Røveriet og skilsmissen: da DAO-dramaet blev voksent i 2026

Den 23. august 2026 kostede det en angriber to ETH at tømme en hel udlånsprotokol. Ikke en sårbarhed i koden, ikke en stjålet privatnøgle, ikke et phishing-link: bare to ETH, hentet ud af blandingstjenesten Tornado Cash, brugt til billigt at opkøbe flertallet i en tyndt handlet styringstoken og derefter stemme sig selv adgang til kassen. Term Finance mistede omkring 55 millioner kroner. To ETH ind. Femoghalvtreds millioner kroner ud.

Det er den ene halvdel af, hvad DAO-drama er blevet i 2026. Den anden halvdel udspillede sig uden en eneste hacker. Hen over foråret forlod hele det professionelle maskinrum bag Aave, DeFi’s største udlånsprotokol, projektet i vrede. Ingen tokens blev stjålet. Der blev bare sagt op. En efter en pakkede de firmaer, der styrede risiko, kode og budgetter for en protokol med indlån for over 160 milliarder kroner, deres ting og gik.

DAO-dramaet plejede at være amatørteater: idealister, meme-mønter og et forum fuldt af nattevrede stemmer. I 2026 voksede det op og delte sig i to genrer. Den ene er røveriet, industrialiseret og gentageligt. Den anden er skilsmissen, professionel og bureaukratisk. Tilsammen fortæller de en historie, ingen i 2021 ville have troet på: den decentrale, græsrodsdrevne DAO er i praksis død. Det, der er tilbage, er enten et mål eller en arbejdsplads.

Da DAO-dramaet voksede op

I 2021 var en DAO en Discord fuld af idealister og en fælles pengepung. Dramaet var teatralsk og ofte komisk: en flok, der samlede penge ind for at købe den amerikanske forfatning og tabte på auktionen, eller et selskab, der brugte en formue på en bog i troen på, at den gav dem ophavsretten til en film. Det var sjovt, det var småt, og det handlede sjældent om rigtige penge.

Det ændrede sig, fordi kasserne blev store. En moden DAO i 2026 sidder på hundreder af millioner, nogle gange milliarder, i kroner. Da værdien blev reel, blev konflikten det også, og to ting professionaliserede sig på én gang: angriberne og medarbejderne. Røveriet blev en forretningsmodel med et flertal, man kan leje. Den interne strid blev en arbejdskonflikt i en organisation uden chef. Den fælles nævner er, at kassen nu indeholder rigtige værdier, man ellers diskuterer som digitalt guld, værdier, der er værd at stjæle og værd at slås om.

Det er pointen med at kalde det voksent. Den naive midte, hvor et fællesskab i god tro styrede en lille skattekiste, er kollapset. Tilbage står to hårde, professionelle former for drama, og de dominerede 2026.

Sommeren hvor kuppet blev en forretning

Term Finance var ikke et enkeltstående uheld. Ifølge sikkerhedsfirmaet Blockaid ramte mindst syv styringsovertagelser DAO-værktøjer, meme-mønter og DeFi-protokoller mellem 9. juni og 6. august 2026, på tværs af Ethereum, Solana og Base, med et samlet tab på omkring 140 millioner kroner (cirka 22 millioner dollar). Det var ikke tilfældige angreb; det var en sæson.

Mønsteret var det samme fra sag til sag: find en protokol med en tyndt handlet styringstoken, køb dig til flertallet for en brøkdel af, hvad kassen er værd, og stem dig adgang. De navngivne ofre spænder fra Token of Power på Ethereum (godt 10 millioner kroner, 9. juni) over Solana-baserede BonkDAO (omkring 130 millioner kroner, 6. juli) til BarnBridge SMART Yield på Ethereum (cirka 5 millioner kroner, 15. juli). Angriberne havde fundet en gentagelig, billig skabelon, og Term Finance lukkede sommeren af som det skarpeste eksempel.

Term Finance: to ETH ind, 55 millioner ud

Term Finance er en Ethereum-baseret protokol for fastforrentet udlån. Ifølge The Crypto Times begyndte angriberen med to ETH, trukket ud af Tornado Cash for at sløre sporet, opkøbte flertallet i protokollens tyndt handlede styringstoken og stemte derefter en række ondsindede forslag igennem, der gav kontrol over strategikasserne. Ved udførelsen sad angriberen på 100 procent af stemmerne i fire af fem USDC-kasser og omkring 91 procent i Ethereum Meta Vault.

Byttet blev 2.843 ETH (cirka 44 millioner kroner) plus 1,68 millioner USDC, straks vekslet til DAI, i alt omkring 55 millioner kroner. Protokollens samlede indlån stod på cirka 12,2 millioner dollar, hvoraf 8,6 millioner lå på Ethereum, og angriberen ryddede stort set hele Ethereum-siden. Der var ingen fejl i koden. PeckShield og CertiK bekræftede, at angrebet ramte selve stemmemekanikken, ikke de underliggende smart contracts, mens Decurity’s Defimon-bot var den første, der slog alarm.

Term reagerede ved uigenkaldeligt at lukke sine Meta Vaults og fjerne deres roller i styringen. Den slags hændelser ender i dag som en grundig post-mortem, en genre krypto har arvet fra spilverdenen. Men den skarpeste dom kom fra CryptoBriefing, der konstaterede, at en angriber, der bruger to ETH på at kontrollere kasser med millioner i, viser, at prisen for at skaffe sig styringsmagt var vildt ude af trit med værdien af de aktiver, stemmerne kunne styre.

Regnestykket: hvorfor et flertal er billigere end kassen

Hvorfor sker det igen og igen? Fordi matematikken tillader det. Allerede i 2022 satte forskere hos venturefirmaet a16z regnestykket op i et ofte citeret notat: profit er lig med værdien af angrebet minus prisen for at skaffe stemmerne minus prisen for at udføre angrebet. Når en styringstoken er tyndt handlet og let at købe, koster et flertal langt mindre end den kasse, det låser op, og så er profitten positiv.

a16z peger også på det, de kalder uadskilleligheds-problemet: markedet kan ikke se forskel på en angriber, der samler tokens, og en almindelig køber. De skelner mellem tre arketyper. Det åbne opkøb, hvor man simpelthen køber sig til magten. Lyn-angrebet, hvor man låner stemmerne for en enkelt blok, som ved Beanstalk i 2022. Og den snigende akkumulering via sovende tegnebøger, som ved BonkDAO. Term Finance er den billige hjørne-variant af den sidste type.

Det er hele forklaringen på sommerens bølge. Nogen regnede efter og opdagede, at ligningen er positiv for en hel klasse af små DAO’er. Så snart det gik op for én angriber, gik det op for de næste, og skabelonen spredte sig.

Den tomme rådhussal

Regnestykket ville ikke gå op, hvis folk stemte. Men det gør de ikke. Allerede i 2022 fandt analysefirmaet Chainalysis, at under 1 procent af indehaverne i ti store DAO’er sad på omkring 90 procent af stemmemagten, og at fremmødet til afstemninger er kronisk lavt. En tom rådhussal er en åben boks.

BonkDAO er lærebogseksemplet. Projektet havde over 18.000 medlemmer, men da den afgørende afstemning lukkede, var det syv tegnebøger, der kontrollerede 99,878 procent af de afgivne stemmer. Angriberen behøvede ikke at slå fællesskabet; han skulle bare slå de få, der mødte op. Når næsten ingen stemmer, er en lille koordineret post i sig selv nok til at udgøre quorum.

Det er den strukturelle gave til angriberne. Koncentration er ikke en fejl, der blev rettet undervejs; det er det vand, DAO’erne svømmer i. Og apati er ikke en holdningssag, men en angrebsflade. Jo mere ligegyldig afstemningen føles for det almindelige medlem, jo billigere bliver den at kapre.

Skilsmissen: Aave mister sit maskinrum

Den anden genre kræver ingen hacker. Hen over foråret 2026 mistede Aave, hvis indlån ligger omkring 26 milliarder dollar (over 160 milliarder kroner), alle tre af sine centrale serviceleverandører på få uger. BGD Labs meddelte sin exit den 20. februar med den begrundelse, at Aave Labs havde skubbet en ny version 4 igennem uden om fællesskabet. Aave Chan Initiative (ACI), ledet af den kendte governance-skikkelse Marc Zeller, annoncerede den 3. marts en afvikling frem mod juli.

Og risikofirmaet Chaos Labs, der havde styret Aaves risikoparametre i over tre år, forlod protokollen den 6. april. Ifølge The Block henviste firmaet til stigende driftsbyrde, modstand mod version 4 og et strukturelt underskud, og crypto.news tilføjede frygt for juridisk ansvar. Tre af de vigtigste partnere var væk på cirka en uge.

Det er styring som lønarbejde. Når organisationen er uden chef, men arbejdet er reelt, kan medarbejderne sige op, og det er sit eget drama. Det er også en historie om prisen for at bygge: de professionelle, der holder maskineriet kørende, kan brænde ud og gå, og så står den decentrale drøm pludselig uden folk til at trykke på knapperne.

En magtkamp forklædt som en budgetdebat

På overfladen handlede Aave-striden om et budget: Aave Labs, grundlagt af Stani Kulechov, bad om cirka 330 millioner kroner (omkring 51 millioner dollar) til at bygge version 4. Under overfladen handlede den om, hvem der egentlig bestemmer. Zeller pegede på en vejledende afstemning, hvor adresser knyttet til Aave Labs tippede resultatet, og formulerede problemet skarpt til The Block: »The temp check demonstrated that a single entity holds enough voting power to pass its own budget proposals over community opposition.«

Analysehuset Tiger Research kaldte hele udvandringen en de facto privatisering af Aave. Protokollen var designet som et kooperativ af eksterne operatører, men da én indehaver kunne få sine egne budgetter vedtaget over fællesskabets indvendinger, blev den i praksis grundlægger-styret. ACI havde tidligere fået omkring 30 millioner kroner over tre år for sit arbejde; det var altså en velbetalt stilling, nogen valgte at forlade.

Det afslører, at skilsmissen og røveriet er den samme sygdom set fra to sider. Begge handler om koncentreret stemmemagt. Ved Term blev koncentrationen brugt til at stjæle; ved Aave blev den brugt til at vinde en intern kamp. En blue-chip-protokol med 160 milliarder kroner i indlån er ikke immun over for koncentrations-problemet. Den oplever det bare som politik i stedet for som tyveri.

Vejen hertil: fra The DAO til amatørårene

For at forstå, hvorfor 2026 føles som et vendepunkt, må man se, hvor umodent dramaet var indtil da. Alt begyndte med The DAO i 2016, hvor en angriber tømte omkring en tredjedel af fonden, cirka 3,6 millioner ETH, via en genindtrædelsesfejl. Redningen, en hard fork, splittede Ethereum fra Ethereum Classic og satte tonen: kode er lov, lige indtil den ikke er.

Så kom amatørårene, en stribe enkeltstående, improviserede og ofte enten komiske eller idealistiske sager. De havde alle de mekanikker, vi ser industrialiseret i dag, men de var håndlavede engangsforestillinger. Tabellen nedenfor samler kanonen, det historiske repertoire, som 2026-generationen har systematiseret.

Forsvaret: timelocks, snapshots og adskilte nøgler

Det gode er, at forsvaret ikke er en gåde. Blockaid opridser en lagdelt værktøjskasse: hæv prisen for et flertal med fornuftige quorum- og indskudskrav, brug snapshot-afstemning fra en tidligere blok, så lånte stemmer ikke tæller, sæt en reel timelock foran enhver følsom handling, adskil retten til at udstede tokens, flytte kassen og opgradere kontrakter fra en enkelt afstemning, stram op på multisig-nøgler, og overvåg for unormal stemmekoncentration.

Ethereum-medstifter Vitalik Buterin har leveret den præcise diagnose. I sit essay om coin voting beskriver han en styringstoken som et bundt af to rettigheder, en økonomisk interesse og en ret til at bestemme, og pointen er, at de to let kan skilles ad. Et flash-lån giver stemmer uden økonomisk risiko. Buterin advarer også om, at timelocks mere ligner en betalingsmur på en avis end en lås og nøgle: de køber tid til at reagere, men forhindrer ikke i sig selv angrebet.

Det er præcis Term-lektien. Et værn virker kun, hvis nogen holder øje og har magt til at trække i nødbremsen. En timelock, ingen når at nedlægge veto imod, er bare en forsinkelse. Det leder til det samme grundspørgsmål som ved al selvforvaring, nemlig hvem der egentlig holder nøglerne, når det gælder.

Finanstilsynet, MiCA og hullet i reglerne

Hvad så, hvis en dansker rammes af et Term-lignende kup? Her møder man et hul. MiCA gælder direkte i Danmark, og Finanstilsynet fører tilsyn med udbydere af kryptoaktivtjenester, de såkaldte CASP’er, og med udstedere; reglerne har fundet anvendelse siden 30. december 2024. Men MiCA regulerer tjenester og udstedere, ikke en protokols styringsdesign.

En reelt decentral DAO uden et selskab bag sig kan falde helt uden for reglerne. Finanstilsynet har selv udgivet principper for, hvornår et decentralt udbud er undtaget fra regulering, og jo mere leaderless en DAO er, jo mere sandsynligt er det, at ingen CASP-tilladelse er påkrævet, og ingen national myndighed står klar. Ironien er til at tage og føle på: det, der bliver udnyttet, altså selve afstemningen, er præcis det, reguleringen ikke rækker ind til.

For et dansk offer er der derfor ingen MiCA-vej til at få pengene tilbage efter et styringsangreb. Tilbage er de almindelige greb: en politianmeldelse for bedrageri og, hvis der er tale om kryptoderivater snarere end spot, reglerne om markedsmisbrug under MiFID II, som netop ikke hører under MiCA. Retspraksis på området er stadig tynd.

Selskabskappen: DAO’ens voksenudgave

Det tydeligste tegn på, at DAO’en er vokset op, er, at de seriøse projekter tager en selskabskappe på. Delstaten Wyoming indførte i 2024 en struktur kaldet DUNA, der giver en DAO retlig eksistens, styr på skatten og begrænset ansvar. a16z kaldte det et gennembrud, og flere amerikanske delstater har indført lignende rammer.

Alternativet til en kappe er Ooki-præcedensen. Det amerikanske råvaretilsyn CFTC vandt i 2023 en udeblivelsesdom på 643.542 dollar (godt 4 millioner kroner), hvor en uindregistreret DAO blev holdt ansvarlig som en »person« under loven. Det betyder, at hvis en DAO ikke er nogen juridisk enhed, kan de enkelte token-indehavere i princippet hæfte personligt.

Valget for en alvorlig DAO i 2026 er derfor skarpt: tag den juridiske kappe på og få ansvarlighed, domstole og en person, man kan sagsøge, eller forbliv »ren« og risikér, at hver eneste stemmeejer står med skægget i postkassen. Kappen er en indrømmelse af, at en DAO er en organisation, ikke en stemning.

Er DAO’en død, eller bare blevet et arbejde?

Så er den decentrale drøm død? Investorerne, der finansierede den, er ærligt talt. I et interview med Fortune i juni 2026 sagde Ali Yahya, partner hos a16z crypto: »We spent the last 10 years rediscovering the hard way that direct democracy is a bad idea.« Simon Hudson fra kunstner-projektet Botto var mere nuanceret: »Are they dead? Certainly not. Have a lot of people been burned by them? Oh yeah.«

Jake Brukhman, stifter af CoinFund, formulerede det bittert i det samme interview: efter et halvt årtis eksperimenter viste styringen sig at foregå næsten alle andre steder end på selve kæden. Med andre ord: den on-chain-afstemning, hele fortællingen byggede på, endte som teater, mens de rigtige beslutninger blev truffet i baglokaler, delegat-aftaler og grundlæggeres tegnebøger.

Konklusionen er ikke, at DAO’erne forsvinder, men at de er blevet professionelle. Røveriet og skilsmissen er begge tegn på modenhed, ikke på kollaps. At vokse op betyder, at indsatsen er reel, at spillerne får løn, og at den naive midte er væk. En DAO i 2026 er ikke et fællesskab, der leger demokrati. Den er enten et mål for et velregnet kup eller en arbejdsplads, hvor de ansatte kan sige op.

Hvad det betyder for danske investorer

For en dansk investor er styringsrisiko ikke længere en fodnote, men en selvstændig post. Hvis du overvejer at holde en styringstoken eller parkere penge i en DAO-styret protokol, er der en håndfuld ting, der er værd at tjekke, før du trykker køb, på samme måde som du overvejer, hvor meget Bitcoin der hører hjemme i porteføljen.

• Koncentration: Hvem sidder på stemmerne? Kan en enkelt tegnebog eller grundlæggeren afgøre en afstemning alene?
• Værn: Er der en timelock, snapshot-afstemning, og ligger retten til at udstede, flytte kassen og opgradere bag adskilte nøgler?
• Fremmøde: Hvor mange stemmer faktisk? En tom rådhussal er et rødt flag, ikke et tegn på ro.
• Selskabskappe: Er der en juridisk enhed og en jurisdiktion, eller er du eksponeret som personligt hæftende medejer?
• Serviceleverandører: Bliver de professionelle, eller pakker de sammen? Aave-skilsmissen viser, at man skal holde øje med, hvem der siger op, ikke kun hvem der køber ind.

Kort sagt: behandl en DAO som den organisation, den reelt er blevet. Spørg, hvem der bestemmer, hvor nøglerne ligger, og hvad der sker, hvis det går galt. Svarene fortæller dig, om du står over for et fællesskab, et mål eller en arbejdsplads.

Ofte stillede spørgsmål

Hvad er et DAO-styringsangreb?

Et styringsangreb udnytter ikke en fejl i koden, men selve afstemningen. Angriberen skaffer sig flertallet af stemmerne i en DAO, ofte ved billigt at opkøbe en tyndt handlet styringstoken, og stemmer derefter et forslag igennem, der giver adgang til kassen, retten til at udstede nye tokens eller til at opgradere kontrakterne. Term Finance i august 2026 er et lærebogseksempel.

Hvad skete der med Term Finance i august 2026?

Den 23. august 2026 mistede udlånsprotokollen Term Finance omkring 55 millioner kroner (8,5 millioner dollar). En angriber startede med to ETH hentet gennem Tornado Cash, opkøbte flertallet i protokollens tyndt handlede styringstoken og stemte sig adgang til strategikasserne. PeckShield og CertiK bekræftede, at angrebet ramte afstemningen, ikke koden.

Hvorfor forlod Aaves serviceleverandører protokollen i 2026?

Hen over foråret 2026 forlod BGD Labs, Aave Chan Initiative (Marc Zeller) og risikofirmaet Chaos Labs alle Aave inden for få uger. Kernen i konflikten var, at én aktør, knyttet til grundlæggeren Stani Kulechov, havde stemmer nok til at få sine egne budgetforslag vedtaget over fællesskabets indvendinger. Nogle analytikere kaldte det en de facto privatisering af Aave.

Er en DAO reguleret af Finanstilsynet?

MiCA gælder direkte i Danmark, og Finanstilsynet fører tilsyn med udbydere af kryptoaktivtjenester (CASP’er) og udstedere. Men reglerne rammer tjenester og udstedere, ikke en protokols styringsdesign. En reelt decentral DAO uden et selskab bag sig kan falde uden for reglerne, og så er der ingen MiCA-vej til at få penge tilbage efter et styringsangreb; tilbage er almindeligt bedrageri og, for derivater, markedsmisbrug under MiFID II.

Kan man beskytte en DAO mod et styringsangreb?

Ja, delvist. De vigtigste værn er en timelock foran alle følsomme handlinger, snapshot-afstemning fra en tidligere blok, så lånte stemmer ikke tæller, højere quorum- og indskudskrav, og at adskille retten til at udstede tokens, flytte kassen og opgradere kontrakter fra en enkelt afstemning. Men som Term viste, virker et værn kun, hvis nogen holder øje og har magt til at trække i nødbremsen.

Marcus Okafor er kultur- og long-read-skribent på HOGE Wire og skriver om DAO’er, on-chain-styring og krydsfeltet mellem krypto og spilkultur.