Trail of Bits forklart: kryptobransjens mest kjente revisor

Når et sikkerhetsfirma dukker opp i overskriftene, er det som oftest fordi noe har gått galt. Trail of Bits er annerledes: navnet dukker opp både når noe går galt, og når noen vil vise at de har gjort alt riktig. Selskapet fra New York har revidert kontraktene til Uniswap, Compound, MakerDAO og Aave, bygget verktøyene Slither og Echidna som store deler av bransjen bruker gratis, og vunnet flere millioner dollar i amerikanske myndigheters konkurranser om kunstig intelligens og cybersikkerhet. Samtidig er Trail of Bits også navnet som dukker opp i to av 2025s mest ubehagelige revisjonshistorier: Balancer og Bunni, to protokoller som begge var revidert av selskapet og likevel mistet over 100 millioner dollar til sammen i løpet av høsten 2025.

Denne artikkelen er en del av HOGE Wires serie om sikkerhetshendelser i krypto, der vi tidligere har sett nærmere på alt fra brokollaps til styringsovertakelser. Denne gangen ser vi på revisjonsbransjen selv, med Trail of Bits som eksempel, fordi de færreste brukere faktisk vet hva en revisjon er, hva den koster, og enda viktigere: hva den ikke dekker.

Kort fortalt: Trail of Bits er et uavhengig sikkerhetsselskap grunnlagt i 2012, med et sted mellom 125 og 140 ansatte avhengig av kilde, og over 620 offentlige revisjonsrapporter ifølge selskapets egen oversikt. De driver seks fagfelt parallelt: applikasjonssikkerhet, kryptografi, blokkjede, kunstig intelligens og maskinlæring, systemsikkerhet og forsyningskjede. Det som skiller dem fra mange konkurrenter, er at de publiserer forskningen sin åpent, i stedet for å beholde metodene som forretningshemmeligheter.

Fra CTF-lag til sikkerhetsgigant: historien om Trail of Bits

Trail of Bits ble startet i 2012 av Dan Guido og Alexander Sotirov, to sikkerhetsforskere som ifølge selskapet selv hadde drevet med hacking siden de var femten år gamle (Trail of Bits, om selskapet). Guido er fortsatt administrerende direktør, mens Sotirov er teknologisjef. Allerede året etter oppstarten vant det nystiftede firmaet flere kontrakter i DARPA-programmet Cyber Fast Track, det amerikanske forsvarets forskningsbyrå, og har siden hatt et tett og langvarig forhold til amerikanske myndigheters cybersikkerhetsprogrammer.

Den akademiske og konkurransepregede bakgrunnen preger fortsatt kulturen i selskapet. Trail of Bits skrev CTF Field Guide, en gratis håndbok for å konkurrere i «Capture the Flag»-turneringer innen hacking, og bruker den blant annet til å rekruttere ansatte rett fra konkurransemiljøet. I 2016 endte selskapet på andreplass i DARPAs Cyber Grand Challenge, det første forsøket på en fullautomatisert hackerkonkurranse uten mennesker i sløyfen. Nesten ti år senere, i 2025, gjentok de bragden: da tok Trail of Bits andreplassen i DARPAs etterfølger AI Cyber Challenge (AIxCC), denne gangen med kunstig intelligens som verktøy fremfor bare tradisjonell automatisering. Vi kommer tilbake til den konkurransen lenger ned.

I dag er selskapet fortsatt privateid, uten de store venturekapital-rundene som preger resten av teknologibransjen. Finansieringen har i stor grad kommet fra betalte oppdrag og offentlige forskningskontrakter, ikke fra eksterne investorer. Det gir selskapet en uvanlig grad av uavhengighet: de kan takke nei til oppdrag, publisere ubehagelige funn om egne tidligere kunder, og bruke tid på åpen forskning som ikke gir umiddelbar inntjening.

Slik jobber Trail of Bits: fra revisjon til trusselmodellering

En vanlig misforståelse er at en sikkerhetsrevisjon er en slags automatisk skanning som spytter ut en rapport. Trail of Bits selv beskriver det annerledes: et oppdrag starter med at teamet definerer omfang sammen med kunden, deretter leser ingeniørene koden manuelt linje for linje, kjører egne verktøy for statisk analyse og fuzzing, og til slutt kommer tilbake for å verifisere at rettingene faktisk løser problemet. Grunnleggeren Dan Guido har beskrevet filosofien slik i et intervju: «We’re the big brains that you want to use to think really hard about software while you’re building it» (Decential Media). Han har også sagt at målet er å aldri finne den samme feilen to ganger: «I never want to find the same bug twice», altså at kunnskapen fra ett oppdrag skal bli til verktøy og sjekklister som forhindrer neste generasjons feil.

For kryptoprosjekter går arbeidet typisk gjennom flere lag. Først kommer manuell kodegjennomgang, der erfarne revisorer leter etter kjente feilmønstre som reentrancy, tilgangskontroll og heltallsoverflyt. Deretter kjøres automatiserte verktøy som fanger opp det menneskelige øyet lett overser. Til slutt bygges det egne test-suiter med «invarianter», regler som alltid skal holde uansett hva som skjer i kontrakten (for eksempel at summen av alle brukersaldoer aldri kan overstige den faktiske beholdningen), som deretter angripes med fuzzing i timevis eller dagevis for å se om reglene lar seg bryte. For nyere oppdrag, spesielt de som involverer kunstig intelligens-produkter, bruker selskapet en egenutviklet metode de kaller TRAIL for å modellere hvordan data beveger seg mellom ulike tillitssoner, noe vi kommer tilbake til i avsnittet om Perplexity.

Verktøykassen med åpen kildekode: Slither, Echidna og Medusa

Det som trolig har gjort mest for Trail of Bits’ rykte utenfor egne kunder, er at selskapet gir bort verktøyene sine gratis. Under paraplyen «Crytic» på GitHub ligger et titalls prosjekter, men tre av dem har blitt en slags bransjestandard som selv konkurrerende revisjonsfirmaer bruker i sine egne oppdrag.

Slither er et statisk analyseverktøy skrevet i Python som leser gjennom Solidity- og Vyper-kode uten å kjøre den, og flagger mistenkelige mønstre ut fra et bibliotek med dedikerte sjekker. Verktøyet er lisensiert under AGPLv3 og kan kjøres lokalt på sekunder, noe som gjør det til et naturlig førstesteg før en dyrere manuell gjennomgang. Echidna er skrevet i Haskell og gjør noe annet: det «fuzzer» kontrakten, altså bombarderer den med tilfeldige og delvis intelligente kombinasjoner av input for å se om noen av utviklerens egne påstander (invarianter) kan bevises falske. Etterfølgeren Medusa, bygget på Go-Ethereum-klienten og selskapets erfaring fra Echidna, gjør i prinsippet det samme, men parallelliserer arbeidet på tvers av flere prosessorkjerner og bruker informasjon fra Slither til å styre hvilke verdier den tester, noe som gjør kampanjene raskere og mer treffsikre.

Verktøyene er ikke bare til internt bruk. Utviklerteam over hele bransjen kjører Slither som en del av sin egen byggeprosess, lenge før noen revisor er involvert, og flere andre revisjonsselskaper bruker de samme verktøyene i sine oppdrag. Det gjør Trail of Bits til noe mer enn ett firma blant mange: infrastrukturen de har bygget påvirker sikkerhetsnivået i hele bransjen, ikke bare hos de kundene som betaler for et fullt oppdrag.

Fra Zoom til Aave v4: et utvalg av oppdragene

Kundelisten til Trail of Bits strekker seg langt utenfor krypto. Selskapet har blant annet revidert videokonferanseverktøyet Zoom, men det er innen blokkjede de har bygget det tyngste ryktet. Ifølge selskapets egen oversikt har de gjennomført over 620 offentlige revisjoner (Trail of Bits), og blant kryptoprosjektene finner man noen av de mest kjente navnene i DeFi: Uniswap, Compound, MakerDAO, Chainlink, Solana-stiftelsen, Arbitrum (styringsmekanismene og token-broen) og lommebokinfrastrukturen Squads v4.

Det ferskeste og trolig mest omfattende eksempelet er Aave v4. I februar 2026 avsluttet Aave Labs et sikkerhetsprogram som hadde pågått siden mars 2025, til en kostnad på 1,5 millioner dollar (rundt 14,5 millioner kroner), der Trail of Bits jobbet side om side med ChainSecurity og Blackthorn. Til sammen la de tre firmaene ned over 345 revisjonsdager, kombinert med formell verifisering, invarianttesting og en åpen kodekonkurranse på seks uker. Sluttrapporten konkluderte med at ingen kritiske eller alvorlige sårbarheter ble funnet før lansering (The Block). Aave v4-programmet er i praksis et forsøk på å vise hva som skjer når et prosjekt bruker god tid og penger på sikkerhet, i kontrast til de langt mer forhastede prosessene man ofte ser ellers i DeFi.

Da revisjonen advarte, men risikoen ble undervurdert: Balancer-saken

Den mest oppsiktsvekkende historien om Trail of Bits handler ikke om noe de overså, men om noe de faktisk fant og skrev ned, uten at det ble rettet i tide. I oktober 2021 gjennomførte Trail of Bits en revisjon av Balancers såkalte «Linear Pools». I rapporten dukker funnet TOB-BALANCER-004 opp: revisorene la merke til hvordan Linear Pools brukte det matematiske biblioteket Stable Math, men klarte den gangen ikke å fastslå med sikkerhet om avrundingen faktisk kunne utnyttes gitt hvordan bassengene var konfigurert. Alvorlighetsgraden ble derfor satt til «undetermined», altså uavklart, i stedet for kritisk.

Fire år senere, 3. november 2025, ble akkurat den typen avrundingsfeil brukt til å tømme Balancer for over 100 millioner dollar (nesten 1 milliard kroner) fordelt på ni ulike blokkjeder. Denne gangen var det ikke Linear Pools, men de beslektede «Composable Stable Pools» som ble angrepet, med samme grunnleggende svakhet i hvordan avrunding ble håndtert. Trail of Bits publiserte selv en detaljert gjennomgang av hendelsen i etterkant, der de innrømmet at risikoen ble undervurdert den gangen fordi trusselbildet i 2021 og 2022 var dominert av helt andre problemer, som stjålne private nøkler og manglende tilgangskontroll, ikke matematiske kantsaker (Trail of Bits-bloggen). Balancer v3, som bruker en annen kodebase, ble ikke rammet.

Balancer hadde for øvrig blitt revidert over ti ganger av flere ulike firmaer siden 2021, inkludert OpenZeppelin. Det fikk utvikleren Suhail Kakar, som jobber med utviklerrelasjoner hos TAC Blockchain, til å reagere offentlig: «Balancer went through 10+ audits. The vault was audited three separate times by different firms still got hacked for $110M. This space needs to accept that ‘audited by X’ means almost nothing. Code is hard, DeFi is harder» (Cointelegraph). OpenZeppelin svarte at deres eget arbeid var gjort før den aktuelle kodedelen (ComposableStablePool) i det hele tatt eksisterte, noe som illustrerer et kjernepoeng: en revisjon dekker bare koden som fantes den dagen revisjonen ble gjort, ikke det som legges til senere.

Trail of Bits’ egne anbefalinger etter hendelsen er verdt å merke seg, fordi de går lenger enn «bruk mer fuzzing». Selskapet skisserer fire lag med forsvar som bør brukes sammen, ikke hver for seg:

• Dokumentere alle presisjonstap og avrundingsregler som formelle, beviselige påstander, ikke bare som en kommentar i koden
• Oppnå full kodedekning i enhets- og integrasjonstester, supplert med mutasjonstesting
• Kjøre kontinuerlige fuzzing-kampanjer med verktøy som Echidna eller Medusa for å teste invarianter
• Legge til formell verifisering som et fjerde, matematisk lag med sikkerhet oppå de tre andre

Med andre ord: selv verdens mest siterte revisjonsfirma innen krypto mener at én manuell revisjon aldri er nok alene.

Bunni: avrundingsfeilen som overlevde revisjonen

Bunni-saken er på mange måter enda mer ubehagelig for revisjonsbransjen, fordi den ikke handler om noe som ble oversett den gangen, men om en rettelse som ikke var god nok. Trail of Bits hadde flagget funnet TOB-BUNNI-13 om Bunnis manglende systematiske tilnærming til avrunding og aritmetikk, og anbefalte protokollen å stramme opp avrundingslogikken og legge til mer fuzzing. Bunni fulgte rådet og rettet koden, men rettelsen dekket ikke den spesifikke kantsaken som en angriper til slutt fant.

2. september 2025 ble Bunni, en desentralisert børs bygget oppå Uniswap v4, angrepet med et lynlån (flash loan) som utnyttet nettopp denne kantsaken. Utviklerne hadde bevisst rundet ned i visse beregninger fordi de antok at å undervurdere likviditet var den «sikre» retningen å runde i. Angriperen gjennomførte 44 påfølgende, svært små uttak som hver for seg var ubetydelige, men som til sammen fikk avrundingsfeilene til å hope seg opp. Resultatet var at bassengets aktive USDC-beholdning falt med 85,7 prosent, selv om nesten ingen andeler faktisk ble brent. Om lag 2,3 til 2,4 millioner dollar ble stjålet på Ethereum og ytterligere 5,9 millioner dollar på Unichain, til sammen rundt 8,4 millioner dollar (drøyt 81 millioner kroner) (The Block).

Bunni-teamet stanset kontraktene, men klarte aldri å reise nok kapital til å relansere protokollen på en trygg måte. En ny runde med revisjoner og overvåkning ville ifølge teamet selv kostet et sekssifret til sjusifret dollarbeløp, penger de rett og slett ikke hadde etter tapet, og prosjektet stengte ned for godt høsten 2025. Sammen viser Balancer- og Bunni-sakene det samme mønsteret fra to vinkler: Balancer illustrerer hva som skjer når alvorlighetsgraden av et reelt funn blir undervurdert, mens Bunni illustrerer hva som skjer når rettelsen av et riktig identifisert funn ikke er grundig nok. Ingen av delene betyr at revisjonen var verdiløs, men begge viser hvor smalt en revisjon faktisk dekker.

DARPA, Buttercup og kappløpet om kunstig intelligens i sikkerhet

Trail of Bits er ikke bare et revisjonsfirma; de driver også aktiv forskning finansiert av det amerikanske forsvarets forskningsbyrå DARPA. Sommeren 2025, under DEF CON 33-konferansen, avsluttet DARPA sin AI Cyber Challenge (AIxCC), en konkurranse der lag skulle bygge autonome systemer som kunne finne og rette sikkerhetshull i åpen kildekode helt uten mennesker involvert. Trail of Bits’ system, kalt Buttercup, tok andreplassen og en premie på 3 millioner dollar (rundt 29 millioner kroner). Team Atlanta vant førsteplassen med 4 millioner dollar, mens Theori tok tredjeplass med 1,5 millioner dollar (DARPA).

Buttercup fant 28 sårbarheter fordelt på 20 ulike svakhetskategorier (CWE-er) og leverte 19 korrekte rettelser med rundt 90 prosent treffsikkerhet, til en kostnad på bare 181 dollar per konkurransepoeng, betydelig billigere enn flere av konkurrentene. Systemet kombinerer klassiske teknikker som fuzzing og statisk analyse med språkmodeller, i stedet for å stole på kunstig intelligens alene. Andrew Carney, programsjef for AIxCC i DARPA, oppsummerte resultatene slik: «Since the launch of AIxCC, community members have moved from AI skeptics to advocates and adopters. Quality patching is a crucial accomplishment that demonstrates the value of combining AI with other cyber defense techniques» (DARPA). Etter konkurransen gjorde Trail of Bits Buttercup fullstendig åpen kildekode, slik at resten av bransjen kan bygge videre på det.

Det er andre gang selskapet har hevdet seg i denne typen konkurranser: i 2016 endte de på andreplass i forgjengeren Cyber Grand Challenge. Ni år og en hel generasjon kunstig intelligens-fremskritt senere, endte de igjen på andreplass, men denne gangen med et system som kunne lese og skrive kode nesten som et menneske. For et selskap som lever av å finne feil før andre gjør det, er den slags forskning ikke bare et sidespor. Det er trolig også en investering i egen fremtid, i en bransje der kunstig intelligens raskt endrer hva en revisor faktisk gjør på jobb.

KI-transformasjonen internt: 200 feil i uken

I mars 2026 publiserte Dan Guido et innlegg på selskapets blogg om hvordan Trail of Bits har endret sin egen arbeidsflyt det siste året. Ifølge innlegget gikk selskapet fra at bare 5 prosent av de ansatte brukte kunstig intelligens aktivt i revisjonsarbeidet, til at teamet nå har bygget 94 tilpassede programtillegg, 201 «skills» (forhåndsdefinerte arbeidsflyter) og 84 spesialiserte KI-agenter for internt bruk (Trail of Bits-bloggen). På enkelte oppdrag rapporterer selskapet at KI-støttede revisorer nå finner rundt 200 feil i uken, mot om lag 15 tidligere, og at rundt 20 prosent av alle rapporterte funn nå først blir oppdaget av en KI i en eller annen form. Alle funn blir uansett verifisert manuelt av en menneskelig revisor før de havner i en rapport.

Endringen er strukturert rundt seks trinn: standardisere på ett verktøy, skrive risikobaserte regler for hva KI-en får og ikke får gjøre, lage en målbar modenhetsstige for hvor langt hvert team er kommet, kjøre korte interne «hackathons» for å spre kunnskapen, pakke læringen inn i gjenbrukbare moduler, og til slutt gradvis tillate mer autonomi under streng sandkasse-kontroll. Selskapet har også gjort flere av disse ressursene offentlig tilgjengelige, blant annet en egen MCP-server for Slither som lar språkmodeller bruke verktøyet direkte.

Et konkret eksempel på hvordan dette brukes utenfor krypto, er oppdraget for Perplexity. Før søkeselskapet lanserte sin KI-drevne nettleser Comet, betalte de Trail of Bits for å teste sikkerheten på forhånd. Ved å bruke en trusselmodelleringsmetode selskapet kaller TRAIL, som deler systemet inn i «tillitssoner» (brukerens egen maskin på den ene siden, Perplexitys servere på den andre), fant revisorene fire ulike måter å utføre såkalt prompt injection på. I praksis betydde det at en ondsinnet nettside kunne lure Comets KI-assistent til å lese brukerens Gmail-innboks og sende innholdet videre til en angripers server, bare ved at brukeren ba assistenten oppsummere siden (Trail of Bits-bloggen). Funnene ble rettet før lansering, men saken er et godt eksempel på hvorfor Trail of Bits nå regner kunstig intelligens-sikkerhet som et eget fagfelt på linje med kryptografi og blokkjede.

iVerify: da et forskningsprosjekt ble et eget selskap

Ikke alt Trail of Bits bygger, blir værende internt. iVerify begynte som et internt forskningsprosjekt hos Trail of Bits, et sikkerhetsverktøy for iPhone rettet mot vanlige brukere, første gang omtalt i 2019. Etter fire år som en slags inkubert avdeling, ble iVerify i august 2023 skilt ut som et selvstendig selskap, med Trail of Bits-alumnen Danny Rogers som administrerende direktør og Rocky Cole som driftssjef (Trail of Bits-bloggen). Selskapet hentet raskt inn 4 millioner dollar (rundt 39 millioner kroner) i en såkornrunde ledet av Mischief Ventures.

iVerify har siden bygget videre på det opprinnelige konseptet og posisjonert seg som et av de første selskapene med et rendyrket fokus på mobil trusseljakt, spesielt mot det som kalles leiesoldat-spionprogramvare («mercenary spyware»), altså kommersielt utviklede overvåkingsverktøy solgt til stater og andre aktører for å angripe enkeltpersoners telefoner. At Trail of Bits lar enkeltprosjekter vokse seg store nok til å bli egne selskaper, sier noe om hvordan de tenker om egen forretningsmodell: revisjonsarbeidet finansierer forskning, og forskning som viser seg å ha et marked utenfor krypto og virksomhetssikkerhet, får lov til å bli sin egen greie.

Det en revisjon aldri fanger opp

Både Balancer- og Bunni-sakene handler om feil i selve koden, altså nøyaktig det en revisjon er designet for å fange opp, selv om den i disse tilfellene ikke fanget alt. Men de aller største kryptotyveriene de siste par årene har som regel ikke handlet om kode i det hele tatt. Da Bybit mistet rundt 1,5 milliarder dollar (drøyt 14,5 milliarder kroner) i februar 2025, den største enkeltstående kryptotyven noensinne, var det ikke en feil i noen smart kontrakt som ble utnyttet. Angriperne kom seg inn via en kompromittert utviklermaskin hos Safe (tidligere Gnosis Safe) og endret hva brukergrensesnittet viste i det øyeblikket signaturene ble godkjent, slik at signererne trodde de godkjente noe helt annet enn det de faktisk signerte. Dette omtales gjerne som blindsignering, og er en svakhet i hvordan mennesker bruker en multisignatur-lommebok, ikke i kontraktkoden selv. HOGE Wire har tidligere gått i dybden på hvordan multisig-oppsett kan sikres mot nettopp denne typen angrep.

Sosial manipulering er et annet område som ligger utenfor det en tradisjonell kodegjennomgang dekker. Angripere bruker i økende grad falske jobbtilbud, skadelig programvare gjemt i PDF-filer, eller andre klassiske phishing-triks for å komme seg inn i systemene til utviklere og ansatte, uavhengig av hvor godt selve kontraktkoden er skrevet. HOGE Wire har tidligere forklart hvordan slike kampanjer fungerer i praksis, både mot kryptoprosjekter og gaming-selskaper. Styringsangrep er en tredje kategori: her utnytter en angriper selve stemmemekanismen i et desentralisert autonomt organ (DAO) til å vedta forslag som tømmer en kasse, uten at en eneste linje kode trenger å inneholde en feil. HOGE Wire har dekket flere slike saker, blant annet fra Beanstalk til BonkDAO.

Bruer mellom blokkjeder er kanskje det tydeligste eksempelet på hvor mye som kan gå galt selv når koden i seg selv er skrevet riktig, fordi hele konstruksjonen hviler på at én kjede skal stole på informasjon fra en annen. HOGE Wire har tidligere gått gjennom hvorfor broer stadig ender opp som kryptoens svakeste ledd, fra Ronin til Wormhole. En revisjon av bro-koden kan bekrefte at selve logikken oppfører seg som tiltenkt, men den kan sjelden garantere at en ansatt ikke blir lurt av en falsk jobbsøknad, eller at en enkelt underskriftsnøkkel ikke havner på avveie. Trail of Bits selv er tydelige på at godt sikkerhetsarbeid derfor må inkludere trusselmodellering av hele organisasjonen, ikke bare av kontraktene, nettopp fordi de sørgeligste tapene sjelden kommer fra det en revisjonsrapport i utgangspunktet var ment å dekke.

Hva koster trygghet? Prisen på en revisjon og konkurrentlandskapet

Trail of Bits opererer i den øvre delen av markedet. Offentlig tilgjengelige tall tyder på en timepris på rundt 25 000 dollar (om lag 242 000 kroner) per ingeniør per uke, og at et fullt bedriftsoppdrag typisk havner et sted mellom 80 000 og 200 000 dollar (770 000 til 1,9 millioner kroner), avhengig av omfang og kompleksitet. Til sammenligning tar mindre, mer boutique-pregede revisjonsfirmaer seg gjerne betalt fra rundt 8 000 dollar for enklere oppdrag, mens de aller mest omfattende programmene i bransjen kan koste over 350 000 dollar.

Trail of Bits er langt fra alene i dette markedet. OpenZeppelin, som har bygget kontraktbiblioteker brukt av blant andre Aave og Compound, har revidert protokoller som til sammen sikrer over 50 milliarder dollar i verdi siden 2015. CertiK har gjennomført over 5 500 revisjoner og driver overvåkingstjenesten Skynet. Halborn, grunnlagt i Miami i 2019, er kjent for offensiv penetrasjonstesting og hendelsesrespons, mens Certora har spesialisert seg på formell verifisering, en matematisk fremgangsmåte for å bevise at kode oppfører seg riktig i alle mulige tilfeller, fremfor å bare teste et utvalg av dem.

Verdt å merke seg: ingen myndighet, verken i USA, EU eller Norge, krever eller godkjenner spesifikke revisjonsselskaper for smarte kontrakter. Det finnes ingen offentlig godkjenningsordning tilsvarende det som finnes for regnskapsrevisorer. Kvaliteten holdes i praksis oppe av rykte og konkurranse mellom firmaene selv, ikke av regulatorisk tilsyn, noe som gjør den type transparente etterhistorikk Trail of Bits publiserer om egne Balancer- og Bunni-funn til noe av det nærmeste bransjen kommer et kvalitetsstempel.

Regulering: hva sier Finanstilsynet og MiCA om kodesikkerhet?

For norske lesere er det naturlig å spørre hvordan dette forholder seg til norsk og europeisk regulering. Siden 1. juli 2025 er MiCA-forordningen innlemmet i EØS-avtalen og gjelder dermed også i Norge, og Finanstilsynet er nasjonal tilsynsmyndighet for tilbydere av kryptoeiendelstjenester (CASP-er) gjennom kryptoeiendelsloven. Men verken MiCA eller det tilhørende regelverket for digital operasjonell motstandsdyktighet (DORA) krever at en smart kontrakt skal gjennomgå en sikkerhetsrevisjon før den tas i bruk. DORA stiller krav til IKT-risikostyring hos regulerte foretak som CASP-er, men sier ingenting om Solidity-kode spesifikt.

Det betyr i praksis at en sentralisert kryptobørs eller lommebokleverandør som er registrert hos Finanstilsynet, har et regulatorisk ansvar for egen sikkerhet og kan holdes ansvarlig av tilsynet dersom noe går galt. En fullstendig desentralisert protokoll, altså en som ikke har noen tilbyder av tjenester i MiCAs forstand, faller derimot utenfor regelverket. Da finnes det ingen norsk myndighet å klage til dersom en feil i koden fører til tap, uansett om koden var revidert av Trail of Bits, en konkurrent, eller ingen i det hele tatt. Regulering av rendyrket desentralisert finans er varslet på EU-nivå, men ligger trolig noen år frem i tid. Frem til da er en revisjonsrapport, uansett hvor grundig, fortsatt et privat kvalitetsstempel og ikke en offentlig garanti.

Hva bør utviklere og investorer lære av Trail of Bits?

Trail of Bits er trolig det nærmeste kryptobransjen kommer et fyrtårn for godt sikkerhetsarbeid: åpne verktøy, offentlige rapporter, forskning finansiert av amerikanske myndigheter, og en villighet til å publisere ubehagelige detaljer om egne tidligere funn når noe går galt hos en tidligere kunde. Samtidig er Balancer- og Bunni-sakene en påminnelse om at selv den mest anerkjente revisøren i bransjen ikke kan garantere at en protokoll aldri blir hacket. En revisjon er et øyeblikksbilde av koden slik den så ut den dagen revisjonen ble avsluttet, utført av mennesker som må gjøre skjønnsmessige vurderinger om hvor alvorlig et funn faktisk er.

For utviklere er det tydeligste rådet fra Trail of Bits selv å ikke stoppe ved én runde med manuell gjennomgang: kombinere statisk analyse, fuzzing og helst formell verifisering, dokumentere alle antagelser om avrunding og presisjon eksplisitt, og behandle en revisjonsrapport som et startpunkt for videre testing, ikke et sluttpunkt. For vanlige brukere og investorer er rådet enklere, men ikke mindre viktig: at en protokoll er «revidert av Trail of Bits» bør senke risikoen i vurderingen din, ikke fjerne den. Spør heller hvilke funn som ble gjort, hvordan de ble rettet, og om koden har endret seg siden den siste revisjonen, enn å stole blindt på et merke i en bunntekst.

Ofte stilte spørsmål

Hva er Trail of Bits?

Trail of Bits er et uavhengig sikkerhetsselskap grunnlagt i New York i 2012 av Dan Guido og Alexander Sotirov. Selskapet utfører manuelle sikkerhetsrevisjoner av programvare og smarte kontrakter, og er samtidig kjent for å utvikle og gi bort åpen kildekode-verktøy som Slither, Echidna og Medusa, som store deler av resten av kryptobransjen bruker gratis.

Hvor mye koster en revisjon fra Trail of Bits?

Prisen varierer sterkt med omfang, men offentlig tilgjengelige tall tyder på rundt 25 000 dollar per ingeniør per uke, og at et typisk bedriftsoppdrag koster et sted mellom 80 000 og 200 000 dollar, tilsvarende grovt regnet 770 000 til 1,9 millioner kroner. Store, flerukers programmer med formell verifisering kan koste betydelig mer.

Er Slither og Echidna gratis å bruke?

Ja. Slither, Echidna og etterfølgeren Medusa er alle åpen kildekode-verktøy som ligger fritt tilgjengelig på GitHub under Trail of Bits sin Crytic-konto, og kan lastes ned og kjøres av hvem som helst uten kostnad. Mange utviklerteam kjører disse verktøyene selv, lenge før de eventuelt betaler for en full manuell revisjon.

Betyr det at en protokoll er trygg hvis den er revidert av Trail of Bits?

Nei. Både Balancer og Bunni var revidert av Trail of Bits og mistet likevel til sammen over 100 millioner dollar i 2025. En revisjon er et øyeblikksbilde av koden på et gitt tidspunkt, og dekker verken senere kodeendringer, sosial manipulering av ansatte, eller feil bruk av multisig-lommebøker.

Krever norske myndigheter en sikkerhetsrevisjon av smarte kontrakter?

Nei. Verken MiCA-forordningen eller den norske kryptoeiendelsloven pålegger prosjekter å gjennomføre en sikkerhetsrevisjon av smart kontrakt-kode. Finanstilsynet fører tilsyn med registrerte tilbydere av kryptoeiendelstjenester, men fullstendig desentraliserte protokoller faller utenfor dette tilsynet.

Skrevet av HOGE Wires redaksjon.