{"id":329,"date":"2026-08-31T12:56:04","date_gmt":"2026-08-31T12:56:04","guid":{"rendered":"https:\/\/hoge.gg\/dk\/hvem-efterforsker-et-kryptohack-2026\/"},"modified":"2026-08-31T12:56:04","modified_gmt":"2026-08-31T12:56:04","slug":"hvem-efterforsker-et-kryptohack-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/dk\/hvem-efterforsker-et-kryptohack-2026\/","title":{"rendered":"Hvem efterforsker et kryptohack? Inde hos kryptos ligsynsm\u00e6nd"},"content":{"rendered":"

Om morgenen den 30. juli 2026 v\u00e5gnede tusindvis af bitcoin-ejere op til tomme wallets. De havde gjort alt, som manualen foreskriver: koldt lager, en hardware wallet, selvforvaring, ingen seed phrase i skyen, intet klik p\u00e5 et mist\u00e6nkeligt link. Alligevel forsvandt omkring 1.816 BTC, dengang cirka 116 mio. dollar eller godt 748 mio. kroner, fra mere end 5.200 adresser i fire b\u00f8lger, fastslog TRM Labs<\/a> i sin obduktion af det, der blev \u00e5rets st\u00f8rste angreb p\u00e5 en hardware wallet.<\/p>

Og alligevel: i timerne efter blev der ikke sat afsp\u00e6rringsb\u00e5nd op, og ingen tilsynsf\u00f8rende fra Finanstilsynet m\u00f8dte op med et ringbind. Obduktionen blev lagt p\u00e5 nettet. TRM Labs og Galaxy Research f\u00f8rte et l\u00f8bende regnskab, mens uafh\u00e6ngige forskere sporede \u00e5rsagen tilbage til en fem \u00e5r gammel firmware-fejl, der havde f\u00e5et nogle enheder til at generere svag tilf\u00e6ldighed, s\u00e5 n\u00f8glens styrke faldt fra 128 bit til s\u00e5 lidt som 40. Ofrenes klageinstans var ikke en retssal, men en tr\u00e5d p\u00e5 internettet.<\/p>

Det er m\u00f8nstret, n\u00e5r noget d\u00f8r i krypto. Der findes ingen offentlig retsmediciner. Den obduktion, HOGE Wires l\u00e6sere efterh\u00e5nden har m\u00f8dt mange gange, den offentlige rapport, der dissekerer et kollaps, bliver skrevet af en broget skare: anonyme internetdetektiver, venturefinansierede overv\u00e5gningsfirmaer, frivillige beredskaber af whitehat-hackere og af og til de selvsamme revisorer, der overs\u00e5 fejlen. Tidligere artikler i denne serie har l\u00e6st obduktionen som en tekst. Denne handler om ligsynsm\u00e6ndene selv: hvem de er, hvem der betaler dem, og med hvilken ret de afg\u00f8r, hvad der slog patienten ihjel.<\/p>

Liget uden en retsmediciner<\/h2>

Sammenlign med den fysiske verden. Styrter et fly ned i Danmark, rykker Havarikommissionen ud, en offentlig myndighed med hjemmel til at beslagl\u00e6gge, afh\u00f8re og konkludere. D\u00f8r et menneske under mist\u00e6nkelige omst\u00e6ndigheder, tilkaldes en retsmediciner, hvis rapport har v\u00e6gt i en retssal. Krypto har intet tilsvarende embede. Finanstilsynet f\u00f8rer tilsyn med kryptovirksomheder (CASP’er) under MiCA, som har v\u00e6ret g\u00e6ldende for udbydere siden 30. december 2024, men tilsynet er ikke en efterforskningsenhed. Det udsteder licenser og sanktioner; det sporer ikke stj\u00e5len ETH klokken tre om natten.<\/p>

Derfor har genren et blindt punkt, som de foreg\u00e5ende artikler sk\u00f8jtede henover: rapporten har en forfatter, og forfatteren har intet skilt. Nekrologsiden rekt.news<\/a> f\u00f8rer sit leaderboard som en slags kollektiv hukommelse, en hall of shame, men et leaderboard efterforsker ikke; det kuraterer. Selve ligsynet, den tekniske afg\u00f8relse af d\u00f8ds\u00e5rsagen, udf\u00f8res af fire slags akt\u00f8rer, som resten af denne artikel portr\u00e6tterer hver for sig.<\/p>

Type<\/th>Typisk akt\u00f8r<\/th>Hvem betaler<\/th>Prim\u00e6r rolle<\/th><\/tr><\/thead>
Den anonyme detektiv<\/td>ZachXBT<\/td>Dus\u00f8rer, donationer, ry<\/td>Attribution og sporing i realtid<\/td><\/tr>
Overv\u00e5gningsfirmaet<\/td>TRM Labs, Chainalysis, Elliptic<\/td>Stater, b\u00f8rser, tilsyn (abonnement)<\/td>Retssalsklar dokumentation<\/td><\/tr>
Det frivillige beredskab<\/td>SEAL 911, samczsun<\/td>Nonprofit-donationer<\/td>Redning af midler under aktivt angreb<\/td><\/tr>
Den kompromitterede revisor<\/td>Trail of Bits, Halborn<\/td>Betalt f\u00f8r h\u00e6ndelsen<\/td>Teknisk root cause, ofte om egen kode<\/td><\/tr><\/tbody><\/table><\/figure>

Den anonyme detektiv: ZachXBT og enmandsefterforskningen<\/h2>

Den mest indflydelsesrige ligsynsmand i krypto er en mand uden ansigt. ZachXBT, et pseudonym, arbejder alene og offentligt, som regel p\u00e5 X, og hans rapporter bev\u00e6ger b\u00e5de markeder og myndigheder. Da Bybit i februar 2025 mistede omkring 1,5 mia. dollar (cirka 9,7 mia. kroner) i det st\u00f8rste kryptotyveri nogensinde, var det ZachXBT, der dagen efter fremlagde det, som flere sikkerhedsmedier<\/a> kaldte afg\u00f8rende bevis for, at Nordkoreas Lazarus-gruppe stod bag. Analysefirmaet Arkham udbetalte ham en dus\u00f8r for attributionen.<\/p>

Hastighed er hele pointen. If\u00f8lge medinvestigator Nick Bax gennemgik ZachXBT manuelt omkring 500 transaktioner p\u00e5 cirka 12 timer, et output, der lader ham udgive trov\u00e6rdige attributioner, mens de stj\u00e5lne midler stadig er i bev\u00e6gelse og potentielt kan indefryses. Ved 2026 d\u00e6kker hans spor det rekordstore Bybit-tyveri, et tyveri p\u00e5 243 mio. dollar<\/a> fra Genesis-kreditorer og en r\u00e6kke sager om insiderhandel p\u00e5 store b\u00f8rser. Han har ingen ransagningskendelse og ingen politimyndighed; hans autoritet er udelukkende hans ry, og et forkert g\u00e6t ville koste ham det hele. Det er en skr\u00f8belig form for magt: den mest citerede efterforsker i branchen kan i princippet forsvinde fra nettet i morgen, og med ham arkivet.<\/p>

Da detektiven blev forhandler: Munchables og de falske udviklere<\/h2>

I marts 2024 blev Munchables, et NFT-spil p\u00e5 Ethereum-laget Blast, dr\u00e6net for omkring 62,5 mio. dollar (cirka 400 mio. kroner) i ether. Det var ikke en ren kodefejl, men en insider. Munchables havde ansat fire udviklere, der viste sig at v\u00e6re knyttet til samme akt\u00f8r, med GitHub-brugernavne som Werewolves0493; ZachXBT koblede angriberen til Nordkorea. Efter kort tids forhandling returnerede gerningsmanden alle midler<\/a> uden at kr\u00e6ve l\u00f8sepenge. Detektiven var blevet forhandler, og obduktionen forvandlede sig undervejs til en redningsaktion.<\/p>

Munchables er skoleeksemplet p\u00e5 det m\u00f8nster, der i dag optager efterforskerne mest: infiltration frem for kodefejl. I april 2026 offentliggjorde ZachXBT l\u00e6kkede data fra en intern nordkoreansk betalingsserver, der if\u00f8lge The Block<\/a> afsl\u00f8rede et netv\u00e6rk p\u00e5 omkring 390 konti, der genererede cirka 1 mio. dollar om m\u00e5neden. \u00bbI previously estimated DPRK IT workers generate multiple seven figures per month in revenue, and the data here supports that\u00ab, skrev han. Han har tidligere dokumenteret mere end 25 tilf\u00e6lde af nordkoreanske it-arbejdere, der har infiltreret kryptovirksomheder. For anatomien af, hvordan de falske udviklere overhovedet bliver ansat, har HOGE Wire beskrevet builderen der ikke fandtes<\/a>. Pointen for ligsynsmanden er ubehagelig: obduktionen begynder i dag ofte f\u00f8r forbrydelsen, i ans\u00e6ttelsesprocessen.<\/p>

Overv\u00e5gningsfirmaet: TRM, Chainalysis og forretningen bag sporingen<\/h2>

Ved siden af enmandsdetektiven st\u00e5r en industri. TRM Labs, Chainalysis og Elliptic er venturefinansierede firmaer, der s\u00e6lger sporing som et produkt med en abonnementspris, prim\u00e6rt til stater, b\u00f8rser og tilsynsmyndigheder. Deres obduktion er bygget til at overleve en krydsforh\u00f8ring, ikke bare til at g\u00e5 viralt. I sin halv\u00e5rsopg\u00f8relse opgjorde TRM Labs<\/a> tyverierne i f\u00f8rste halv\u00e5r af 2026 til omkring 972 mio. dollar (cirka 6,3 mia. kroner) fordelt p\u00e5 207 h\u00e6ndelser, hvoraf Nordkorea tegnede sig for omkring 66 procent, eller 643 mio. dollar.<\/p>

Chainalysis n\u00e5r frem til lignende billeder med en anden metode; firmaet vurderede, at Nordkorea alene stjal rekordh\u00f8je omkring 2 mia. dollar<\/a> (cirka 13 mia. kroner) i 2025. Forskellen mellem detektiven og firmaet er v\u00e6rd at holde fast i: den anonyme sleuth leverer fart og uafh\u00e6ngighed, mens firmaet leverer metode og et papirspor, en anklager kan bruge. Men firmaet har ogs\u00e5 en indbygget sp\u00e6nding, som detektiven ikke har: det s\u00e6lger ofte til begge sider af bordet, b\u00e5de til den hackede b\u00f8rs og til den myndighed, der efterforsker den, og det samme datas\u00e6t, der obducerer et tyveri, driver ogs\u00e5 salgstavlen n\u00e6ste kvartal.<\/p>

N\u00f8gler sl\u00e5r kode: hvad tallene fort\u00e6ller obducenten<\/h2>

De samme tal rummer en lektie om, hvor obduktionen skal kigge. TRM’s opg\u00f8relse viser, at smart contract-exploits udgjorde 125 af de 207 h\u00e6ndelser, alts\u00e5 flertallet, men kun en lille del af den samlede v\u00e6rdi. Omvendt stod kompromitterede n\u00f8gler, infrastruktur og drift for kun omkring 15 procent af h\u00e6ndelserne, men cirka 76 procent af de stj\u00e5lne midler. Medianen for et enkelt tyveri var omkring 219.000 dollar. N\u00f8gler sl\u00e5r kode, n\u00e5r det g\u00e6lder kroner og \u00f8re.<\/p>

CertiK n\u00e5r med sin egen metode til samme konklusion: i en opg\u00f8relse gengivet af Forbes<\/a> l\u00f8d f\u00f8rste halv\u00e5r 2026 p\u00e5 omkring 1,315 mia. dollar over 344 h\u00e6ndelser, hvor kompromitterede wallets var den dyreste kategori med mere end 444 mio. dollar (cirka 2,9 mia. kroner). Coldcard-sagen passer pr\u00e6cis ind: fejlen sad ikke i en kontrakt, men i selve genereringen af tilf\u00e6ldighed. For den moderne ligsynsmand betyder det, at obduktionen skal unders\u00f8ge det menneskelige og driftsm\u00e6ssige lag, stj\u00e5lne n\u00f8gler, social engineering, insideradgang og forsyningsk\u00e6der, ikke kun Solidity-koden. Det er derfor, den pengesporende detektiv i dag betyder lige s\u00e5 meget som den kodel\u00e6sende revisor.<\/p>

Kategori<\/th>Andel af h\u00e6ndelser<\/th>Andel af v\u00e6rdi<\/th>Fortolkning<\/th><\/tr><\/thead>
Smart contract-exploits<\/td>125 af 207<\/td>Lille del<\/td>Mange, men billige<\/td><\/tr>
N\u00f8gler, infrastruktur, drift<\/td>ca. 15 %<\/td>ca. 76 %<\/td>F\u00e5, men dyre<\/td><\/tr>
Nordkorea (Lazarus m.fl.)<\/td>delm\u00e6ngde<\/td>ca. 66 % (643 mio. USD)<\/td>Statslig akt\u00f8r dominerer v\u00e6rdien<\/td><\/tr>
Median pr. h\u00e6ndelse<\/td>–<\/td>ca. 219.000 USD<\/td>De fleste sager er sm\u00e5<\/td><\/tr><\/tbody><\/table><\/figure>

Det frivillige beredskab: SEAL 911 og krigsrummet p\u00e5 Telegram<\/h2>

Nogle ligsynsm\u00e6nd pr\u00f8ver at redde patienten, mens de obducerer. Whitehat-hackeren samczsun, sikkerhedschef hos venturefirmaet Paradigm, grundlagde Security Alliance (SEAL), hvis mest synlige tjeneste er SEAL 911<\/a>: en gratis d\u00f8gnbemandet hotline p\u00e5 Telegram, der kobler ofre for et aktivt angreb sammen med et hold p\u00e5 omkring 40 verificerede whitehat-forskere. Initiativet udsprang af Nomad-hacket<\/a>, hvor en bro blev dr\u00e6net for cirka 190 mio. dollar i august 2022. SEAL er organiseret som en nonprofit og har rejst mere end 1 mio. dollar, hvoraf Vitalik Buterin alene bidrog med 500.000.<\/p>

samczsuns motiv var et sp\u00f8rgsm\u00e5l: \u00bbhow did we get to a point where random people felt comfortable stealing money from the bridge, but white hats felt it was too risky to intervene?\u00ab Svaret blev blandt andet et juridisk v\u00e6rkt\u00f8j, Whitehat Safe Harbor, der giver whitehats lovlig d\u00e6kning til at redde midler under et aktivt angreb mod at returnere dem inden for 72 timer og beholde en dus\u00f8r p\u00e5 op til 10 procent, dog h\u00f8jst 1 mio. dollar. Uden en s\u00e5dan beskyttelse risikerer en velmenende hacker at blive behandlet som gerningsmanden; det er samme gr\u00e5zone om personligt ansvar, som HOGE Wire har beskrevet i partneren du ikke vidste du var<\/a>. Her er ligsynsmanden og ambulancen det samme hold: rapporten og redningen skrives i samme \u00e5ndedrag, og de bedste redninger sker, f\u00f8r obduktionen overhovedet kan begynde.<\/p>

Retsmedicineren der overs\u00e5 d\u00f8ds\u00e5rsagen<\/h2>

Den mest kontroversielle ligsynsmand er revisoren, der skriver obduktionen over sin egen kode. Da Balancer v2 i november 2025 blev dr\u00e6net for mere end 100 mio. dollar (cirka 645 mio. kroner) p\u00e5 ni forskellige k\u00e6der, gjorde revisionsfirmaet Trail of Bits noget us\u00e6dvanligt: det udgav en offentlig tilbageskuende analyse<\/a>, hvor det erkendte, at det allerede i en revision i oktober 2021 havde markeret den underliggende risiko som TOB-BALANCER-004, men med ubestemt alvorlighed. \u00bbAt the time of the audit, we couldn’t definitively determine whether the identified rounding behavior was exploitable in the Linear Pools as they were configured\u00ab, skrev firmaet, og tilf\u00f8jede, at afrundingsfejl bredt set ikke blev anset for en v\u00e6sentlig risiko i 2021.<\/p>

Erkendelsen rejser et ubehageligt sp\u00f8rgsm\u00e5l: n\u00e5r den, der overs\u00e5 fejlen, ogs\u00e5 skriver obduktionen, er det s\u00e5 et ligsyn eller et forsvarsskrift? Udvikleren Suhail Kakar fra TAC var skarpere. Balancer var if\u00f8lge GitHub-data revideret 11 gange af fire firmaer, heriblandt OpenZeppelin, Trail of Bits, Certora og ABDK, og selve vaulten tre gange, og alligevel blev den hacket<\/a>: \u00bbaudited by X means almost nothing. code is hard, defi is harder\u00ab, skrev han. Ingen myndighed i hverken USA eller EU akkrediterer smart contract-revisorer; der findes ingen pendant til en statsautoriseret revisor p\u00e5 dette felt. Hverken MiCA eller DORA kr\u00e6ver kodegennemgang. Ry er den eneste sanktion, og selv den rammer sk\u00e6vt: da mindre protokoller som Bunni lukkede permanent efter et angreb i 2025, fortsatte deres revisorer uanf\u00e6gtet. Patienten d\u00f8de, obducenten sendte en ny faktura.<\/p>

Firmaet der ryddede op: Sygnia, Verichains og den radikale gennemsigtighed<\/h2>

En fjerde type ligsynsmand hyres ind efter branden: de klassiske it-efterforskningsfirmaer. Da Bybit blev ramt, valgte topchef Ben Zhou radikal gennemsigtighed. Han offentliggjorde inden for f\u00e5 dage de forel\u00f8bige tekniske rapporter fra Sygnia<\/a> og Verichains og udlovede en dus\u00f8r p\u00e5 omkring 140 mio. dollar (cirka 900 mio. kroner) fordelt p\u00e5 indefrysning og sporing. Det satte en ny m\u00e5lestok for, hvor hurtigt en obduktion kan l\u00e6gges frem. \u00c5rsagen var i \u00f8vrigt en p\u00e5mindelse om n\u00f8gler-sl\u00e5r-kode-temaet: angrebet ramte ikke en kontrakt, men brugerfladen p\u00e5 et wallet-v\u00e6rkt\u00f8j via en kompromitteret forsyningsk\u00e6de.<\/p>

Halborn spiller en lignende rolle. Firmaet skrev obduktionen efter angrebet p\u00e5 Humanity Protocol i juni 2026, hvor omkring 36 mio. dollar (cirka 232 mio. kroner) forsvandt efter en kompromitteret medarbejder-laptop<\/a>, ikke en kodefejl. Valget af ligsynsmand er ogs\u00e5 et valg om \u00e5benhed: nogle teams og deres advokater v\u00e6lger tavshed for at begr\u00e6nse erstatningsansvar, mens andre offentligg\u00f8r alt. L\u00e6seren m\u00e6rker forskellen med det samme, og markedet straffer som regel tavsheden h\u00e5rdere end selve fejlen.<\/p>

Forhandlingen p\u00e5 k\u00e6den: obduktion som gidselforhandling<\/h2>

Krypto har tilf\u00f8jet \u00e9t ritual, som hverken luftfart eller retsmedicin kender: efterforskeren forhandler med gerningsmanden p\u00e5 selve k\u00e6den. Det klareste eksempel er Euler Finance, der i marts 2023 mistede omkring 197 mio. dollar (cirka 1,3 mia. kroner) i et flash loan-angreb. Angriberen skrev en besked direkte i en transaktion: \u00bbNo intention of keeping what is not ours\u00ab, accepterede en dus\u00f8r p\u00e5 10 procent og returnerede stort set alle midler<\/a>. Her smelter ligsynsmand, ambulanceredder og gidselforhandler sammen til \u00e9n, og obduktionen skrives i samme medie, som l\u00f8sepengene betales i.<\/p>

Ikke alle forhandlinger lykkes, og ikke alle d\u00f8dsfald har \u00e9n \u00e5rsag. I august 2026 m\u00e5tte Maya Protocol standse hele nettet, efter at en enkelt transaktion udl\u00f8ste en kaskade af fejl<\/a>, der eroderede puljerne med omkring 11 mio. dollar; her skulle obduktionen udrede en k\u00e6dereaktion, ikke en enkelt brist. F\u00e5 dage senere, den 23. august, blev Term Finance dr\u00e6net for omkring 8,5 mio. dollar, da en angriber opk\u00f8bte nok af en tyndt fordelt governance-token til at stemme midlerne ud af protokollen<\/a>. Selve styringen var v\u00e5bnet, en udvikling HOGE Wire har fulgt i fort\u00e6llingen om, hvordan DAO-dramaet blev voksent<\/a>.<\/p>

Hvem betaler ligsynsmanden?<\/h2>

Hvis ingen udpeger obducenten, hvem betaler s\u00e5? Incitamenterne former konklusionerne, og det er v\u00e6rd at kende dem:<\/p>