White-hat eller tyveri? Liquid-hacket og fejlmeldingens etik

Den 6. september 2026 forlod knap 4.000 bitcoin en reserve, hvor de havde ligget i årevis. Beløbet, på hacktidspunktet omkring 320 mio. dollar (godt to milliarder kroner ved en kurs på cirka 6,43 kr. per dollar ifølge exchange-rates.org), var dækningen bag Liquid Network, den Bitcoin-sidekæde, som Blockstream har drevet siden 2018. Ingen privat nøgle var stjålet. Ingen medarbejder var blevet narret med et falsk jobtilbud. Den, der tømte reserven, efterlod i stedet en besked skrevet direkte ind i blockkæden: “vi er white hats. kontakt os on-chain.” Sådan lød en OP_RETURN-transaktion, mens federationens reserve faldt fra omkring 4.200 til godt 207 bitcoin.

Dagen efter returnerede angriberen omkring 3.400 bitcoin og beholdt resten, cirka 598,5 BTC (omkring 15 procent, eller knap 300 mio. kr.), som en slags selvbestaltet dusør. Blockstream afviste blankt at betale for at få dem tilbage. “At tage aktiver uden tilladelse og tilbageholde dem er en forbrydelse, ikke ansvarlig fejlmelding. Det er ikke white-hat-aktivitet. Det er tyveri,” lød selskabets udmelding. Med det svar satte en af Bitcoin-verdenens mest respekterede virksomheder en streg i sandet, som kryptosektorens post-mortem-kultur har brugt ti år på ikke at turde tegne.

For Liquid-sagen handler ikke kun om en bug. Den handler om en genre. Kryptosektoren har gjort den offentlige obduktion efter et hack til noget nær en kunstform, komplet med minut-for-minut-tidslinjer, ærlige rodårsagsanalyser og den næsten rituelle forhandling med angriberen on-chain. Men Liquid afslører, at genren kun tog den ene halvdel af den arv, den byggede på. Den lærte at skrive obduktionen bagefter. Den lærte aldrig disciplinen i, hvordan man håndterer en sårbarhed, før den bliver udnyttet. Denne artikel handler om begge huller, og om hvorfor de mødtes præcis her.

Hvad der faktisk skete: en fejl i koden, ikke en stjålet nøgle

Liquid er en federeret sidekæde. Rigtige bitcoin låses ind hos en gruppe funktionærer, og til gengæld udstedes L-BTC en-til-en på Liquid, hvor de kan bevæge sig hurtigere og mere privat. Systemet står og falder med et enkelt løfte: der findes aldrig mere L-BTC, end der er bitcoin i reserven. Det var præcis det løfte, angrebet brød.

Rodårsagen lå i Elements, den software Liquid kører på, nærmere bestemt i den måde, systemet gemte resultatet af sine range proof-verifikationer på. For at spare arbejde cacher Elements dommen “gyldig” for et bevis, det allerede har set. Men den nøgle, cachen slog op på, blev dannet ved at hashe felterne sammen uden ordentlige skillelinjer, og den udelod dele af transaktionens kontekst. Resultatet var, at to forskellige transaktioner kunne ende med samme cache-nøgle. Angriberen kunne dermed genbruge en gemt “gyldig”-dom på et bevis, der ikke var gyldigt, og fremstille L-BTC uden dækning, som derefter blev vekslet til rigtige bitcoin og trukket ud af federationen. CoinDesk beskrev det som en fejl på node-niveau i Liquids transaktionssoftware, ikke et brud på nøgler eller hardware.

Den detalje er vigtigere, end den lyder. Liquids peg-out kræver, at 11 af 15 funktionærer underskriver en udbetaling. Alle 11 gjorde deres arbejde korrekt; de underskrev en transaktion, som deres noder fortalte dem var fuldt gyldig. En multisignatur kan fange en useriøs underskriver, men den kan ikke fange en konsensusfejl, hvor selve reglen for, hvad der er gyldigt, er brudt. Federationen gjorde præcis, hvad den var bygget til, og tabte alligevel reserven, et ekko af de sager, hvor styringsmekanismen virker efter hensigten og alligevel gør ondt. Adam Back, Blockstreams direktør, har efterfølgende forsikret, at 1:1-dækningen af L-BTC bliver holdt, uanset udfaldet.

Forhandlingen der blev en genre

Kort efter drænet begyndte angriberen at skrive. Beskederne kom on-chain, indbygget i transaktioner, og de fulgte et manuskript, enhver, der har fulgt kryptohacks, kender: “Fiks fejlen først. Kæden er i risiko ved seneste commit lige nu. Sørg for, at hver node er patchet. Så overfører vi pengene sikkert tilbage efter at have bekræftet rettelsen,” lød en af dem ifølge CoinDesk.

Tonen er velkendt, fordi den er blevet en institution. I kryptosektoren er forhandlingen med angriberen ikke en pinlig hemmelighed, men en offentlig forestilling, hvor begge parter spiller roller. Angriberen fremstiller sig som en, der har gjort protokollen en tjeneste ved at afsløre fejlen; teamet svarer med en blanding af taknemmelighed og trussel; og et publikum af analytikere følger med på blockkæden i realtid. Det er en ægte kulturel nyskabelse, som hverken den klassiske sikkerhedsbranche eller nogen anden industri har en direkte parallel til.

Problemet er, at manuskriptet har en indbygget tvetydighed. “Fiks fejlen først, så giver vi pengene tilbage” kan være en oprigtig hjælpende hånd. Det kan også være en gidseltagning klædt ud som en tjeneste. Genren har aldrig for alvor afgjort, hvornår det ene bliver til det andet, og Liquid-angriberen stod med begge fødder i den tvetydighed.

Da forhandlingen var hæderlig: Euler, Poly Network og Wormhole

For at forstå, hvorfor Liquid-angriberens optræden gnaver, må man se på de sager, der skabte skabelonen. I marts 2023 blev udlånsprotokollen Euler Finance drænet for omkring 197 mio. dollar (knap 1,3 mia. kr.). Efter dagevis med on-chain-beskeder returnerede angriberen stort set alt og skrev undervejs den sætning, der siden er blevet citeret som genrens moralske midtpunkt: “har ingen intention om at beholde, hvad der ikke er vores.” Euler fik næsten alle midler tilbage, og teamet lod en dusør på ti procent stå som en reel tak.

Endnu tydeligere var Poly Network i august 2021. Her forsvandt over 610 mio. dollar (omkring 3,9 mia. kr.), dengang det største DeFi-tyveri nogensinde. Teamet tiltalte høfligt angriberen som “Mr. White Hat”, tilbød en dusør på 500.000 dollar og endda en titel som sikkerhedsrådgiver. Angriberen afslog dusøren og returnerede stort set alt. Ingen blev sigtet. Og i februar 2022, da Wormhole-broen mistede omkring 325 mio. dollar (cirka 2,1 mia. kr.), trådte investoren Jump Crypto til og genopfyldte hele beløbet inden for et døgn, så brugerne aldrig mærkede tabet.

Fællesnævneren i alle tre sager er, at de endte med, at brugerne blev holdt skadesløse, og at den, der havde midlerne, gav dem fra sig uden at kræve en andel. Det er den standard, Liquid skal måles op imod. Og det er her, mærkatet begynder at slå revner.

Hvor går grænsen mellem white hat og tyveri?

En ægte white hat rører ikke midlerne. Vedkommende finder fejlen, rapporterer den ad en aftalt kanal og overlader det til protokollen at lukke hullet. Alt derudover er en glidebane. Liquid-angriberen drænede hele reserven, holdt den som pant, mens rettelsen blev krævet gennemført, returnerede så det meste, men beholdt 15 procent og bad om en dusør oveni. På hvert eneste punkt lå adfærden længere ude ad glidebanen end Euler, Poly Network og Wormhole.

Charles Guillemet, teknisk direktør i den franske hardware-wallet-producent Ledger, satte ord på skepsissen. “White hats dræner ikke en bro for derefter at bede om kontakt on-chain,” sagde han og pegede på, at ægte etisk hacking foregår før midlerne flyttes, ikke efter. Blockstream var mere kategorisk. Selskabet fastslog, at handlingen ikke kvalificerede som white-hat-arbejde, netop fordi angriberen tog aktiverne uden tilladelse og stadig sad på en del af dem, og lovede at forfølge sagen med retshåndhævelse, børser og on-chain-efterforskning: “Transaktioner forsvinder ikke, og det gør de spor, de efterlader, heller ikke,” skrev det.

Tabellen nedenfor stiller Liquid op mod de sager, genren plejer at fejre, og en enkelt, hvor forhandling slet ikke var mulig.

Reglerne der skulle trække stregen: SEAL Safe Harbor

Kryptosektoren er faktisk selv gået i gang med at kodificere, hvor grænsen går. Security Alliance, et branchekollektiv af sikkerhedsforskere, står bag rammeaftalen Safe Harbor, som en protokol frivilligt kan tilslutte sig. Aftalen giver en white hat juridisk ly, men kun mod klare betingelser: midlerne skal returneres inden for 72 timer, dusøren er på højst ti procent med et loft på en million dollar, og hackeren skal igennem KYC og screenes mod sanktionslister. Rammen dækker efterhånden snesevis af protokoller.

Holder man Liquid-angriberen op mod den standard, falder vedkommende på næsten hvert punkt. Der var ingen forhåndsaftale. Der var ingen KYC. Andelen, der blev beholdt, oversteg loftet på en million dollar mange gange. Og returneringen var betinget af, at protokollen først dansede efter angriberens pibe. Safe Harbor er netop skrevet for at fjerne den tvetydighed, forhandlingsgenren har levet i, ved at gøre “jeg er white hat” til en påstand, der kan efterprøves mod konkrete krav i stedet for en selvvalgt rolle.

Men Safe Harbor er frivillig, og Liquid havde ikke tilsluttet sig. Det er den centrale svaghed: så længe rammen er noget, en protokol kan vælge fra, kan enhver angriber stadig påberåbe sig white hat-rollen uden at være bundet af en eneste af dens forpligtelser. Reglen findes, men den binder kun dem, der siger ja.

Patch-hullet: da rettelsen lå åbent i dagevis

Hvis forhandlingen er den ene halvdel af historien, er den anden mindre dramatisk og langt mere ubehagelig. Fejlen i Elements var nemlig allerede fundet og rettet, da angrebet fandt sted. Et commit med den prosaiske titel “Fix caching bug in rangeproof caching” blev skrevet den 3. august, merget til Elements’ offentlige master-gren den 1. september og cherry-plukket til udgivelsesgrenene den 2. og 3. september, som The Hacker News har kortlagt. Alt sammen lå frit tilgængeligt på GitHub. Men ingen færdig udgivelse indeholdt endnu rettelsen, da reserven blev tømt den 6. september. Den officielle version, Elements v23.3.4, der hærder cache-nøglerne og tilføjer et nyt sikkerhedstilvalg, udkom først den 9. september. Federationen selv kørte v23.3.3, versionen fra 13. april.

Det er, hvad sikkerhedsfolk kalder et N-day. Et zero-day er en fejl, ingen kender. Et N-day er en fejl, hvis rettelse er offentlig, men endnu ikke rullet ud til alle. Og et offentligt commit er en opskrift: det peger direkte på, hvor fejlen sad, og hvordan den så ud, for enhver, der gider læse med. Jo længere der går fra rettelsen bliver synlig, til alle noder faktisk kører den, jo bredere er vinduet, hvor en angriber kan handle på viden, forsvarerne selv har lagt frem.

Adam Back har antydet, at billedet er endnu mere pinligt. Han har beskrevet, at “to problemer spillede sammen og skabte den udnyttede tilstand,” en formulering, der peger på, at selve rettelsen kan have introduceret eller efterladt den kollision, angriberen endte med at bruge. Uanset den tekniske finesse er hovedpointen den samme: rettelsen var ikke hemmelig. Den lå på gaden i dagevis, og federationen nåede ikke at lukke sin egen dør, før nogen gik ind ad den.

Sådan gør resten af sikkerhedsverdenen

Den øvrige it-sikkerhedsverden har brugt to årtier på at bygge en disciplin, der handler om præcis dette vindue. Den hedder koordineret sårbarhedsoplysning, ofte forkortet CVD, og dens hele formål er at holde en fejl og dens rettelse under kontrol, indtil brugerne er beskyttet.

Googles Project Zero, et af verdens mest kendte fejlfinderhold, driver den nok mest citerede model. En leverandør får som udgangspunkt 90 dage til at udsende en rettelse, før detaljerne offentliggøres, plus 30 dages ekstra frist til at få opdateringen ud til brugerne. Og hvis en fejl allerede bliver udnyttet aktivt, skæres fristen ned til syv dage. Pointen er ikke fristen i sig selv, men rækkefølgen: detaljerne kommer først ud, når rettelsen er hos brugerne, ikke før. Rettelsen distribueres samlet, under embargo, i en tagget udgivelse, som operatørerne kan installere, før nogen udenforstående ved, hvor de skal lede.

Sammenlign det med, hvordan Liquid-rettelsen bevægede sig. Den blev lagt i et offentligt commit, med en sigende titel, dage før nogen samlet udgivelse fandtes, og mens den vigtigste operatør, federationen selv, kørte en fem måneder gammel version. Der var ingen embargo, ingen koordineret udrulning, ingen frist, alle var enige om. Open source-kulturen, som er kryptosektorens stolthed, betyder, at rettelser som standard fødes i det åbne. Det er en styrke for gennemsigtigheden og en svaghed for netop det vindue, CVD er skabt for at lukke.

Den halve arv: obduktionen uden embargoen

Her samler de to tråde sig. Kryptosektorens post-mortem-kultur er ægte og på mange måder beundringsværdig. Den arvede den blame-fri obduktion fra ingeniørkulturen, hvor man dissekerer et sammenbrud for at lære, ikke for at hænge en person ud, og den forfinede den til en offentlig genre med sin egen æstetik, sine egne forbilleder og sit eget publikum. Vi har på HOGE Wire fulgt, hvordan den genre nu endda er ved at blive en myndighedssag, efterhånden som tilsyn, advokater og forsikringsselskaber skubber sig ind mellem teamet og offentligheden.

Men obduktionen er kun den ene halvdel af, hvordan resten af sikkerhedsverdenen håndterer fejl. Den anden halvdel er alt det, der sker før: den fortrolige rapport, embargoen, den koordinerede rettelse, den aftalte frist. Kryptosektoren importerede den offentlige selvransagelse bagefter, men ikke den disciplinerede tavshed før. Genren elsker øjeblikket, hvor teamet står frem og siger “her er præcis, hvad der gik galt”. Den har langt mindre at sige om øjeblikket, hvor et team i stilhed skulle have fået en rettelse ud til alle, før nogen andre opdagede, hvor den pegede hen.

Liquid er, hvor begge halvdele fejlede på samme tid. Den offentlige rettelse blev til en offentlig opskrift. Og da forhandlingen kom, var der ingen aftalt norm, der kunne afgøre, om manden med de 598,5 bitcoin var en redningsmand eller en tyv. Genren havde givet ham rollen, men aldrig reglerne.

Da red team blev ignoreret: striden om e-mailen

At kryptosektoren mangler en fungerende oplysningskanal, blev usædvanlig konkret i dagene efter Liquid-hacket. En gruppe frivillige sikkerhedsforskere, Bitcoin Red Team, der efter eget udsagn voksede frem i kølvandet på Coldcard-hacket tidligere på året, hævdede, at de havde advaret Blockstream om problemet, før det blev udnyttet. Gruppens medstifter, kendt som Calle, formulerede det syrligt: “det koster åbenbart 600 BTC at ignorere en e-mail fra red team,” sagde han og tilføjede, at Blockstream havde modtaget flere henvendelser, men ikke havde fremlagt en historik over kvitteringer og rettelser.

Blockstream afviste. Samson Mow, selskabets tidligere sikkerhedschef, sagde ligeud, at “ingen e-mails blev ignoreret,” og Adam Back henviste til det tekniske samspil af fejl frem for en overset advarsel. De to versioner er endnu ikke forsonet, og Bitcoin Red Team har varslet, at de vil offentliggøre deres egen redegørelse for oplysningsforløbet, når Blockstream har udgivet sin post-mortem.

Uanset hvem der har ret, er selve striden pointen. I en moden CVD-proces findes der en officiel kanal, kvitteringer, tidsstempler og en aftalt frist, netop så et “vi advarede jer” ikke ender som påstand mod påstand efter et tab på flere hundrede millioner. Kryptosektoren har lånt sikkerhedsverdenens sprog om red teams og ansvarlig oplysning, men ikke det kedelige bogholderi, der gør sproget efterprøveligt. Og som andre steder i sektoren viser sagen, at synlighed har en pris for den, der står med ansigtet udad, hvad enten det er et team eller en forsker.

Hurtigere fundne fejl, samme langsomme oplysning

Der er en grund til, at patch-hullet bliver farligere år for år. Fejl bliver fundet hurtigere end nogensinde. Automatiseret analyse og AI-assisteret kodegennemgang er blevet standardværktøjer på begge sider af hegnet; sikkerhedsfirmaet Trail of Bits har for eksempel beskrevet, hvordan de har gjort deres egen fejljagt AI-drevet og mangedoblet antallet af fund. Det samme værktøj, der hjælper en forsvarer med at finde en fejl, hjælper en angriber med at forstå en rettelse, i det øjeblik den bliver offentlig.

Det er værd at holde tungen lige i munden her. På trods af spekulationer er der ingen bekræftelse på, at Liquid-fejlen blev fundet af AI, og det er heller ikke pointen. Pointen er, at når fund accelererer, mens oplysningen forbliver lige så uorganiseret som før, bliver afstanden mellem “rettelsen er synlig” og “alle er beskyttet” til det farligste sted på hele kortet. Et offentligt commit, der før måske lå ulæst i uger, kan nu blive analyseret og våbengjort på timer.

Den ubehagelige konklusion er, at kryptosektorens åbenhed og dens hastighed trækker i hver sin retning. Jo hurtigere og mere offentligt en rettelse fødes, jo vigtigere bliver den disciplin i udrulningen, som sektoren aldrig rigtig indførte. Uden den er gennemsigtighed ikke kun en dyd; den er også en angrebsflade.

Nøgler, kode, og nu konsensus: hvor tabene kommer fra i 2026

Zoomer man ud, passer Liquid ikke pænt ind i årets ellers tydelige mønster. Ifølge TRM Labs blev der i første halvår af 2026 stjålet omkring 972 mio. dollar (godt 6 mia. kr.) fordelt på rekordmange 207 hændelser. Men fordelingen er skæv: kontraktfejl stod for langt de fleste hændelser og en lille del af værdien, mens kompromitterede nøgler, infrastruktur og operationelle svigt udgjorde omkring 15 procent af hændelserne og hele 76 procent af de tabte penge. CertiK, der bruger en anden metode, opgjorde halvårets tab til 1,315 mia. dollar (knap 8,5 mia. kr.) og pegede på wallet-kompromittering som den dyreste kategori.

“En protokol kan bestå en fejlfri kodeaudit og alligevel miste millioner på grund af en kompromitteret admin-nøgle,” som CertiKs direktør Ronghui Gu formulerede årets lektie. Den lektie handler om mennesker og nøgler, ikke om kode.

Og netop derfor er Liquid interessant. Det var hverken en stjålet nøgle eller den klassiske kontraktfejl, en revision leder efter. Det var en fejl i konsensuslaget, i selve reglen for, hvad noderne accepterer som gyldigt, sluppet løs af et offentligt commit. Coldcard-hacket tidligere i 2026, hvor svag tilfældighed i en hardware-wallets firmware kostede ejerne over 130 mio. dollar (godt 800 mio. kr.) uden en eneste skyldig at forhandle med, viste allerede, at genren har svært ved fejl uden en modpart. Liquid tilføjer en ny kategori: fejlen, hvis rettelse var forsvarernes egen, offentligt tilgængelige tekst.

Hvad en dansk L-BTC-ejer kan stille op

For en dansk investor, der holdt L-BTC gennem en børs, rejser sagen et ubehageligt spørgsmål: hvem hjælper mig, hvis det går galt? Svaret er nedslående kort. MiCA, EU’s kryptoregelsæt, som Finanstilsynet fører tilsyn med herhjemme, dækker de udbydere, der opbevarer og handler kryptoaktiver, altså børserne og depoterne (CASP’erne). Det dækker ikke Blockstreams federation, og det dækker ikke Elements-koden. Finanstilsynet har selv gjort opmærksom på, at fuldt decentrale tjenester falder uden for reglerne. Selve protokollen har ingen dansk eller europæisk vagthund.

Der findes heller ingen myndighed, dansk eller europæisk, der afgør, om Liquid-angriberen var white hat eller tyv. Det spørgsmål hører under strafferetten og under den on-chain-efterforskning, Blockstream nu har varslet, ikke under et finanstilsyn. Den regulatoriske side af obduktionen, indberetningen til myndighederne og den fortrolige version af historien, er en helt anden proces, som vi har behandlet separat. For selve tabet er den offentlige post-mortem og efterforskningen på blockkæden i praksis den eneste vej til at forstå, hvad der skete, og eventuelt få midler tilbage.

I denne konkrete sag ser de fleste L-BTC-ejere ud til at slippe helskindet, fordi Blockstream har lovet at holde 1:1-dækningen. Men det er en virksomheds frivillige valg, ikke en rettighed. Spørgsmålet om, hvem der reelt styrer og hæfter for en federeret protokol, minder om de dilemmaer, kryptosektoren brydes med alle andre steder, fra spilfællesskaber, der ville eje deres egne verdener, til store DeFi-kasser. Og i en sektor, hvor bitcoin ved dette skriftlige tidspunkt handlede til omkring 496.000 kr. ifølge CoinGecko, efter et år, hvor makrovinden har vendt sig mod risikoaktiver, er de beløb, der står på spil, ikke abstrakte.

Hvad en ærlig obduktion stadig kan

Ingen af løsningerne er ny viden. Federerede og tilladelsesbaserede systemer som Liquid kan distribuere rettelser under embargo, direkte til funktionærerne, før koden bliver synlig i det offentlige lager. Projekter kan holde en privat sikkerhedsmailingliste med kvitteringer og tidsstempler, så et advarsels-forløb kan efterprøves bagefter. De kan tilslutte sig en ramme som Safe Harbor, så “jeg er white hat” bliver en påstand med indhold. Og operatører kan gøre det banale: køre den nyeste version. Federationen, der tabte reserven, kørte software fra april.

Kryptosektorens post-mortem-kultur har bevist, at den kan se et sammenbrud i øjnene og fortælle sandheden om det bagefter. Det er sjældnere, end man skulle tro, og det er værd at holde fast i. Men Liquid er en påmindelse om, at ærlighed efter faktum ikke er det samme som disciplin før. Den næste udgave af genren, hvis den skal være mere end litteratur, må tage den anden halvdel af arven med: den kedelige, koordinerede, tavse del, der sikrer, at rettelsen når frem, før obduktionen overhovedet bliver nødvendig.

Ofte stillede spørgsmål

Var Liquid-hacket white-hat eller tyveri?

Det afhænger af, hvem man spørger. Angriberen kaldte sig white hat og returnerede omkring 3.400 af de knap 4.000 bitcoin, men beholdt cirka 598,5 BTC (omkring 15 procent) og krævede dusør oveni. Blockstream afviser mærkatet og kalder det tyveri, fordi midlerne blev taget uden tilladelse og stadig delvist tilbageholdes. Ægte ansvarlig fejlmelding rører ikke midlerne.

Hvad var årsagen til Liquid-hacket?

En fejl i Elements, softwaren bag Liquid, i måden verifikationen af range proofs blev cachet på. Cache-nøglen udelod felter, så to forskellige transaktioner kunne dele samme “gyldig”-dom, og angriberen kunne fremstille L-BTC uden dækning og hæve rigtige bitcoin. Det var hverken en stjålet nøgle eller en klassisk kontraktfejl, men en fejl i konsensuslaget.

Hvad er patch-hullet, og hvorfor betyder det noget?

Rettelsen af cache-fejlen lå offentligt i Elements’ kode på GitHub i dagevis før angrebet, men var endnu ikke udsendt som en færdig opdatering, og federationen kørte en version fra april. Et offentligt commit fortæller enhver, hvor fejlen sidder, før alle noder er opdateret. Det vindue kaldes et N-day, og det er hele grunden til, at koordineret oplysning findes.

Hvordan er en dansk L-BTC-ejer stillet?

MiCA og Finanstilsynet dækker de børser og udbydere (CASP’er), der opbevarer eller handler L-BTC, ikke selve Liquid-protokollen eller Blockstreams federation. Ingen dansk eller europæisk myndighed afgør, om et hack var white-hat eller tyveri; det hører under strafferet og on-chain-efterforskning. I denne sag har Adam Back sagt, at 1:1-dækningen af L-BTC bliver holdt, så ejerne står til at blive holdt skadesløse.

Hvad kunne have forhindret Liquid-hacket?

Koordineret sårbarhedsoplysning: en samlet, tagget opdatering skubbet ud til alle noder, før rettelsen blev synlig i et offentligt commit, en aftalt embargo, en aktiv red team med en kanal, der bliver læst, og en federation, der kører den nyeste version. Ingen af delene er nye idéer; sikkerhedsverdenen har brugt dem i årevis.

Af Marcus Okafor, seniorredaktør på HOGE Wire. Analyse, ikke investeringsrådgivning.