Regningen efter hacket: hvem betaler når krypto drænes

Hver gang et kryptoprotokol bliver drænet for penge, følger den samme koreografi. En on-chain-efterforsker sporer strømmen af midler, holdet udsender en tidslinje ned til minuttet, og få dage senere ligger obduktionsrapporten offentligt med rodårsag, angrebsvektor og en liste over, hvad der bliver rettet. Selve kulturen omkring de rapporter har vi dækket før her på siden: hvordan et hack bliver til en offentlig genre, hvordan nogle protokoller overlever og andre dør, og hvordan skylden bliver forhandlet. Men der er ét spørgsmål, som selv den mest gennemsigtige obduktion sjældent besvarer klart: får ofrene deres penge igen, og hvem ender med at betale regningen?

Svaret er ikke givet på forhånd. Da Trust Wallets browserudvidelse blev kompromitteret omkring jul 2025, og cirka 7 millioner dollar (~45 mio. kr) forsvandt, bekræftede Binance-stifter Changpeng Zhao hurtigt, at moderselskabet ville dække alle tab, med den korte besked om at TrustWallet dækker. Da Coldcard-ejere mistede over 130 millioner dollar (~840 mio. kr) i sommeren 2026, var der ingen at sende regningen til: producenten var for lille til at stå inde for beløbet, og der var ikke én angriber, men et helt dusin uafhængige grupper. Forskellen mellem de to udfald handler ikke om jura. Den handler om, hvem der stod bag protokollen, hvor mange penge de havde, og hvad de mente, de skyldte deres brugere.

Obduktionen slutter, hvor regningen begynder

Post-mortem-genren er god til tre ting: at forklare hvad der skete, hvorfor det kunne ske, og hvad der bliver gjort for at forhindre en gentagelse. Den er dårlig til en fjerde ting, som for den ramte bruger er den eneste, der virkelig tæller: hvornår, og hvor meget, får jeg tilbage? Rodårsagen kan være beskrevet ned til det enkelte kodelinjes fortegnsfejl, uden at et eneste ord fortæller den lille indskyder, om hans opsparing kommer igen.

Det er ikke en forglemmelse. Det er strukturen. Erstatning i krypto er ikke en rettighed, men en beslutning, der træffes fra sag til sag, af mennesker i en bestyrelse eller af kodede fælleskasser styret af token-holdere. Udfaldene spænder fra fuld dækning inden for timer til fuldstændig tavshed. I traditionel finans er den beslutning i vidt omfang taget på forhånd af lovgivning, garantifonde og forsikring. I krypto er den stadig et åbent spørgsmål, hver eneste gang, og det er netop dét, der gør regningen efter et hack til en kulturhistorie og ikke bare en juridisk fodnote. Det handler i sidste ende om det samme spørgsmål, som ligger under royaltykrigen om, hvem der egentlig betaler skaberne: når systemet ikke tvinger nogen til at betale, hvem gør det så frivilligt?

For at forstå, hvorfor betalingsspørgsmålet er blevet så påtrængende, hjælper det at se på skalaen. Ifølge analysefirmaet TRM Labs blev der i første halvår af 2026 stjålet omkring 972 millioner dollar (~6,3 mia. kr) fordelt på 207 hændelser, et rekordhøjt antal angreb, selv om det samlede beløb faldt fra året før. Rekordantallet er ikke den vigtigste pointe. Det er, hvor pengene flyttede hen.

De klassiske fejl i smarte kontrakter stod for langt de fleste hændelser, men kun en lille del af det tabte beløb. Den store værdi flyttede over på kompromitterede nøgler, multisig-styring og operationel infrastruktur, altså angreb på mennesker og processer snarere end på kode. Sikkerhedsfirmaet CertiK nåede med en anden metode frem til, at kompromitterede tegnebøger var den dyreste kategori overhovedet, med over 444 millioner dollar (~2,9 mia. kr) alene. Det er dårligt nyt for hvem-betaler-spørgsmålet, for det er netop den slags tab, der er sværest at få igen: når en statsstøttet gruppe har nøglerne og hvidvasker via privacy-værktøjer, er der hverken en sårbar kontrakt at rette eller en modpart at forhandle med. Jo mere regningen flytter fra kode til mennesker, jo oftere lander den hos brugeren.

Fem måder at betale på, og en hvor ingen gør

Ser man på de sidste ti års store hændelser, falder de måder, tab bliver dækket på, i en håndfuld kategorier. Hver har sin egen logik for, hvem der ender med at holde regningen, og hvor stor en del af tabet der reelt bliver dækket. De er ikke gensidigt udelukkende (et forløb kan kombinere en dusør med et kapitalindskud), men de udgør et brugbart landkort.

Bemærk, at kun den sidste række er en rigtig standardtilstand. De øvrige fem kræver, at nogen aktivt beslutter at betale, og at de har midlerne til det. Fjern beslutningen eller pengene, og man ender i den sjette række uanset hvor pæn obduktionen er.

Når firmaet æder tabet

Den reneste form for dækning er, at selskabet bag simpelthen betaler af egen kasse. Det forudsætter to ting: en juridisk enhed med en balance, og et omdømme, der er mere værd end tabet. Centraliserede børser har typisk begge dele, og derfor er det oftest her, brugerne bliver holdt fuldstændig skadesløse.

Det tydeligste eksempel er også det største tyveri i kryptoens historie. Da Bybit i februar 2025 mistede omkring 1,5 milliarder dollar (~9,7 mia. kr) til den nordkoreanske Lazarus-gruppe, valgte administrerende direktør Ben Zhou en radikal åbenhed. Han meldte klart ud, at børsen var solvent og ville dække alle krav, og at Bybits reaktion først og fremmest handlede om at bevare gennemsigtighed og bruge kommunikation til at fjerne kundernes tvivl. Beløbet blev dækket via en kombination af egenkapital og et brolån, uden at almindelige brugere mistede en krone, og børsen offentliggjorde tidligt de tekniske forensiske rapporter fra Sygnia og Verichains. Oven i dækningen udlovede Bybit en dusør på op til omkring 140 millioner dollar (~900 mio. kr) til alle, der kunne hjælpe med at fryse eller spore de stjålne midler, en påmindelse om, at selv en fuld erstatning ikke stopper jagten på pengene.

Trust Wallet-sagen fulgte samme mønster i mindre skala. Angrebet var ikke en fejl i en smart kontrakt, men en kompromitteret Chrome-udvidelse: en lækket API-nøgle til Chrome Web Store lod angriberne udgive en ondsindet opdatering, der høstede brugernes seed-sætninger, og cirka 7 millioner dollar (~45 mio. kr) forsvandt. Changpeng Zhao bekræftede offentligt, at moderselskabet ville dække alle ramte, og der blev åbnet en formel erstatningsproces. En variant af samme historie udspillede sig hos betalingskortudstederen Gnosis Pay, der i sommeren 2026 tabte omkring 1,5 millioner dollar (~9,7 mio. kr) til en sovende signaturfejl. Selskabet tog hele tabet på sig, og 100 procent af kundernes midler blev genoprettet, mens de patchede moduler blev sendt til fornyet audit.

En beslægtet undertype er bagmandsdækning, hvor det ikke er protokollen selv, men en stor investor, der træder til. Da Wormhole-broen i februar 2022 mistede 320 millioner dollar (~2,1 mia. kr) til en signaturfejl, erstattede handelshuset Jump Crypto hele beløbet inden for cirka et døgn for at holde det tilknyttede stablecoin solvent. Et år senere klemte Jump og Oasis yderligere 225 millioner dollar (~1,5 mia. kr) tilbage fra angriberens egne åbne DeFi-positioner via en kendelse fra en engelsk domstol. Fælles for alle disse sager er, at der stod en velkapitaliseret enhed bag med en åbenlys interesse i at bevare tilliden.

Ronin og det store kapitalindskud

Nogle gange har selskabet viljen til at betale, men ikke pengene på kontoen. Så bliver løsningen at rejse frisk kapital, og det er en langsommere, mere usikker vej til at holde brugerne skadesløse. Den klassiske case er Ronin, gaming-broen bag Axie Infinity.

I marts 2022 kompromitterede angribere, senere tilskrevet Lazarus, et flertal af Ronins validatorer og trak omkring 625 millioner dollar (~4 mia. kr) ud, et tab der ikke engang blev opdaget i næsten en uge. Sky Mavis, selskabet bag, havde ikke selv midlerne til at dække hullet. Løsningen blev en kapitalrunde på 150 millioner dollar anført af Binance, kombineret med selskabets egen kasse. COO Aleksander Larsen slog fast, at holdet var fuldt forpligtet til at erstatte spillerne hurtigst muligt, og broen genåbnede i juni 2022, da de udestående bruger-ejede midler var fyldt op igen.

Modellen virker, men den flytter en del af risikoen over på timing. Mellem hacket og genopfyldningen sad brugerne med indefrosne midler og ingen garanti for, at kapitalrunden faktisk ville lykkes. At Ronin i dag stadig er en aktiv gaming-kæde, skyldes lige så meget, at investorer var villige til at skyde penge ind i en netop hacket protokol, som at koden blev rettet. Havde markedet været koldere, kunne den samme hændelse have endt i den sjette tabel-række.

Når DAO’en stemmer om erstatning

I decentrale protokoller findes der ofte ingen bestyrelse med en balance, men til gengæld en fælleskasse styret af token-holdere. Så bliver erstatning et spørgsmål om en afstemning: skal protokollens egen kasse bruges til at gøre ofrene hele, og i givet fald hvor meget? Det er en genuint politisk proces, og den professionaliserede klasse af delegerede, som vi har beskrevet i portrættet af delegatklassen, hvor fællesskabsstyring blev et lønarbejde, er ofte dem, der reelt afgør udfaldet.

Curve Finance er et lærebogseksempel. Efter et angreb i juli 2023, der udnyttede en fejl i Vyper-compileren og kostede mellem 50 og 70 millioner dollar (~325 til 450 mio. kr), vedtog protokollens styring en erstatningsplan på 71.768.597 CRV fra fælleskassen, udbetalt over et år. Dertil kom, at en af angriberne frivilligt returnerede omkring 12,7 millioner dollar. Dækningen blev delvis, og den blev betalt i protokollens egen token, hvilket knyttede ofrenes godtgørelse til CRV-kursens videre skæbne.

Balancer viser, hvor lidt en DAO-afstemning nogle gange rækker. Da Balancer v2 i november 2025 tabte omkring 128 millioner dollar (~830 mio. kr) til en afrundingsfejl i sine stabile puljer, lykkedes det whitehats og interne sikkerhedshold at inddrive knap 28 millioner dollar (~180 mio. kr). Ud af det vedtog Balancer-styringen en erstatningsplan på 8 millioner dollar (~52 mio. kr), fordelt in natura og pro rata efter beholdningerne før hacket, med et krav-vindue på 180 dage. Det svarer til cirka 6 procent af det stjålne. Resten faldt på de likviditetsudbydere, hvis puljer blev ramt, i en bevidst ikke-socialiseret struktur, hvor tabet ikke blev spredt ud over hele protokollen.

Den mest principielle variant kom fra CoW DAO. Da domænet cow.fi i april 2026 blev kapret og førte brugere til en phishing-side, der kostede dem omkring 1,2 millioner dollar (~7,8 mio. kr), var selve protokollen aldrig blevet hacket. Alligevel vedtog fællesskabet forslaget CIP-86, der gav skønsmæssig erstatning på op til 100 procent fra kassen med frist for krav den 14. maj. CoW DAO understregede udtrykkeligt, at betalingen var frivillig og ikke en indrømmelse af, at protokollen selv var blevet hacket; holdet formulerede det som, at selv om protokollen ikke blev brudt, kom brugerne til skade, og det var grund nok. Det er den reneste illustration af pointen: her betalte nogen, ikke fordi de skulle, men fordi de mente, tilliden var det værd.

Angriberen der betaler tilbage

En af kryptoens mest særegne betalingsmodeller er, at pengene kommer tilbage fra tyven selv. Det lyder absurd, men det har en kold logik: hvis en angriber kan beholde en lovlig dusør på typisk op til 10 procent og til gengæld slippe for retsforfølgelse, kan det bedre betale sig at returnere resten end at forsøge at hvidvaske det hele.

Euler Finance er guldstandarden. Efter et flash-lån-angreb i marts 2023 på omkring 197 millioner dollar (~1,3 mia. kr) indledte holdet en offentlig on-chain-forhandling, og angriberen sendte til sidst en besked med ordene om ingen hensigt om at beholde noget, der ikke var deres, hvorefter stort set alle midlerne blev returneret mod en dusør. Poly Network-sagen var endnu større: i august 2021 blev omkring 611 millioner dollar (~3,9 mia. kr) taget og næsten alt sammen givet tilbage, mens angriberen afviste både en tilbudt dusør og en stilling som sikkerhedsrådgiver.

Modellen har to hårde begrænsninger. Den virker kun, hvis angriberen er sporbar og forhandlingsvillig, og den virker ikke mod statsstøttede grupper. Da Lazarus stod bag KelpDAO-tabet på omkring 292 millioner dollar (~1,9 mia. kr) i april 2026, var der ingen at forhandle med; pengene gik mod Nordkorea og kom aldrig tilbage. Og selv når en forhandling lykkes, flytter den ikke nødvendigvis sagen ud af retssystemet: hvad der starter som en venskabelig on-chain-aftale, kan ende som en straffesag år senere, hvilket er hele emnet for artiklen om, hvordan man går fra DAO-afstemning til domstol. Dusøren løser det økonomiske spørgsmål, ikke nødvendigvis det juridiske.

Forsikringen der næsten ikke findes

I teorien burde det være forsikring, der løser hvem-betaler-spørgsmålet. Man betaler en præmie, og hvis protokollen bliver hacket, udbetaler en pulje erstatning. On-chain forsikring findes, med Nexus Mutual som den klart største aktør, men i praksis er markedet så lille, at det næsten ikke tæller i det store regnskab.

Nexus Mutual reklamerer med at beskytte i omegnen af 6 milliarder dollar i DeFi-aktiver, men den faktiske kapitalpulje er ifølge en gennemgang af markedet kun omkring 81,56 millioner dollar (~530 mio. kr), svarende til cirka 85 procent af hele DeFi-forsikringskategorien. Over syv år, fra 2019 til 2026, har mutualet udbetalt cirka 18,6 millioner dollar (~120 mio. kr) i alt. Til sammenligning var KelpDAO-tabet alene 16 gange større end alle historiske udbetalinger tilsammen. Konkurrenterne er skrumpet endnu mere: InsurAce faldt fra et toppunkt på 150 millioner dollar til 132.000, og Sherlock fra 60 millioner til godt en halv million på et år.

Grunden til, at så få køber dækning, er banal: præmierne æder afkastet. En analyse af priserne viser, at et Aave V3-afkast omkring 3,14 procent skrumper til under to procent, når man trækker en forsikringspræmie på 1,5 til 2,5 procent fra, og at en position i Maple Finance kan ende med negativt afkast efter forsikring. Når dækning betyder, at man tjener nul, vælger de fleste rationelle brugere den fra og håber, at det ikke rammer dem. De udbetalinger, der faktisk sker, er små og langsomme: Nexus Mutual og partneren OpenCover behandlede for eksempel et krav på omkring 250.000 dollar efter Arcadia Finance-angrebet, typisk inden for to til seks dage. Nyttigt for den enkelte, men en dråbe i havet mod de 972 millioner dollar (~6,3 mia. kr), sektoren tabte i samme halvår. Værre endnu er selve konstruktionens skrøbelighed: en samlet kapitalpulje på nogle hundrede millioner dollar kan i sig selv blive tømt af et enkelt stort angreb, så forsikringen ville svigte netop, når den skulle bruges mest. Regulerede alternativer som Chainproof, der udspringer af auditfirmaet Quantstamp, forsøger at lukke hullet med mere traditionelle policer, men dækker foreløbig kun en forsvindende del af markedet.

Når ingen betaler

Standardtilstanden, når ingen af de fem modeller udløses, er, at brugerne selv bærer hele tabet. Det sker oftere, end kulturen omkring de smukke obduktioner lader ane, og det sker af tre grunde: der er ingen kasse, der er intet hold tilbage, eller der er ingen enkelt ansvarlig at rette kravet mod.

Terra er den mest ikoniske sag om intet-er-tilbage. Kollapset i maj 2022 udslettede et af de største formuetab i kryptoens historie, og der kom aldrig nogen erstatning; grundlæggeren Do Kwon blev i december 2025 idømt 15 års fængsel, men det gav ikke indehaverne deres penge igen. Multichain er den mørkeste variant: da omkring 265 millioner dollar (~1,7 mia. kr) forlod broen i juli 2023, var direktøren allerede anholdt i Kina, og der var bogstaveligt talt intet hold tilbage til at skrive en obduktion, endsige betale. Nomad, hvor omkring 190 millioner dollar (~1,2 mia. kr) blev plyndret i august 2022 af hundredvis af tilfældige adresser, fik kun cirka en femtedel tilbage via en dusør; resten forsvandt.

Coldcard er den nyeste og mest lærerige. Fejlen var en svag tilfældighedsgenerator i firmwaren, der havde ligget sovende siden 2021, og tabet passerede 130 millioner dollar (~840 mio. kr). Her brød alle antagelser sammen på én gang: der var ingen DAO, ingen token, ingen kasse, producenten Coinkite var for lille til at stå inde for beløbet, og der var ikke én angriber, men et dusin uafhængige grupper, der kappedes om de samme sårbare adresser. Værre endnu: en patch af firmwaren gør ikke en allerede genereret nøgle sikker igen, så der findes ingen afsluttende begivenhed og intet fast slutbeløb, kun en løbende migreringspligt for hver enkelt ejer. Det er en påmindelse om, at når man ejer krypto uden en modpart, ejer man også risikoen; det er den samme grundpræmis, der gør, at Bitcoin stadig er et væddemål og ikke et garanteret reserveaktiv.

Ofte er der slet ikke tale om ét spektakulært tab, men om stille død i stor skala. En optælling fra 2026 pegede på, at mere end 40 DeFi-protokoller lukkede ned i kølvandet på en bølge af hacks, oftest uden nogen erstatning til de tilbageværende brugere. Og selv når nogen forsøger at fremtvinge betaling udefra, går det trægt: i USA fik forbrugermyndigheden FTC i slutningen af 2025 Nomads moderselskab til at aflevere de resterende genfundne midler og indføre et sikkerhedsprogram, et sjældent eksempel på, at en myndighed pressede på for godtgørelse, men et der straks mødte protester fra brancheorganisationer, fordi det pålagde en decentral protokol centraliseret kontrol.

Kløften mellem børs og protokol

Hvis man lægger alle sagerne ved siden af hinanden, tegner der sig en klar skillelinje, og den følger ikke størrelsen på tabet. Den følger, om der stod en centraliseret virksomhed bag eller ej. Bybit tabte tusind gange mere end Gnosis Pay, men begge dækkede fuldt ud, fordi begge var selskaber med en balance og et omdømme. Coldcard-ejere og Terra-indehavere fik intet, ikke fordi deres tab var mindre, men fordi der ingen modpart var.

Det er den ubehagelige sandhed under selvforvaringens ideal. En centraliseret børs er et enkelt angrebspunkt, men den er også en enkelt betaler: der er nogen at holde ansvarlig, nogen med penge, nogen der frygter for sit brand. En decentral protokol fjerner det enkelte angrebspunkt, men fjerner samtidig den enkelte betaler. Hvem der bærer risikoen, bliver dermed en del af den bredere diskussion om, hvordan krypto overhovedet passer ind i en portefølje, som vi tog op i gennemgangen af, om Bitcoin følger København eller Wall Street. Decentralisering flytter ikke bare kontrol, den flytter også regningen, som regel over på brugeren.

MiCA, Finanstilsynet og den manglende garanti

For en dansk investor er det her, det bliver konkret. Har du penge i banken, står Garantiformuen under Finansiel Stabilitet bag: bankindskud er dækket op til 100.000 euro, omkring 745.000 kr, per kunde per pengeinstitut, hvis banken går konkurs. Det er en garanti, der er betalt for på forhånd og udløses automatisk. For kryptoaktiver findes der intet tilsvarende. Krypto hos en udbyder er ikke et bankindskud, og ingen garantifond står bag.

Det betyder ikke, at der ingen beskyttelse er. Under EU-forordningen MiCA, som Finanstilsynet fører tilsyn med i Danmark, og hvor reglerne for udbydere har været gældende siden slutningen af 2024, skal en registreret udbyder af kryptotjenester adskille og beskytte kundernes aktiver, og du har en klagevej og et krav mod virksomheden, hvis den svigter. Men et krav mod et selskab er ikke det samme som en garanti: går udbyderen konkurs, er der ingen fond, der træder til på samme måde som ved bankindskud. Og det gælder kun de centraliserede udbydere. Fuldt decentrale protokoller falder uden for MiCA, som er skrevet til virksomheder med en identificerbar ansvarlig, og de særlige DeFi-regler ventes først i 2027 eller 2028.

Der findes en indberetningspligt, men den handler om tilsyn, ikke om erstatning. Under DORA, i kraft siden januar 2025, skal en reguleret udbyder indberette alvorlige IT-hændelser til myndighederne, med en første melding inden for få timer, en mellemrapport efter 72 timer og en slutrapport efter en måned. Det gør myndighederne klogere og kan udløse tilsynssager, men det sender ikke en krone tilbage til den ramte kunde. Kort sagt: for en centraliseret dansk kunde er der en klagevej men ingen garantifond, og for en DeFi-bruger er der hverken det ene eller det andet.

Regningen i danske kroner

Tallene bliver mere håndgribelige, når de omregnes til kroner. Med en dollarkurs omkring 6,46 i midten af august 2026 og en bitcoin-pris på cirka 64.500 dollar, svarende til omtrent 417.000 kr, ser fordelingen af de store regninger sådan ud. Kolonnen længst til højre er den, der betyder mest for den enkelte: blev brugerne holdt skadesløse eller ej?

Mønsteret springer i øjnene. Hver eneste gang svaret er ja, står der en virksomhed eller en stor investor i kolonnen ved siden af. Hver eneste gang svaret er nej, står der ingen. Beløbets størrelse afgør ikke udfaldet; tilstedeværelsen af en betaler gør.

SecondFi og erstatningens logistik

Selv når nogen beslutter at betale, er selve udbetalingen et projekt. At gøre tusindvis af anonyme tegnebøger hele igen er en logistisk øvelse, der kan tage måneder, og hvordan den håndteres, afgør ofte, hvor mange der reelt får noget.

SecondFi-sagen fra sommeren 2026 illustrerer det godt. Efter at en sårbarhed i en Android-app havde kostet 374 tegnebøger omkring 16,1 millioner ADA, i størrelsesordenen 2,5 millioner dollar (~16 mio. kr), lagde holdet en tretrins-plan frem: først et krav-modul i appen, dernæst et migreringsværktøj til at flytte aktiver til brugervalgte wallets, og til sidst en refusionsportal bygget på zero-knowledge-beviser, så man kan hæve erstatning uden at afsløre sin private nøgle. Balancer krævede tilsvarende, at ramte likviditetsudbydere selv gjorde krav gældende inden for et vindue på 180 dage, og CoW DAO satte frist for krav med efterfølgende KYC-tjek.

Detaljerne er ikke ligegyldige. En kort frist, et krav om KYC eller en udbetaling i protokollens egen token frem for kontanter kan betyde, at en formel dækning på papiret bliver til en langt mindre reel dækning i praksis. En bruger, der ikke opdager erstatningsrunden i tide, ikke vil aflevere identitetspapirer, eller ikke kan navigere et migreringsværktøj, ender med intet, selv når protokollen officielt har betalt. Erstatning er ikke kun et spørgsmål om vilje og penge, men også om, hvor godt maskineriet omkring udbetalingen er bygget.

Hvad et godt erstatningsforløb ser ud til

På tværs af de gode sager tegner der sig et mønster for, hvad der virker. De bedste forløb deler nogle få egenskaber, og de dårlige mangler dem næsten altid.

• Hastighed: Jump dækkede Wormhole på et døgn, Gnosis Pay genoprettede stort set alt inden for uger. Jo længere der går, jo flere brugere giver op eller sælger i panik.
• Gennemsigtighed: Bybit offentliggjorde forensiske rapporter og en løbende status. Uklarhed om, hvem der får hvad og hvornår, er i sig selv et tab af tillid.
• Brugerne først: de stærkeste udfald dækkede almindelige indskydere fuldt ud, før de bekymrede sig om at gøre kassen hel igen.
• Klare vilkår: et defineret krav-vindue, en fornuftig frist og en fordeling in natura pro rata, som hos Balancer og SecondFi, er bedre end vage løfter.
• Ingen overraskelser: pludselige KYC-krav eller udbetaling i en illikvid token undergraver en ellers god plan.

Anti-modellen er lige så genkendelig: tavshed, en delvis dækning uden forklaring, eller en obduktion der er teknisk perfekt, men aldrig nævner ordet erstatning. Når et hold bruger flere ord på at placere skylden hos brugeren end på at beskrive, hvordan de vil gøre tabet godt, er det som regel et varsel om, at regningen ender hos ofrene.

Regningen er et kulturelt valg

Kryptoens post-mortem-kultur er blevet rost, med rette, som en af de mest ærlige ting branchen gør. Men ærligheden stopper ofte lige før det tal, der betyder mest. Obduktionen fortæller, hvad der gik galt. Den fortæller sjældent, hvem der samler regningen op, for i modsætning til rodårsagen er det ikke en teknisk kendsgerning, man kan grave frem af blockchainen. Det er et valg.

Og valget følger et mønster, der burde forme, hvordan man som dansk investor tænker om risiko. Der bliver betalt, når der findes en modpart med kapital og et omdømme at forsvare, og der bliver ikke betalt, når der ikke gør. Ingen forordning, ingen garantifond og ingen forsikring i nævneværdig skala ændrer på det billede endnu. Den praktiske konsekvens er ubehagelig, men enkel: antag, at du er din egen garant. Spred dine beholdninger, hold kun handelsbeløb på en børs, brug verificeret hardware med en uafhængig backup, og læs en protokols kasse og historik lige så nøje som dens afkast. For når regningen efter det næste hack lander, afgøres det ikke af, hvor god obduktionen er, men af, om der overhovedet står nogen på den anden side, der har besluttet at betale.

Ofte stillede spørgsmål

Får jeg mine penge igen, hvis et kryptoprotokol bliver hacket?

Det afhænger helt af, hvem der stod bag. Centraliserede børser med egenkapital og et omdømme at beskytte, som Bybit og Trust Wallet, dækker ofte tabet fuldt ud, mens decentrale protokoller uden en juridisk enhed kun betaler, hvis en DAO stemmer for det, eller en angriber returnerer midlerne frivilligt. Der findes ingen garanti, og udfaldet afgøres fra sag til sag.

Dækker Finanstilsynet eller en indskydergaranti min krypto?

Nej. Garantiformuen dækker bankindskud op til 100.000 euro, omkring 745.000 kr, men kryptoaktiver hos en udbyder er ikke bankindskud og er ikke omfattet. MiCA giver dig et krav mod en registreret udbyder og en klagevej via Finanstilsynet, men ingen fond står bag på samme måde som ved bankindskud, og fuldt decentral DeFi falder helt uden for reglerne indtil videre.

Hvad er on-chain forsikring, og virker det?

On-chain forsikring, for eksempel Nexus Mutual, lader dig købe dækning mod hacks fra en fælles pulje. I praksis er markedet lille: den samlede kapital er nogle hundrede millioner dollar mod hundredvis af milliarder i DeFi, og præmierne æder ofte hele afkastet, så de færreste køber det. De historiske udbetalinger er små sammenlignet med de største hacks.

Hvorfor betaler nogle angribere pengene tilbage?

Fordi de kan beholde en lovlig dusør, typisk op til 10 procent, og undgå retsforfølgelse ved at returnere resten. Euler og Poly Network er de kendteste eksempler. Modellen virker kun, når angriberen er sporbar og forhandlingsvillig; er det en statsstøttet gruppe som Lazarus, er der ingen at forhandle med.

Hvad kan jeg selv gøre for ikke at stå med tabet?

Antag, at du er din egen garant. Spred dine beholdninger, brug selvforvaring med verificeret hardware og en uafhængig backup, hold kun handelsbeløb på børser, og læs om en protokols historik og kasse, før du deponerer. Husk, at et gennemført audit ikke er en forsikring, og at erstatning efter et hack er en beslutning, ikke en rettighed.

Skrevet af Marcus Okafor, seniorredaktør for kultur og lange læsninger hos HOGE Wire.