Protocol post-mortems: kryptos kultur for offentlig obduktion

Et stort sammenbrud i krypto følger næsten altid det samme manuskript. Først forsvinder pengene, ofte på under et minut. Så kommer panikken på X og i Discord-kanalerne, hvor brugere forsøger at finde ud af, om deres egne midler er væk. Og til sidst kommer det dokument, der er blevet kryptos mest karakteristiske bidrag til den finansielle litteratur: obduktionen, eller på engelsk et post-mortem. Det er en offentlig, ofte brutalt ærlig redegørelse for præcis hvordan en protokol blev drænet, hvad det kostede, og hvad holdet bag agter at gøre ved det.

Genren ingen bad om, men alle læser

I traditionel finans bliver tab gemt væk. En bank, der taber penge på en fejlbehæftet handelsmodel, skriver det ned i en fodnote og håber, at ingen spørger. I krypto er den mulighed sjældent til stede. Hovedbogen er offentlig, hver transaktion ligger på kæden, og enhver nysgerrig person med en blockchain-explorer kan rekonstruere et angreb minut for minut. Den radikale gennemsigtighed har skabt en lige så radikal kultur: når noget går galt, forventer fællesskabet en forklaring, og det forventer den hurtigt.

Et protocol post-mortem er den forklaring. Formatet låner sit navn fra medicinen og sin disciplin fra software engineering, hvor blameless post-mortems længe har været standard efter et nedbrud. Resultatet er en genre, der sidder et sted mellem en ulykkesrapport, en tilståelse og et undervisningsmateriale. De bedste eksemplarer bliver læst af tusindvis af udviklere, ikke fordi de er underholdende, men fordi de er den hurtigste måde at lære, hvilke fejl der koster mest. Med tiden er det blevet et omdømmespørgsmål: et hold, der leverer en grundig obduktion, kan overleve et hack, mens et hold, der tier, sjældent gør.

DAO-hacket: obduktionen der skabte en genre

Den 17. juni 2016 udnyttede en angriber en såkaldt reentrancy-fejl i The DAO, en af de første store investeringsfonde bygget som en smart contract på Ethereum. Fejlen lå i en funktion, der sendte ether ud, før den opdaterede sin egen saldo, og angriberen kunne derfor kalde den igen og igen i en løkke, som CoinDesk beskrev allerede samme dag. Omkring 3,6 millioner ETH, dengang cirka 410 millioner kroner og en tredjedel af fondens midler, endte i en child DAO med en indbygget ventetid på 28 dage.

Den ventetid gav Ethereum-fællesskabet tid til at gøre noget hidtil uset: at rulle kæden tilbage gennem et kontroversielt hard fork. Beslutningen reddede investorernes penge, men splittede netværket i to, Ethereum og Ethereum Classic, og sidstnævnte handles den dag i dag, ifølge CoinGecko, som et levende minde om, at koden ikke altid er loven. Hele forløbet leverede skabelonen for alt, hvad der fulgte: en offentlig tidslinje, en teknisk forklaring og en strid om, hvem der skulle bære tabet. Stort set hvert post-mortem siden har genbrugt den struktur.

Anatomien i et godt post-mortem

Med årene har genren udviklet en fast struktur. Læserne ved, hvad de leder efter, og et hold, der springer et af punkterne over, bliver hurtigt mødt med mistro. De seks elementer nedenfor går igen i stort set alle troværdige redegørelser.

Den vigtigste linje i ethvert post-mortem er root cause. Et hold, der ærligt skriver “vi indførte selv fejlen under en optimering”, vinder mere tillid end et hold, der gemmer sig bag floskler. Netop derfor er udtryk som “en sofistikeret modstander” blevet et advarselstegn i branchen; de fleste store tab skyldes ikke geni, men en enkelt overset linje kode, en manglende kontrol eller en forkert antagelse om, hvordan to dele af systemet taler sammen.

Terra: når der ikke er nogen bug at rette

Ikke alle sammenbrud har en pæn teknisk årsag. I maj 2022 mistede Terra-økosystemet omkring 270 milliarder kroner på 72 timer, da den algoritmiske stablecoin UST tabte sin binding til dollaren og trak søstertokenet LUNA med ned i en death spiral. Der var ingen reentrancy-fejl, intet flash loan, ingen enkelt linje kode at pege på. Designet i sig selv var fejlen, for systemet hvilede på en antagelse om, at der altid ville være købere til LUNA.

Det gør Terra til et særligt tilfælde i genren. Obduktionen kunne ikke skrives af et udviklerhold på en weekend; den blev skrevet af domstole, konkursboer og efterforskere over flere år. I december 2025 blev grundlæggeren Do Kwon idømt 15 års fængsel for bedrageri, rapporterer CoinDesk. Lektien for læserne er ubehagelig, men vigtig: nogle gange er der ingen patch, fordi problemet aldrig var en bug, men en forretningsmodel, der kun fungerede, så længe alle troede på den.

Euler: når angriberen skriver kapitlet med

Den 13. marts 2023 blev udlånsprotokollen Euler Finance ramt af et flash loan-angreb, der drænede omkring 197 millioner dollar, svarende til cirka 1,3 milliarder kroner, fordelt på DAI, wBTC, stETH og USDC, ifølge Bloomberg. Selve svagheden var ironisk nok indført næsten et år tidligere i en opdatering, der skulle rette en mindre alvorlig fejl, og den havde overlevet flere audits, før nogen opdagede den.

Det usædvanlige var ikke angrebet, men efterspillet. Over flere uger forhandlede Euler-holdet med angriberen direkte på kæden, gennem beskeder indlejret i transaktioner, indtil stort set alle midler blev sendt tilbage. Fordi det meste var konverteret til ether, der steg i mellemtiden, endte protokollen med at få omkring 240 millioner dollar retur, cirka 1,6 milliarder kroner, altså mere end der oprindeligt forsvandt. Eulers eget post-mortem, “War & Peace”, læser som en gidselforhandling, og det er præcis, hvad det var. Sagen viste, at en obduktion ikke altid skrives af ofret alene; nogle gange holder angriberen pennen med.

Curve og Vyper: når fejlen ligger i værktøjet

I juli 2023 ramte et angreb flere af Curve Finances likviditetspuljer og kostede tilsammen omkring 70 millioner dollar (cirka 480 millioner kroner), før white hats fik nettotabet ned mod 52 millioner dollar, cirka 350 millioner kroner. Det opsigtsvækkende var, at Curves egen kode var korrekt. Fejlen lå i Vyper, det programmeringssprog mange Ethereum-kontrakter er skrevet i, hvor en reentrancy-lås i versionerne 0.2.15, 0.2.16 og 0.3.0 ikke virkede, som udviklerne troede.

Her flyttede obduktionen sig et lag ned. Vyper-holdet udgav en teknisk post-mortem, der forklarede, hvordan låsen var holdt op med at dele samme storage-slot mellem funktioner, og sporene førte tilbage til åbne issues på GitHub fra flere år tidligere. For danske udviklere er pointen værd at huske: en revisorgodkendt kontrakt kan stadig falde, hvis compileren under den har en fejl. Tillid i DeFi er kun så stærk som det svageste lag i stakken.

Fra kaos til beredskab: rekt.news, SEAL og white hats

Efterhånden som hacks blev en fast del af kalenderen, opstod der en infrastruktur omkring dem. Sitet rekt.news fører en leaderboard over de største tab, en makaber rangliste, der fungerer som genrens kollektive arkiv og hukommelse. Når et nyt navn rykker op på listen, ved alle, at en obduktion er på vej.

Samtidig er responsen blevet professionel. Security Alliance, kendt som SEAL, driver en hotline ved navn SEAL 911, hvor et hold af white hats kan gribe ind i realtid, mens et angreb stadig er i gang, beskriver Cointelegraph. Bug bounty-platforme har gjort det lukrativt at finde fejl, før kriminelle gør det, og en uafhængig sikkerhedsforsker kan i dag tjene mere på at melde en kritisk fejl end på at udnytte den. Det virker langsomt: ifølge Chainalysis faldt de samlede stjålne midler i 2023 til omkring 1,7 milliarder dollar (omkring 11 milliarder kroner), et fald på over halvdelen fra året før, drevet af et kraftigt dyk i DeFi-hacks.

Hvad Finanstilsynet og MiCA betyder for danske læsere

For en dansk bruger er det vigtigste spørgsmål efter ethvert post-mortem enkelt: hvem dækker tabet? Svaret er som regel ingen. Finanstilsynet har gentagne gange advaret om, at kryptoaktiver i vid udstrækning er uregulerede, og at forbrugere derfor risikerer at miste hele deres opsparing uden den beskyttelse, der følger med aktier eller obligationer, som tilsynet beskriver sin praksis på området.

EU’s MiCA-forordning, der trådte fuldt i kraft ved udgangen af 2024, strammer reglerne for udstedere og handelsplatforme og indfører krav om gennemsigtighed og risikoadvarsler, som Finanstilsynet forvalter i Danmark. Men forordningen er ikke en garantifond. Den dækker primært centrale udbydere og visse stablecoins, mens de fuldt decentrale protokoller, hvor mange af de store hacks finder sted, ofte falder uden for. Et post-mortem kan forklare, hvordan pengene forsvandt, men det udløser ingen erstatning fra staten, og MiCA ændrer ikke ved, at ansvaret for at vurdere risikoen ligger hos brugeren selv.

Hvorfor obduktionen alligevel betyder noget

Hvis post-mortems ikke giver pengene tilbage og ikke forhindrer det næste hack, hvorfor så bruge så meget energi på dem? Fordi de gør noget, traditionel finans sjældent gør: de omdanner et privat tab til offentlig viden. Hver obduktion er en gratis lektion for de tusindvis af udviklere, der bygger den næste protokol, og en form for ansvarlighed, der er svær at vige uden om, når beviset ligger på kæden, hvor alle kan se det.

Genren har sine grænser. Den kan ikke genoplive en død stablecoin, og den kan ikke tvinge en anonym angriber til at sige undskyld. Men den har gjort krypto til måske det mest gennemsigtige hjørne af den finansielle verden, netop når tingene går galt. Næste gang en protokol falder, og overskrifterne river i nettet, kan en hurtig læsning af obduktionen besvare de spørgsmål, der faktisk betyder noget:

• Navngiver holdet en konkret root cause, eller gemmer de sig bag “en sofistikeret angriber”?
• Stemmer tabsopgørelsen overens med det, blockchain-explorere viser?
• Er der en troværdig plan for kompensation med en tidslinje?
• Blev koden, audits eller værktøjerne rent faktisk ændret bagefter?

Svarene afslører mere om en protokol, end nogen marketingside nogensinde vil. For en læser i Danmark er den bedste brug af et post-mortem ikke skadefryd, men en tjekliste, man kan tage med, før man lægger sine egne penge på kæden.

Af Mads Holmgaard, seniorredaktør på HOGE Wire.