{"id":255,"date":"2026-08-18T12:55:26","date_gmt":"2026-08-18T12:55:26","guid":{"rendered":"https:\/\/hoge.gg\/dk\/regningen-efter-hacket-hvem-betaler-krypto-2026\/"},"modified":"2026-08-18T12:55:26","modified_gmt":"2026-08-18T12:55:26","slug":"regningen-efter-hacket-hvem-betaler-krypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/dk\/regningen-efter-hacket-hvem-betaler-krypto-2026\/","title":{"rendered":"Regningen efter hacket: hvem betaler n\u00e5r krypto dr\u00e6nes"},"content":{"rendered":"

Hver gang et kryptoprotokol bliver dr\u00e6net for penge, f\u00f8lger den samme koreografi. En on-chain-efterforsker sporer str\u00f8mmen af midler, holdet udsender en tidslinje ned til minuttet, og f\u00e5 dage senere ligger obduktionsrapporten offentligt med rod\u00e5rsag, angrebsvektor og en liste over, hvad der bliver rettet. Selve kulturen omkring de rapporter har vi d\u00e6kket f\u00f8r her p\u00e5 siden: hvordan et hack bliver til en offentlig genre, hvordan nogle protokoller overlever og andre d\u00f8r, og hvordan skylden bliver forhandlet. Men der er \u00e9t sp\u00f8rgsm\u00e5l, som selv den mest gennemsigtige obduktion sj\u00e6ldent besvarer klart: f\u00e5r ofrene deres penge igen, og hvem ender med at betale regningen?<\/p>

Svaret er ikke givet p\u00e5 forh\u00e5nd. Da Trust Wallets browserudvidelse blev kompromitteret omkring jul 2025, og cirka 7 millioner dollar (~45 mio. kr) forsvandt, bekr\u00e6ftede Binance-stifter Changpeng Zhao hurtigt, at moderselskabet ville d\u00e6kke alle tab, med den korte besked om at TrustWallet d\u00e6kker<\/a>. Da Coldcard-ejere mistede over 130 millioner dollar<\/a> (~840 mio. kr) i sommeren 2026, var der ingen at sende regningen til: producenten var for lille til at st\u00e5 inde for bel\u00f8bet, og der var ikke \u00e9n angriber, men et helt dusin uafh\u00e6ngige grupper. Forskellen mellem de to udfald handler ikke om jura. Den handler om, hvem der stod bag protokollen, hvor mange penge de havde, og hvad de mente, de skyldte deres brugere.<\/p>

Obduktionen slutter, hvor regningen begynder<\/h2>

Post-mortem-genren er god til tre ting: at forklare hvad der skete, hvorfor det kunne ske, og hvad der bliver gjort for at forhindre en gentagelse. Den er d\u00e5rlig til en fjerde ting, som for den ramte bruger er den eneste, der virkelig t\u00e6ller: hvorn\u00e5r, og hvor meget, f\u00e5r jeg tilbage? Rod\u00e5rsagen kan v\u00e6re beskrevet ned til det enkelte kodelinjes fortegnsfejl, uden at et eneste ord fort\u00e6ller den lille indskyder, om hans opsparing kommer igen.<\/p>

Det er ikke en forglemmelse. Det er strukturen. Erstatning i krypto er ikke en rettighed, men en beslutning, der tr\u00e6ffes fra sag til sag, af mennesker i en bestyrelse eller af kodede f\u00e6lleskasser styret af token-holdere. Udfaldene sp\u00e6nder fra fuld d\u00e6kning inden for timer til fuldst\u00e6ndig tavshed. I traditionel finans er den beslutning i vidt omfang taget p\u00e5 forh\u00e5nd af lovgivning, garantifonde og forsikring. I krypto er den stadig et \u00e5bent sp\u00f8rgsm\u00e5l, hver eneste gang, og det er netop d\u00e9t, der g\u00f8r regningen efter et hack til en kulturhistorie og ikke bare en juridisk fodnote. Det handler i sidste ende om det samme sp\u00f8rgsm\u00e5l, som ligger under royaltykrigen om, hvem der egentlig betaler skaberne<\/a>: n\u00e5r systemet ikke tvinger nogen til at betale, hvem g\u00f8r det s\u00e5 frivilligt?<\/p>

For at forst\u00e5, hvorfor betalingssp\u00f8rgsm\u00e5let er blevet s\u00e5 p\u00e5tr\u00e6ngende, hj\u00e6lper det at se p\u00e5 skalaen. If\u00f8lge analysefirmaet TRM Labs blev der i f\u00f8rste halv\u00e5r af 2026 stj\u00e5let omkring 972 millioner dollar<\/a> (~6,3 mia. kr) fordelt p\u00e5 207 h\u00e6ndelser, et rekordh\u00f8jt antal angreb, selv om det samlede bel\u00f8b faldt fra \u00e5ret f\u00f8r. Rekordantallet er ikke den vigtigste pointe. Det er, hvor pengene flyttede hen.<\/p>

De klassiske fejl i smarte kontrakter stod for langt de fleste h\u00e6ndelser, men kun en lille del af det tabte bel\u00f8b. Den store v\u00e6rdi flyttede over p\u00e5 kompromitterede n\u00f8gler, multisig-styring og operationel infrastruktur, alts\u00e5 angreb p\u00e5 mennesker og processer snarere end p\u00e5 kode. Sikkerhedsfirmaet CertiK n\u00e5ede med en anden metode frem til, at kompromitterede tegneb\u00f8ger var den dyreste kategori overhovedet, med over 444 millioner dollar<\/a> (~2,9 mia. kr) alene. Det er d\u00e5rligt nyt for hvem-betaler-sp\u00f8rgsm\u00e5let, for det er netop den slags tab, der er sv\u00e6rest at f\u00e5 igen: n\u00e5r en statsst\u00f8ttet gruppe har n\u00f8glerne og hvidvasker via privacy-v\u00e6rkt\u00f8jer, er der hverken en s\u00e5rbar kontrakt at rette eller en modpart at forhandle med. Jo mere regningen flytter fra kode til mennesker, jo oftere lander den hos brugeren.<\/p>

Fem m\u00e5der at betale p\u00e5, og en hvor ingen g\u00f8r<\/h2>

Ser man p\u00e5 de sidste ti \u00e5rs store h\u00e6ndelser, falder de m\u00e5der, tab bliver d\u00e6kket p\u00e5, i en h\u00e5ndfuld kategorier. Hver har sin egen logik for, hvem der ender med at holde regningen, og hvor stor en del af tabet der reelt bliver d\u00e6kket. De er ikke gensidigt udelukkende (et forl\u00f8b kan kombinere en dus\u00f8r med et kapitalindskud), men de udg\u00f8r et brugbart landkort.<\/p>

Betalingsmodel<\/th>Hvem betaler<\/th>Eksempler<\/th>Typisk d\u00e6kning<\/th><\/tr><\/thead>
Selskabs- eller bagmandsd\u00e6kning<\/td>B\u00f8rsen, udstederen eller en stor investor<\/td>Bybit, Trust Wallet, Wormhole<\/td>Ofte fuld<\/td><\/tr>
Frisk kapitalindskud<\/td>Nye investorer plus selskabets kasse<\/td>Ronin \/ Sky Mavis<\/td>Fuld, men langsom<\/td><\/tr>
DAO-afstemning<\/td>Protokollens f\u00e6lleskasse (token-holdere)<\/td>Curve, Balancer, CoW DAO<\/td>Delvis til fuld<\/td><\/tr>
Forhandlet tilbagebetaling<\/td>Angriberen selv, mod en dus\u00f8r<\/td>Euler, Poly Network<\/td>N\u00e6sten fuld, hvis den lykkes<\/td><\/tr>
On-chain forsikring<\/td>En forsikringspulje af fremmede<\/td>Nexus Mutual, OpenCover<\/td>Lille og sj\u00e6lden<\/td><\/tr>
Ingen<\/td>Brugerne selv<\/td>Terra, Multichain, Coldcard<\/td>Nul<\/td><\/tr><\/tbody><\/table><\/figure>

Bem\u00e6rk, at kun den sidste r\u00e6kke er en rigtig standardtilstand. De \u00f8vrige fem kr\u00e6ver, at nogen aktivt beslutter at betale, og at de har midlerne til det. Fjern beslutningen eller pengene, og man ender i den sjette r\u00e6kke uanset hvor p\u00e6n obduktionen er.<\/p>

N\u00e5r firmaet \u00e6der tabet<\/h2>

Den reneste form for d\u00e6kning er, at selskabet bag simpelthen betaler af egen kasse. Det foruds\u00e6tter to ting: en juridisk enhed med en balance, og et omd\u00f8mme, der er mere v\u00e6rd end tabet. Centraliserede b\u00f8rser har typisk begge dele, og derfor er det oftest her, brugerne bliver holdt fuldst\u00e6ndig skadesl\u00f8se.<\/p>

Det tydeligste eksempel er ogs\u00e5 det st\u00f8rste tyveri i kryptoens historie. Da Bybit i februar 2025 mistede omkring 1,5 milliarder dollar<\/a> (~9,7 mia. kr) til den nordkoreanske Lazarus-gruppe, valgte administrerende direkt\u00f8r Ben Zhou en radikal \u00e5benhed. Han meldte klart ud, at b\u00f8rsen var solvent og ville d\u00e6kke alle krav, og at Bybits reaktion f\u00f8rst og fremmest handlede om at bevare gennemsigtighed og bruge kommunikation til at fjerne kundernes tvivl. Bel\u00f8bet blev d\u00e6kket via en kombination af egenkapital og et brol\u00e5n, uden at almindelige brugere mistede en krone, og b\u00f8rsen offentliggjorde tidligt de tekniske forensiske rapporter fra Sygnia og Verichains. Oven i d\u00e6kningen udlovede Bybit en dus\u00f8r p\u00e5 op til omkring 140 millioner dollar<\/a> (~900 mio. kr) til alle, der kunne hj\u00e6lpe med at fryse eller spore de stj\u00e5lne midler, en p\u00e5mindelse om, at selv en fuld erstatning ikke stopper jagten p\u00e5 pengene.<\/p>

Trust Wallet-sagen fulgte samme m\u00f8nster i mindre skala. Angrebet var ikke en fejl i en smart kontrakt, men en kompromitteret Chrome-udvidelse: en l\u00e6kket API-n\u00f8gle til Chrome Web Store lod angriberne udgive en ondsindet opdatering, der h\u00f8stede brugernes seed-s\u00e6tninger, og cirka 7 millioner dollar (~45 mio. kr) forsvandt. Changpeng Zhao bekr\u00e6ftede offentligt, at moderselskabet ville d\u00e6kke alle ramte, og der blev \u00e5bnet en formel erstatningsproces. En variant af samme historie udspillede sig hos betalingskortudstederen Gnosis Pay, der i sommeren 2026 tabte omkring 1,5 millioner dollar (~9,7 mio. kr) til en sovende signaturfejl. Selskabet tog hele tabet p\u00e5 sig, og 100 procent af kundernes midler blev genoprettet<\/a>, mens de patchede moduler blev sendt til fornyet audit.<\/p>

En besl\u00e6gtet undertype er bagmandsd\u00e6kning, hvor det ikke er protokollen selv, men en stor investor, der tr\u00e6der til. Da Wormhole-broen i februar 2022 mistede 320 millioner dollar<\/a> (~2,1 mia. kr) til en signaturfejl, erstattede handelshuset Jump Crypto hele bel\u00f8bet inden for cirka et d\u00f8gn for at holde det tilknyttede stablecoin solvent. Et \u00e5r senere klemte Jump og Oasis yderligere 225 millioner dollar<\/a> (~1,5 mia. kr) tilbage fra angriberens egne \u00e5bne DeFi-positioner via en kendelse fra en engelsk domstol. F\u00e6lles for alle disse sager er, at der stod en velkapitaliseret enhed bag med en \u00e5benlys interesse i at bevare tilliden.<\/p>

Ronin og det store kapitalindskud<\/h2>

Nogle gange har selskabet viljen til at betale, men ikke pengene p\u00e5 kontoen. S\u00e5 bliver l\u00f8sningen at rejse frisk kapital, og det er en langsommere, mere usikker vej til at holde brugerne skadesl\u00f8se. Den klassiske case er Ronin, gaming-broen bag Axie Infinity.<\/p>

I marts 2022 kompromitterede angribere, senere tilskrevet Lazarus, et flertal af Ronins validatorer og trak omkring 625 millioner dollar (~4 mia. kr) ud, et tab der ikke engang blev opdaget i n\u00e6sten en uge. Sky Mavis, selskabet bag, havde ikke selv midlerne til at d\u00e6kke hullet. L\u00f8sningen blev en kapitalrunde p\u00e5 150 millioner dollar<\/a> anf\u00f8rt af Binance, kombineret med selskabets egen kasse. COO Aleksander Larsen slog fast, at holdet var fuldt forpligtet til at erstatte spillerne hurtigst muligt, og broen gen\u00e5bnede i juni 2022, da de udest\u00e5ende bruger-ejede midler var fyldt op igen.<\/p>

Modellen virker, men den flytter en del af risikoen over p\u00e5 timing. Mellem hacket og genopfyldningen sad brugerne med indefrosne midler og ingen garanti for, at kapitalrunden faktisk ville lykkes. At Ronin i dag stadig er en aktiv gaming-k\u00e6de, skyldes lige s\u00e5 meget, at investorer var villige til at skyde penge ind i en netop hacket protokol, som at koden blev rettet. Havde markedet v\u00e6ret koldere, kunne den samme h\u00e6ndelse have endt i den sjette tabel-r\u00e6kke.<\/p>

N\u00e5r DAO’en stemmer om erstatning<\/h2>

I decentrale protokoller findes der ofte ingen bestyrelse med en balance, men til geng\u00e6ld en f\u00e6lleskasse styret af token-holdere. S\u00e5 bliver erstatning et sp\u00f8rgsm\u00e5l om en afstemning: skal protokollens egen kasse bruges til at g\u00f8re ofrene hele, og i givet fald hvor meget? Det er en genuint politisk proces, og den professionaliserede klasse af delegerede, som vi har beskrevet i portr\u00e6ttet af delegatklassen, hvor f\u00e6llesskabsstyring blev et l\u00f8narbejde<\/a>, er ofte dem, der reelt afg\u00f8r udfaldet.<\/p>

Curve Finance er et l\u00e6rebogseksempel. Efter et angreb i juli 2023, der udnyttede en fejl i Vyper-compileren og kostede mellem 50 og 70 millioner dollar (~325 til 450 mio. kr), vedtog protokollens styring en erstatningsplan p\u00e5 71.768.597 CRV<\/a> fra f\u00e6lleskassen, udbetalt over et \u00e5r. Dertil kom, at en af angriberne frivilligt returnerede omkring 12,7 millioner dollar. D\u00e6kningen blev delvis, og den blev betalt i protokollens egen token, hvilket knyttede ofrenes godtg\u00f8relse til CRV-kursens videre sk\u00e6bne.<\/p>

Balancer viser, hvor lidt en DAO-afstemning nogle gange r\u00e6kker. Da Balancer v2 i november 2025 tabte omkring 128 millioner dollar (~830 mio. kr) til en afrundingsfejl i sine stabile puljer, lykkedes det whitehats og interne sikkerhedshold at inddrive knap 28 millioner dollar (~180 mio. kr). Ud af det vedtog Balancer-styringen en erstatningsplan p\u00e5 8 millioner dollar<\/a> (~52 mio. kr), fordelt in natura og pro rata efter beholdningerne f\u00f8r hacket, med et krav-vindue p\u00e5 180 dage. Det svarer til cirka 6 procent af det stj\u00e5lne. Resten faldt p\u00e5 de likviditetsudbydere, hvis puljer blev ramt, i en bevidst ikke-socialiseret struktur, hvor tabet ikke blev spredt ud over hele protokollen.<\/p>

Den mest principielle variant kom fra CoW DAO. Da dom\u00e6net cow.fi i april 2026 blev kapret og f\u00f8rte brugere til en phishing-side, der kostede dem omkring 1,2 millioner dollar (~7,8 mio. kr), var selve protokollen aldrig blevet hacket. Alligevel vedtog f\u00e6llesskabet forslaget CIP-86<\/a>, der gav sk\u00f8nsm\u00e6ssig erstatning p\u00e5 op til 100 procent fra kassen med frist for krav den 14. maj. CoW DAO understregede udtrykkeligt, at betalingen var frivillig og ikke en indr\u00f8mmelse af, at protokollen selv var blevet hacket; holdet formulerede det som, at selv om protokollen ikke blev brudt, kom brugerne til skade, og det var grund nok. Det er den reneste illustration af pointen: her betalte nogen, ikke fordi de skulle, men fordi de mente, tilliden var det v\u00e6rd.<\/p>

Angriberen der betaler tilbage<\/h2>

En af kryptoens mest s\u00e6regne betalingsmodeller er, at pengene kommer tilbage fra tyven selv. Det lyder absurd, men det har en kold logik: hvis en angriber kan beholde en lovlig dus\u00f8r p\u00e5 typisk op til 10 procent og til geng\u00e6ld slippe for retsforf\u00f8lgelse, kan det bedre betale sig at returnere resten end at fors\u00f8ge at hvidvaske det hele.<\/p>

Euler Finance er guldstandarden. Efter et flash-l\u00e5n-angreb i marts 2023 p\u00e5 omkring 197 millioner dollar (~1,3 mia. kr) indledte holdet en offentlig on-chain-forhandling, og angriberen sendte til sidst en besked med ordene om ingen hensigt om at beholde noget, der ikke var deres, hvorefter stort set alle midlerne blev returneret<\/a> mod en dus\u00f8r. Poly Network-sagen var endnu st\u00f8rre: i august 2021 blev omkring 611 millioner dollar<\/a> (~3,9 mia. kr) taget og n\u00e6sten alt sammen givet tilbage, mens angriberen afviste b\u00e5de en tilbudt dus\u00f8r og en stilling som sikkerhedsr\u00e5dgiver.<\/p>

Modellen har to h\u00e5rde begr\u00e6nsninger. Den virker kun, hvis angriberen er sporbar og forhandlingsvillig, og den virker ikke mod statsst\u00f8ttede grupper. Da Lazarus stod bag KelpDAO-tabet p\u00e5 omkring 292 millioner dollar (~1,9 mia. kr) i april 2026, var der ingen at forhandle med; pengene gik mod Nordkorea og kom aldrig tilbage. Og selv n\u00e5r en forhandling lykkes, flytter den ikke n\u00f8dvendigvis sagen ud af retssystemet: hvad der starter som en venskabelig on-chain-aftale, kan ende som en straffesag \u00e5r senere, hvilket er hele emnet for artiklen om, hvordan man g\u00e5r fra DAO-afstemning til domstol<\/a>. Dus\u00f8ren l\u00f8ser det \u00f8konomiske sp\u00f8rgsm\u00e5l, ikke n\u00f8dvendigvis det juridiske.<\/p>

Forsikringen der n\u00e6sten ikke findes<\/h2>

I teorien burde det v\u00e6re forsikring, der l\u00f8ser hvem-betaler-sp\u00f8rgsm\u00e5let. Man betaler en pr\u00e6mie, og hvis protokollen bliver hacket, udbetaler en pulje erstatning. On-chain forsikring findes, med Nexus Mutual som den klart st\u00f8rste akt\u00f8r, men i praksis er markedet s\u00e5 lille, at det n\u00e6sten ikke t\u00e6ller i det store regnskab.<\/p>

Nexus Mutual reklamerer med at beskytte i omegnen af 6 milliarder dollar i DeFi-aktiver, men den faktiske kapitalpulje er if\u00f8lge en gennemgang af markedet<\/a> kun omkring 81,56 millioner dollar (~530 mio. kr), svarende til cirka 85 procent af hele DeFi-forsikringskategorien. Over syv \u00e5r, fra 2019 til 2026, har mutualet udbetalt cirka 18,6 millioner dollar (~120 mio. kr) i alt. Til sammenligning var KelpDAO-tabet alene 16 gange st\u00f8rre end alle historiske udbetalinger tilsammen. Konkurrenterne er skrumpet endnu mere: InsurAce faldt fra et toppunkt p\u00e5 150 millioner dollar til 132.000, og Sherlock fra 60 millioner til godt en halv million p\u00e5 et \u00e5r.<\/p>

Grunden til, at s\u00e5 f\u00e5 k\u00f8ber d\u00e6kning, er banal: pr\u00e6mierne \u00e6der afkastet. En analyse af priserne viser, at et Aave V3-afkast omkring 3,14 procent skrumper til under to procent, n\u00e5r man tr\u00e6kker en forsikringspr\u00e6mie p\u00e5 1,5 til 2,5 procent fra, og at en position i Maple Finance kan ende med negativt afkast efter forsikring. N\u00e5r d\u00e6kning betyder, at man tjener nul, v\u00e6lger de fleste rationelle brugere den fra og h\u00e5ber, at det ikke rammer dem. De udbetalinger, der faktisk sker, er sm\u00e5 og langsomme: Nexus Mutual og partneren OpenCover behandlede for eksempel et krav p\u00e5 omkring 250.000 dollar<\/a> efter Arcadia Finance-angrebet, typisk inden for to til seks dage. Nyttigt for den enkelte, men en dr\u00e5be i havet mod de 972 millioner dollar (~6,3 mia. kr), sektoren tabte i samme halv\u00e5r. V\u00e6rre endnu er selve konstruktionens skr\u00f8belighed: en samlet kapitalpulje p\u00e5 nogle hundrede millioner dollar kan i sig selv blive t\u00f8mt af et enkelt stort angreb, s\u00e5 forsikringen ville svigte netop, n\u00e5r den skulle bruges mest. Regulerede alternativer som Chainproof, der udspringer af auditfirmaet Quantstamp, fors\u00f8ger at lukke hullet med mere traditionelle policer, men d\u00e6kker forel\u00f8big kun en forsvindende del af markedet.<\/p>

N\u00e5r ingen betaler<\/h2>

Standardtilstanden, n\u00e5r ingen af de fem modeller udl\u00f8ses, er, at brugerne selv b\u00e6rer hele tabet. Det sker oftere, end kulturen omkring de smukke obduktioner lader ane, og det sker af tre grunde: der er ingen kasse, der er intet hold tilbage, eller der er ingen enkelt ansvarlig at rette kravet mod.<\/p>

Terra er den mest ikoniske sag om intet-er-tilbage. Kollapset i maj 2022 udslettede et af de st\u00f8rste formuetab i kryptoens historie, og der kom aldrig nogen erstatning; grundl\u00e6ggeren Do Kwon blev i december 2025 id\u00f8mt 15 \u00e5rs f\u00e6ngsel<\/a>, men det gav ikke indehaverne deres penge igen. Multichain er den m\u00f8rkeste variant: da omkring 265 millioner dollar (~1,7 mia. kr) forlod broen i juli 2023, var direkt\u00f8ren allerede anholdt i Kina, og der var bogstaveligt talt intet hold tilbage til at skrive en obduktion<\/a>, endsige betale. Nomad, hvor omkring 190 millioner dollar (~1,2 mia. kr) blev plyndret i august 2022 af hundredvis af tilf\u00e6ldige adresser, fik kun cirka en femtedel tilbage via en dus\u00f8r; resten forsvandt.<\/p>

Coldcard er den nyeste og mest l\u00e6rerige. Fejlen var en svag tilf\u00e6ldighedsgenerator i firmwaren, der havde ligget sovende siden 2021, og tabet passerede 130 millioner dollar (~840 mio. kr). Her br\u00f8d alle antagelser sammen p\u00e5 \u00e9n gang: der var ingen DAO, ingen token, ingen kasse, producenten Coinkite var for lille til at st\u00e5 inde for bel\u00f8bet, og der var ikke \u00e9n angriber, men et dusin uafh\u00e6ngige grupper, der kappedes om de samme s\u00e5rbare adresser. V\u00e6rre endnu: en patch af firmwaren g\u00f8r ikke en allerede genereret n\u00f8gle sikker igen, s\u00e5 der findes ingen afsluttende begivenhed og intet fast slutbel\u00f8b, kun en l\u00f8bende migreringspligt for hver enkelt ejer. Det er en p\u00e5mindelse om, at n\u00e5r man ejer krypto uden en modpart, ejer man ogs\u00e5 risikoen; det er den samme grundpr\u00e6mis, der g\u00f8r, at Bitcoin stadig er et v\u00e6ddem\u00e5l og ikke et garanteret reserveaktiv<\/a>.<\/p>

Ofte er der slet ikke tale om \u00e9t spektakul\u00e6rt tab, men om stille d\u00f8d i stor skala. En opt\u00e6lling fra 2026 pegede p\u00e5, at mere end 40 DeFi-protokoller lukkede ned<\/a> i k\u00f8lvandet p\u00e5 en b\u00f8lge af hacks, oftest uden nogen erstatning til de tilbagev\u00e6rende brugere. Og selv n\u00e5r nogen fors\u00f8ger at fremtvinge betaling udefra, g\u00e5r det tr\u00e6gt: i USA fik forbrugermyndigheden FTC i slutningen af 2025 Nomads moderselskab til at aflevere<\/a> de resterende genfundne midler og indf\u00f8re et sikkerhedsprogram, et sj\u00e6ldent eksempel p\u00e5, at en myndighed pressede p\u00e5 for godtg\u00f8relse, men et der straks m\u00f8dte protester fra brancheorganisationer, fordi det p\u00e5lagde en decentral protokol centraliseret kontrol.<\/p>

Kl\u00f8ften mellem b\u00f8rs og protokol<\/h2>

Hvis man l\u00e6gger alle sagerne ved siden af hinanden, tegner der sig en klar skillelinje, og den f\u00f8lger ikke st\u00f8rrelsen p\u00e5 tabet. Den f\u00f8lger, om der stod en centraliseret virksomhed bag eller ej. Bybit tabte tusind gange mere end Gnosis Pay, men begge d\u00e6kkede fuldt ud, fordi begge var selskaber med en balance og et omd\u00f8mme. Coldcard-ejere og Terra-indehavere fik intet, ikke fordi deres tab var mindre, men fordi der ingen modpart var.<\/p>

Det er den ubehagelige sandhed under selvforvaringens ideal. En centraliseret b\u00f8rs er et enkelt angrebspunkt, men den er ogs\u00e5 en enkelt betaler: der er nogen at holde ansvarlig, nogen med penge, nogen der frygter for sit brand. En decentral protokol fjerner det enkelte angrebspunkt, men fjerner samtidig den enkelte betaler. Hvem der b\u00e6rer risikoen, bliver dermed en del af den bredere diskussion om, hvordan krypto overhovedet passer ind i en portef\u00f8lje, som vi tog op i gennemgangen af, om Bitcoin f\u00f8lger K\u00f8benhavn eller Wall Street<\/a>. Decentralisering flytter ikke bare kontrol, den flytter ogs\u00e5 regningen, som regel over p\u00e5 brugeren.<\/p>

MiCA, Finanstilsynet og den manglende garanti<\/h2>

For en dansk investor er det her, det bliver konkret. Har du penge i banken, st\u00e5r Garantiformuen under Finansiel Stabilitet bag: bankindskud er d\u00e6kket op til 100.000 euro<\/a>, omkring 745.000 kr, per kunde per pengeinstitut, hvis banken g\u00e5r konkurs. Det er en garanti, der er betalt for p\u00e5 forh\u00e5nd og udl\u00f8ses automatisk. For kryptoaktiver findes der intet tilsvarende. Krypto hos en udbyder er ikke et bankindskud, og ingen garantifond st\u00e5r bag.<\/p>

Det betyder ikke, at der ingen beskyttelse er. Under EU-forordningen MiCA, som Finanstilsynet f\u00f8rer tilsyn med i Danmark<\/a>, og hvor reglerne for udbydere har v\u00e6ret g\u00e6ldende siden slutningen af 2024, skal en registreret udbyder af kryptotjenester adskille og beskytte kundernes aktiver, og du har en klagevej og et krav mod virksomheden, hvis den svigter. Men et krav mod et selskab er ikke det samme som en garanti: g\u00e5r udbyderen konkurs, er der ingen fond, der tr\u00e6der til p\u00e5 samme m\u00e5de som ved bankindskud. Og det g\u00e6lder kun de centraliserede udbydere. Fuldt decentrale protokoller falder uden for MiCA<\/a>, som er skrevet til virksomheder med en identificerbar ansvarlig, og de s\u00e6rlige DeFi-regler ventes f\u00f8rst i 2027 eller 2028.<\/p>

Der findes en indberetningspligt, men den handler om tilsyn, ikke om erstatning. Under DORA, i kraft siden januar 2025, skal en reguleret udbyder indberette alvorlige IT-h\u00e6ndelser<\/a> til myndighederne, med en f\u00f8rste melding inden for f\u00e5 timer, en mellemrapport efter 72 timer og en slutrapport efter en m\u00e5ned. Det g\u00f8r myndighederne klogere og kan udl\u00f8se tilsynssager, men det sender ikke en krone tilbage til den ramte kunde. Kort sagt: for en centraliseret dansk kunde er der en klagevej men ingen garantifond, og for en DeFi-bruger er der hverken det ene eller det andet.<\/p>

Regningen i danske kroner<\/h2>

Tallene bliver mere h\u00e5ndgribelige, n\u00e5r de omregnes til kroner. Med en dollarkurs omkring 6,46 i midten af august 2026 og en bitcoin-pris p\u00e5 cirka 64.500 dollar, svarende til omtrent 417.000 kr, ser fordelingen af de store regninger s\u00e5dan ud. Kolonnen l\u00e6ngst til h\u00f8jre er den, der betyder mest for den enkelte: blev brugerne holdt skadesl\u00f8se eller ej?<\/p>

H\u00e6ndelse (\u00e5r)<\/th>Tab (USD)<\/th>Tab (ca. kr)<\/th>Hvem betalte<\/th>Brugerne skadesl\u00f8se?<\/th><\/tr><\/thead>
Bybit (2025)<\/td>~1,5 mia.<\/td>~9,7 mia.<\/td>B\u00f8rsen (egenkapital)<\/td>Ja<\/td><\/tr>
Ronin \/ Sky Mavis (2022)<\/td>~625 mio.<\/td>~4,0 mia.<\/td>Kapitalindskud + kasse<\/td>Ja<\/td><\/tr>
Wormhole (2022)<\/td>~320 mio.<\/td>~2,1 mia.<\/td>Jump Crypto (bagmand)<\/td>Ja<\/td><\/tr>
Euler (2023)<\/td>~197 mio.<\/td>~1,3 mia.<\/td>Angriberen (dus\u00f8r)<\/td>Stort set<\/td><\/tr>
Curve (2023)<\/td>~50-70 mio.<\/td>~325-450 mio.<\/td>DAO-kasse (CRV)<\/td>Delvis<\/td><\/tr>
Balancer (2025)<\/td>~128 mio.<\/td>~830 mio.<\/td>DAO (af genfundne midler)<\/td>~6 %<\/td><\/tr>
Gnosis Pay (2026)<\/td>~1,5 mio.<\/td>~9,7 mio.<\/td>Selskabet<\/td>Ja (100 %)<\/td><\/tr>
Trust Wallet (2025)<\/td>~7 mio.<\/td>~45 mio.<\/td>Moderselskabet<\/td>Ja<\/td><\/tr>
KelpDAO (2026)<\/td>~292 mio.<\/td>~1,9 mia.<\/td>Ingen (Lazarus)<\/td>Nej<\/td><\/tr>
Terra \/ LUNA (2022)<\/td>tocifret mia.-bel\u00f8b<\/td>hundredvis af mia.<\/td>Ingen<\/td>Nej<\/td><\/tr>
Coldcard (2026)<\/td>>130 mio.<\/td>>840 mio.<\/td>Ingen (producent uden kasse)<\/td>Nej<\/td><\/tr><\/tbody><\/table><\/figure>

M\u00f8nsteret springer i \u00f8jnene. Hver eneste gang svaret er ja, st\u00e5r der en virksomhed eller en stor investor i kolonnen ved siden af. Hver eneste gang svaret er nej, st\u00e5r der ingen. Bel\u00f8bets st\u00f8rrelse afg\u00f8r ikke udfaldet; tilstedev\u00e6relsen af en betaler g\u00f8r.<\/p>

SecondFi og erstatningens logistik<\/h2>

Selv n\u00e5r nogen beslutter at betale, er selve udbetalingen et projekt. At g\u00f8re tusindvis af anonyme tegneb\u00f8ger hele igen er en logistisk \u00f8velse, der kan tage m\u00e5neder, og hvordan den h\u00e5ndteres, afg\u00f8r ofte, hvor mange der reelt f\u00e5r noget.<\/p>

SecondFi-sagen fra sommeren 2026 illustrerer det godt. Efter at en s\u00e5rbarhed i en Android-app havde kostet 374 tegneb\u00f8ger omkring 16,1 millioner ADA, i st\u00f8rrelsesordenen 2,5 millioner dollar (~16 mio. kr), lagde holdet en tretrins-plan<\/a> frem: f\u00f8rst et krav-modul i appen, dern\u00e6st et migreringsv\u00e6rkt\u00f8j til at flytte aktiver til brugervalgte wallets, og til sidst en refusionsportal bygget p\u00e5 zero-knowledge-beviser, s\u00e5 man kan h\u00e6ve erstatning uden at afsl\u00f8re sin private n\u00f8gle. Balancer kr\u00e6vede tilsvarende, at ramte likviditetsudbydere selv gjorde krav g\u00e6ldende inden for et vindue p\u00e5 180 dage, og CoW DAO satte frist for krav med efterf\u00f8lgende KYC-tjek.<\/p>

Detaljerne er ikke ligegyldige. En kort frist, et krav om KYC eller en udbetaling i protokollens egen token frem for kontanter kan betyde, at en formel d\u00e6kning p\u00e5 papiret bliver til en langt mindre reel d\u00e6kning i praksis. En bruger, der ikke opdager erstatningsrunden i tide, ikke vil aflevere identitetspapirer, eller ikke kan navigere et migreringsv\u00e6rkt\u00f8j, ender med intet, selv n\u00e5r protokollen officielt har betalt. Erstatning er ikke kun et sp\u00f8rgsm\u00e5l om vilje og penge, men ogs\u00e5 om, hvor godt maskineriet omkring udbetalingen er bygget.<\/p>

Hvad et godt erstatningsforl\u00f8b ser ud til<\/h2>

P\u00e5 tv\u00e6rs af de gode sager tegner der sig et m\u00f8nster for, hvad der virker. De bedste forl\u00f8b deler nogle f\u00e5 egenskaber, og de d\u00e5rlige mangler dem n\u00e6sten altid.<\/p>

  • Hastighed: Jump d\u00e6kkede Wormhole p\u00e5 et d\u00f8gn, Gnosis Pay genoprettede stort set alt inden for uger. Jo l\u00e6ngere der g\u00e5r, jo flere brugere giver op eller s\u00e6lger i panik.<\/li>
  • Gennemsigtighed: Bybit offentliggjorde forensiske rapporter og en l\u00f8bende status. Uklarhed om, hvem der f\u00e5r hvad og hvorn\u00e5r, er i sig selv et tab af tillid.<\/li>
  • Brugerne f\u00f8rst: de st\u00e6rkeste udfald d\u00e6kkede almindelige indskydere fuldt ud, f\u00f8r de bekymrede sig om at g\u00f8re kassen hel igen.<\/li>
  • Klare vilk\u00e5r: et defineret krav-vindue, en fornuftig frist og en fordeling in natura pro rata, som hos Balancer og SecondFi, er bedre end vage l\u00f8fter.<\/li>
  • Ingen overraskelser: pludselige KYC-krav eller udbetaling i en illikvid token undergraver en ellers god plan.<\/li><\/ul>

    Anti-modellen er lige s\u00e5 genkendelig: tavshed, en delvis d\u00e6kning uden forklaring, eller en obduktion der er teknisk perfekt, men aldrig n\u00e6vner ordet erstatning. N\u00e5r et hold bruger flere ord p\u00e5 at placere skylden hos brugeren end p\u00e5 at beskrive, hvordan de vil g\u00f8re tabet godt, er det som regel et varsel om, at regningen ender hos ofrene.<\/p>

    Regningen er et kulturelt valg<\/h2>

    Kryptoens post-mortem-kultur er blevet rost, med rette, som en af de mest \u00e6rlige ting branchen g\u00f8r. Men \u00e6rligheden stopper ofte lige f\u00f8r det tal, der betyder mest. Obduktionen fort\u00e6ller, hvad der gik galt. Den fort\u00e6ller sj\u00e6ldent, hvem der samler regningen op, for i mods\u00e6tning til rod\u00e5rsagen er det ikke en teknisk kendsgerning, man kan grave frem af blockchainen. Det er et valg.<\/p>

    Og valget f\u00f8lger et m\u00f8nster, der burde forme, hvordan man som dansk investor t\u00e6nker om risiko. Der bliver betalt, n\u00e5r der findes en modpart med kapital og et omd\u00f8mme at forsvare, og der bliver ikke betalt, n\u00e5r der ikke g\u00f8r. Ingen forordning, ingen garantifond og ingen forsikring i n\u00e6vnev\u00e6rdig skala \u00e6ndrer p\u00e5 det billede endnu. Den praktiske konsekvens er ubehagelig, men enkel: antag, at du er din egen garant. Spred dine beholdninger, hold kun handelsbel\u00f8b p\u00e5 en b\u00f8rs, brug verificeret hardware med en uafh\u00e6ngig backup, og l\u00e6s en protokols kasse og historik lige s\u00e5 n\u00f8je som dens afkast. For n\u00e5r regningen efter det n\u00e6ste hack lander, afg\u00f8res det ikke af, hvor god obduktionen er, men af, om der overhovedet st\u00e5r nogen p\u00e5 den anden side, der har besluttet at betale.<\/p>

    Ofte stillede sp\u00f8rgsm\u00e5l<\/h2>

    F\u00e5r jeg mine penge igen, hvis et kryptoprotokol bliver hacket?<\/h3>

    Det afh\u00e6nger helt af, hvem der stod bag. Centraliserede b\u00f8rser med egenkapital og et omd\u00f8mme at beskytte, som Bybit og Trust Wallet, d\u00e6kker ofte tabet fuldt ud, mens decentrale protokoller uden en juridisk enhed kun betaler, hvis en DAO stemmer for det, eller en angriber returnerer midlerne frivilligt. Der findes ingen garanti, og udfaldet afg\u00f8res fra sag til sag.<\/p>

    D\u00e6kker Finanstilsynet eller en indskydergaranti min krypto?<\/h3>

    Nej. Garantiformuen d\u00e6kker bankindskud op til 100.000 euro, omkring 745.000 kr, men kryptoaktiver hos en udbyder er ikke bankindskud og er ikke omfattet. MiCA giver dig et krav mod en registreret udbyder og en klagevej via Finanstilsynet, men ingen fond st\u00e5r bag p\u00e5 samme m\u00e5de som ved bankindskud, og fuldt decentral DeFi falder helt uden for reglerne indtil videre.<\/p>

    Hvad er on-chain forsikring, og virker det?<\/h3>

    On-chain forsikring, for eksempel Nexus Mutual, lader dig k\u00f8be d\u00e6kning mod hacks fra en f\u00e6lles pulje. I praksis er markedet lille: den samlede kapital er nogle hundrede millioner dollar mod hundredvis af milliarder i DeFi, og pr\u00e6mierne \u00e6der ofte hele afkastet, s\u00e5 de f\u00e6rreste k\u00f8ber det. De historiske udbetalinger er sm\u00e5 sammenlignet med de st\u00f8rste hacks.<\/p>

    Hvorfor betaler nogle angribere pengene tilbage?<\/h3>

    Fordi de kan beholde en lovlig dus\u00f8r, typisk op til 10 procent, og undg\u00e5 retsforf\u00f8lgelse ved at returnere resten. Euler og Poly Network er de kendteste eksempler. Modellen virker kun, n\u00e5r angriberen er sporbar og forhandlingsvillig; er det en statsst\u00f8ttet gruppe som Lazarus, er der ingen at forhandle med.<\/p>

    Hvad kan jeg selv g\u00f8re for ikke at st\u00e5 med tabet?<\/h3>

    Antag, at du er din egen garant. Spred dine beholdninger, brug selvforvaring med verificeret hardware og en uafh\u00e6ngig backup, hold kun handelsbel\u00f8b p\u00e5 b\u00f8rser, og l\u00e6s om en protokols historik og kasse, f\u00f8r du deponerer. Husk, at et gennemf\u00f8rt audit ikke er en forsikring, og at erstatning efter et hack er en beslutning, ikke en rettighed.<\/p>