligt. Med EU’s MiCA-forordning, der fik fuld virkning ved udgangen af 2024, skal udstedere og udbydere af kryptoaktivtjenester have tilladelse og er underlagt tilsyn af Finanstilsynet. Det indebærer blandt andet krav om governance, risikostyring og indberetning af mistænkelige transaktioner.
Finanstilsynet har varslet en målrettet tilsynsindsats i 2026 over for de virksomheder, der opnår tilladelse. Det ændrer dynamikken i et hack. Hvor et team før kunne udgive en åbenhjertig redegørelse inden for få timer, skal en reguleret udbyder nu også tænke i indberetningsfrister, ansvar og advokater. Spørgsmålet, branchen står med, er, om reguleringen vil gøre post-mortems mere præcise, eller om den vil presse den ærlige tone i retning af forsigtigt juristsprog.
Hvad en god post-mortem fortæller os
Post-mortemet er blevet kryptokulturens mest ærlige genre, netop fordi den er født i det øjeblik, hvor alt er gået galt. Den afslører, om et team forstår sin egen teknologi, om det respekterer sine brugere, og om det kan skelne mellem uheld og uagtsomhed. De bedste rapporter er ikke dem uden fejl, for dem findes ikke, men dem, der tør beskrive fejlen så præcist, at andre kan undgå den.
For en branche, der ofte bliver beskyldt for hype og tomme løfter, er der noget næsten forfriskende ved en kultur, der dokumenterer sine nederlag offentligt og i detaljer. Næste gang en bro bliver tømt klokken tre om natten, er det ikke tabet alene, der afgør sagen. Det er dokumentet, der følger efter.
Af HOGE Wires redaktion, krypto- og gaming-desk.