N\u00e5r en DeFi-protokol mister hundredvis af millioner kroner p\u00e5 en enkelt eftermiddag, er det dokument, l\u00e6serne venter p\u00e5, sj\u00e6ldent en undskyldning fra en bestyrelse. Det er en obduktion. Post-mortem-rapporten, som udviklere og sikkerhedsteams udgiver i timerne efter et angreb, er blevet en af kryptokulturens mest genkendelige tekstformer: en k\u00f8lig, teknisk gennemgang af pr\u00e6cis hvordan pengene forsvandt, hvem der opdagede det, og hvad der nu skal ske.<\/p>\n\n
Genren har sit eget sprog, sine egne helte og sine egne klich\u00e9er. Den lever p\u00e5 GitHub, p\u00e5 governance-fora og p\u00e5 specialiserede sider, der n\u00e6sten udelukkende handler om branchens katastrofer. I takt med at tabene er vokset til milliardbel\u00f8b, er obduktionen holdt op med at v\u00e6re en niche for sikkerhedsforskere. I dag l\u00e6ser b\u00e5de almindelige investorer og Finanstilsynet med. Her er et kig p\u00e5 den genre, der afg\u00f8r, hvordan kryptobranchen s\u00f8rger over sine egne nedbrud, og hvorfor den er ved at f\u00e5 juridisk v\u00e6gt.<\/p>\n\n
Den moderne krypto-obduktion blev f\u00f8dt i juni 2016, da en angriber begyndte at t\u00f8mme The DAO, en investeringsfond bygget p\u00e5 Ethereum. Via en reentrancy-fejl, hvor en funktion kaldte sig selv, f\u00f8r saldoen blev opdateret, trak angriberen omkring 3,6 millioner ETH ud, dengang en v\u00e6rdi p\u00e5 cirka 60 millioner dollar (omkring 0,4 milliarder kroner, omregnet til cirka 6,7 kroner per dollar). Vitalik Buterin og kerneudviklerne lagde en n\u00f8dmeddelelse p\u00e5 Ethereums blog samme dag, og dokumentet satte skabelonen for alt, hvad der fulgte: en n\u00f8gtern beskrivelse af fejlen, en tidslinje og en plan for pengene (Ethereum Foundation, 2016<\/a>).<\/p>\n\n Beslutningen om at rulle blockchainen tilbage med et hard fork splittede f\u00e6llesskabet og f\u00f8dte Ethereum Classic. Men selve obduktionen efterlod en arv, der var mindst lige s\u00e5 vigtig som forken: ideen om, at en protokol skylder sine brugere en fuld, offentlig redeg\u00f8relse, n\u00e5r noget g\u00e5r galt. Hvor traditionelle finanshuse gemmer sig bag advokater og afm\u00e5lte pressemeddelelser, valgte kryptobranchen radikal \u00e5benhed. En del af forklaringen er praktisk: alt ligger alligevel synligt p\u00e5 k\u00e6den, s\u00e5 det nytter ikke at lyve om tallene.<\/p>\n\n En veludf\u00f8rt post-mortem f\u00f8lger i dag en n\u00e6sten ritualiseret struktur. L\u00e6serne forventer bestemte elementer, og frav\u00e6ret af dem l\u00e6ses som et faresignal om, at teamet enten skjuler noget eller ikke selv forst\u00e5r, hvad der skete. De vigtigste byggesten er:<\/p>\n\n Tonen er bevidst afdramatiseret. Jo st\u00f8rre tabet er, desto mere n\u00f8gternt skriver de fleste teams, dels for at signalere kontrol, dels fordi enhver overdrivelse hurtigt bliver modbevist af k\u00e6den selv.<\/p>\n\n Det mest opsigtsv\u00e6kkende eksempel p\u00e5 genrens potentiale kom i marts 2023. L\u00e5ngivningsprotokollen Euler Finance blev ramt af et flash loan-angreb, der udnyttede en fejl i samspillet mellem en donationsfunktion og protokollens likvidationslogik. Angriberen forsvandt med omkring 197 millioner dollar, svarende til cirka 1,3 milliarder kroner, hvilket gjorde det til \u00e5rets st\u00f8rste DeFi-tyveri p\u00e5 det tidspunkt.<\/p>\n\n Det us\u00e6dvanlige var ikke selve angrebet, men hvad der fulgte. Euler-teamet udgav en detaljeret obduktion, satte en dus\u00f8r og en efterforskning i gang og begyndte derefter at forhandle med angriberen direkte gennem beskeder indlejret i transaktioner p\u00e5 Ethereum. Over de f\u00f8lgende uger sendte angriberen n\u00e6sten alle midlerne tilbage og efterlod undervejs korte, undskyldende beskeder p\u00e5 k\u00e6den. For en branche, der er vant til, at stj\u00e5lne midler forsvinder gennem mixere, var det et vendepunkt og en p\u00e5mindelse om, at on-chain-gennemsigtighed b\u00e5de kan bruges til at stj\u00e6le og til at presse pengene hjem igen (rekt.news<\/a>).<\/p>\n\n Ikke alle obduktioner ender med en undskyldning. De st\u00f8rste tab i kryptoens historie er sket i cross-chain bridges, de protokoller, der flytter v\u00e6rdi mellem forskellige blockchains, og som samler enorme summer \u00e9t sted. I marts 2022 mistede Ronin, k\u00e6den bag spillet Axie Infinity, omkring 625 millioner dollar (cirka 4,2 milliarder kroner), efter at angribere fik kontrol over fem af ni validator-n\u00f8gler. F\u00e5 m\u00e5neder forinden var Wormhole blevet dr\u00e6net for cirka 325 millioner dollar (omkring 2,2 milliarder kroner) gennem en fejl i signatur-valideringen; her tr\u00e5dte handelsfirmaet Jump Crypto til og d\u00e6kkede hullet, s\u00e5 brugerne ikke mistede deres indskud. Bridges er blevet kryptoens svageste led, netop fordi de fungerer som store, f\u00e6lles pengeskabe, mange k\u00e6der tr\u00e6kker p\u00e5 samtidig.<\/p>\n\n Ronin-obduktionen fik en dimension, de f\u00e6rreste smart contract-fejl har: geopolitik. Amerikanske myndigheder knyttede angrebet til den nordkoreanske Lazarus-gruppe, og det amerikanske finansministerium sanktionerede de involverede wallet-adresser (Reuters, 2022<\/a>). Kort efter blev mixer-tjenesten Tornado Cash sanktioneret, fordi den gentagne gange var blevet brugt til at vaske stj\u00e5lne midler (U.S. Department of the Treasury, 2022<\/a>). Dermed blev obduktionen ikke bare et teknisk dokument, men ogs\u00e5 et spor i en efterforskning, der rakte helt ind i statslig sikkerhedspolitik.<\/p>\n\n Tabellen nedenfor samler nogle af de mest omtalte sager. Bel\u00f8bene er v\u00e6rdien p\u00e5 angrebstidspunktet, omregnet til kroner med en kurs p\u00e5 cirka 6,7 kroner per dollar, og kolonnen yderst til h\u00f8jre viser, hvor stor en del der senere kom tilbage til brugerne.<\/p>\n\nAnatomien i en moderne obduktion<\/h2>\n\n
Eulers comeback: da hackeren sagde undskyld<\/h2>\n\n
Broerne, der blev til krigszoner<\/h2>\n\n
De st\u00f8rste obduktioner side om side<\/h2>\n\n