Konkurranserevisjon og bug bounties: kryptos andre sikkerhetslag

I mai 2026 la Code4rena ned. Plattformen som mer enn noen annen gjorde begrepet konkurranserevisjon til et fast innslag i kryptobransjen, der hundrevis av uavhengige sikkerhetsforskere kappes om å finne feil i den samme koden, kunngjorde at den avvikler driften, og bug bounty-giganten Immunefi overtok kundene og forskerne. For et marked som bruker milliarder på å sikre smartkontrakter, var det en påminnelse om noe de fleste norske kryptolesere aldri har fått forklart: et revisjonsselskap med fast pris er bare den ene halvparten av hvordan krypto faktisk sikres.

Den andre halvparten er folkemengden. Ved siden av de kjente firmaene, Trail of Bits, Halborn, CertiK og OpenZeppelin, har det vokst fram et helt økosystem av konkurranser og bug bounties der sikkerheten kjøpes stykkevis, betales per feil og drives av tusenvis av til dels anonyme forskere. Denne guiden går gjennom hvordan den modellen fungerer, hvem som dominerer den (Immunefi, Sherlock og Cantina), hva den fanger som en tradisjonell revisjon ikke gjør, og hvorfor selv prosjekter som har vært gjennom alt sammen fortsatt blir tømt. For den tradisjonelle firmasiden har vi allerede publisert et eget skjema for å vurdere revisjonsselskaper; dette er motstykket om folkefinansiert sikkerhet.

En liten opplysning før vi begynner: alle kroneomregninger under bruker en dollarkurs på rundt 9,5 kroner, som var omtrent nivået i august 2026. Kildene oppgir tallene i dollar, så dollarbeløpet står i parentes ved siden av kronesummen.

To modeller for å sikre den samme koden

Alt springer ut av ett grunnproblem. En smartkontrakt er offentlig, uforanderlig og styrer ekte penger. Når den er lagt ut på kjeden, kan hvem som helst i verden lese koden og lete etter en måte å tømme den på, og finner de én, er pengene som regel borte for godt. Det finnes ingen bank å ringe, ingen transaksjon å reversere. Derfor har sikkerhetsbransjen utviklet to prinsipielt ulike måter å kjøpe seg trygghet på, og de fleste seriøse prosjekter bruker begge.

Den første er den klassiske: en fastprisrevisjon fra et firma. Prosjektet leier et selskap, blir enige om et avgrenset omfang, betaler en fast sum for et gitt antall uker, og får til slutt en rapport med funn sortert etter alvorlighetsgrad. Modellen er grundig og gir én ansvarlig motpart, men den er dyr, den er et øyeblikksbilde av koden akkurat den uken, og den skalerer dårlig: du får det antallet øyne du har råd til å betale for timelønn.

Den andre modellen snur økonomien på hodet. I stedet for å betale et team for tiden deres, betaler du folkemengden for resultatene deres. Den kommer i to varianter. En konkurranserevisjon er en tidsavgrenset dyst der mange forskere leter i den samme koden samtidig og deler en premiepott etter hvem som fant hva. En bug bounty er en åpen, løpende stående invitasjon på kode som allerede er i drift: finn en feil når som helst, meld den inn, få betalt hvis den er ekte. Til sammen utgjør de det folkefinansierte sikkerhetslaget som denne artikkelen handler om.

Hva en konkurranserevisjon egentlig er

En konkurranserevisjon, på engelsk audit contest eller competitive audit, fungerer omtrent slik: prosjektet legger ut kildekoden, definerer nøyaktig hva som er i omfang, setter en premiepott og en frist, som regel alt fra noen dager til et par uker. Deretter slippes forskerne løs. På Code4rena kalte man dem wardens; hos andre heter de bare researchers. Hver av dem sender inn funnene sine, en jury dedupliserer rapporter som beskriver samme feil, og hvert funn får en alvorlighetsgrad: informational, low, medium, high eller critical.

Det økonomiske poenget ligger i hvordan potten fordeles. De alvorligste funnene tar brorparten av pengene, og en forsker som er alene om å finne en unik critical, kan gå derfra med en betydelig sum. Er dere flere om samme funn, splittes belønningen. Det gir et beinhardt insentiv til å lete der ingen andre leter, i stedet for å plukke de opplagte feilene alle ser. Resultatet er en helt annen dekning enn et firma på fem personer klarer: femti eller fem hundre uavhengige hoder tenker femti eller fem hundre ulike tanker om den samme koden.

Modellen har også svakheter, og de er verdt å kjenne til før du lar deg imponere av et prosjekt som skryter av en konkurranse. Bredde går ofte på bekostning av dybde: en konkurranse over ti dager finner sjelden den samme dype, subtile invarianten som en spesialist på formell verifikasjon kan grave fram over flere uker. Dupliserte funn og krangel om juryens avgjørelser er en fast del av sjangeren. Og dekningen avhenger av oppmøtet: en konkurranse med lav deltakelse gir en falsk trygghet, for potten sier ingenting om hvor mange dyktige folk som faktisk møtte opp.

Bug bounty: varianten som aldri sover

Der en konkurranse er en dyst med sluttdato, er en bug bounty en stående ordre uten utløp. Prosjektet publiserer en policy, hva som er i omfang og hva som betales for hver alvorlighetsgrad, og lar den ligge så lenge koden er i drift. Hvem som helst kan når som helst melde inn en sårbarhet, og betaling skjer bare for funn som blir bekreftet. Det er sikkerhet som en forsikringspremie du betaler etterskuddsvis, og bare når noen faktisk redder deg.

Styrken er tidsdimensjonen. En revisjon og en konkurranse dekker koden slik den så ut den uken de kjørte. En bug bounty dekker koden slik den faktisk er, i drift, akkurat nå, og fanger nettopp de feilene som slapp gjennom revisjonen og først blir synlige når kontrakten møter ekte penger og ekte angripere. Belønningene skaleres etter alvorlighetsgrad og etter hvor mye som står på spill, og for de største protokollene betyr det at en enkelt critical kan være verdt millioner av dollar, langt mer enn en angriper tjener på å selge feilen på svartebørsen.

At dette ikke er teori, viser Immunefis egen forskning. I en gjennomgang av 593 bug bounty-programmer fra januar 2021 til februar 2026 fant selskapet at 93,9 prosent av programmene som hadde vært aktive i fem år eller mer, hadde avdekket minst én bekreftet og betalt critical. Kurven stiger jevnt med tiden: 61,4 prosent etter ett år, 73,9 prosent etter to, 87,2 prosent etter tre, 92,9 prosent etter fire. Med andre ord: gi det nok tid, og nesten hvert eneste prosjekt viser seg å ha hatt en kritisk feil liggende, også de som var revidert. Immunefi anslår samtidig at et vellykket angrep i snitt koster rundt 240 millioner kroner (25 millioner dollar) i samlet økonomisk skade når man regner med både det direkte tyveriet og prisfallet i etterkant.

For forskeren på den andre siden er regnestykket brutalt enkelt. En dyktig sikkerhetsforsker kan velge mellom å melde en kritisk feil til et bounty-program for en lovlig utbetaling, eller å utnytte den selv og leve med etterforskning, hvitvaskingsproblemer og kjedeanalytikere i hælene. Jo høyere en protokoll setter maksbelønningen, desto flere dyktige hoder velger den lovlige veien. De fete bountyene er derfor mer enn en gest; de er et forsøk på å vinne budkrigen mot den kriminelle bruken av nøyaktig samme feil.

Code4rena: pioneren som forsvant inn i Immunefi

Ingen forklaring av konkurransemodellen er komplett uten Code4rena, nettopp fordi historien deres viser hvor ungt og skjørt dette markedet er. Code4rena var med på å finne opp konkurranserevisjonen tidlig i 2020-årene, populariserte warden-begrepet og hentet inn seks millioner dollar fra Paradigm i 2023. I 2024 ble plattformen kjøpt opp av revisjonsfirmaet Zellic, som lovet å la den drives videre uavhengig.

Mindre enn to år senere var det slutt. I mai 2026 kom beskjeden om at Code4rena legger ned, midt i en bølge av angrep som gjorde 2026 til et rekordår i antall hendelser. Immunefi steg inn og overtok både kundene og forskerne, med ansvar for å videreføre Code4renas regelverk, belønningssystem og omfang uten avbrudd. Konkurransemodellen døde altså ikke; den ble slukt av bug bounty-siden. For deg som leser er lærdommen dobbel: konkurranserevisjon er en reell og verdifull sikkerhetsform, men leverandørene bak den er ferske selskaper som kan forsvinne over natten, og et prosjekt som viser til en konkurranse hos en plattform som ikke lenger finnes, viser til noe du ikke lenger kan verifisere.

Immunefi: dusørjegernes markedsplass

Immunefi er den desidert største bug bounty-plattformen i krypto, og etter oppkjøpet av Code4renas virksomhet er det også den tydeligste vinneren av konsolideringen i bransjen. Selskapet har betalt ut over én milliard kroner (mer enn 115 millioner dollar) til white hat-forskere gjennom årene, fordelt på flere hundre protokoller. Den største enkeltutbetalingen i kryptohistorien gikk gjennom nettopp Immunefi: rundt 95 millioner kroner (10 millioner dollar) til forskeren satya0x for en kritisk feil i broprotokollen Wormhole i 2022.

Størrelsen på et programs maksbelønning er i seg selv et signal. De største bountyene ligger nå på rundt 147 millioner kroner (15,5 millioner dollar) for Uniswap v4 og cirka 140 millioner kroner (15 millioner dollar) for LayerZero. Slike summer sier to ting: prosjektet har enorme verdier på spill, og det er villig til å betale en white hat mer enn en kriminell ville fått for den samme feilen. I Immunefis egen rapport for første halvår 2026 betalte plattformen ut rundt 128 millioner kroner (13,45 millioner dollar) til forskere som meldte inn 837 gyldige feil. Poenget med bug bounties er nettopp dette: hver av de 837 feilene er en sårbarhet som ble rettet før en angriper rakk å bruke den.

Oppkjøpet av Code4renas virksomhet gjorde Immunefi til mer enn en dusørbørs. Der plattformen tidligere først og fremst dekket kode i drift, sitter den nå også på konkurransemodellen som fanger feil før lansering, og kan tilby et prosjekt hele spennet fra en tidsavgrenset dyst til en stående bounty under samme tak. For kundene betyr konsolideringen færre leverandører å forholde seg til; for markedet betyr det at én enkelt aktør får en uvanlig sterk posisjon i et felt som for få år siden var spredt på et halvt dusin konkurrenter.

Sherlock: revisjon med forsikring på toppen

Sherlock, grunnlagt i 2022 av Jack Sanford og Evert Kors, er det klareste eksempelet på at grensene mellom modellene viskes ut. Sherlock kombinerer en fast, navngitt senioransvarlig på hvert prosjekt, hentet fra den gamle firmamodellen, med en åpen konkurranse der uavhengige forskere kjemper om de alvorligste funnene. Plattformen oppgir å ha gjennomført mer enn 370 konkurranser med over 11.000 registrerte forskere, for kunder som Ethereum Foundation, Aave og Morpho.

Det som virkelig skiller Sherlock ut, er at de selger forsikring oppå revisjonen. Etter en gjennomført konkurranse kan et prosjekt kjøpe dekning som betaler ut hvis en feil innenfor omfanget likevel blir utnyttet, priset til rundt to prosent av verdien som er dekket per år for en offentlig konkurranse, og 2,5 prosent for en privat. Det gjør noe fundamentalt med insentivene: revisoren får en direkte økonomisk grunn til ikke å bomme, fordi de selv sitter med regningen hvis noe glipper. Presedensen finnes: da Euler Finance ble hacket i 2023, ble et krav på rundt 9,5 millioner kroner (1 million dollar) utbetalt under en slik Sherlock-dekning.

Jack Sanford, medgründer og daglig leder i Sherlock, oppsummerte tankegangen da selskapet i 2026 lanserte en AI-drevet revisor i beta. «Point-in-time audits are indispensable, but they were never meant to carry the entire burden of security», sa han til Crypto Briefing: en revisjon på et gitt tidspunkt er uunnværlig, men den var aldri ment å bære hele sikkerhetsbyrden alene. Nettopp derfor stables lagene oppå hverandre.

Cantina og Spearbit: kollektivet ble en markedsplass

Den siste store aktøren har en litt annen opprinnelse. Spearbit begynte som et kollektiv av uavhengige seniorrevisorer som tok oppdrag sammen, og Cantina er den offentlige markedsplassen der de arrangerer konkurranser og driver en bug bounty-børs. De to merkevarene ble formelt slått sammen i mai 2025, og til sammen har de betalt ut rundt 440 millioner kroner (46,7 millioner dollar) på tvers av konkurranser og dusørmarkedet.

Cantina står bak et par av de mest omtalte konkurransene i bransjen. De arrangerte Uniswaps sikkerhetskonkurranse for v4 med en premiepott på rundt 22 millioner kroner (2,35 millioner dollar), den gang den største i DeFi-historien, med over 500 forskere i sving over fire uker høsten 2024. De kjørte også Ethereum Foundations gjennomgang av Pectra-oppgraderingen med en pott på rundt 19 millioner kroner (2 millioner dollar). Samtidig er heller ikke Cantina immun mot at ting glipper: en post-audit-hendelse rundt Cork Protocol, med et tap på rundt 12 millioner dollar, viser at heller ikke de dyreste konkurransene er en garanti, selv om ansvarsfordelingen i det tilfellet er omstridt.

Slik skiller modellene seg

De tre modellene løser ulike deler av det samme problemet, og det er nettopp derfor de brukes sammen. Tabellen under oppsummerer hvordan de skiller seg på kostnad, tidspunkt og styrke.

Kostnadstallene for fastprisrevisjon svarer til de vanlige prisnivåene i bransjen: rundt 76.000 til 240.000 kroner for et lite oppdrag, 240.000 til 760.000 kroner for en standard DeFi-gjennomgang, og fra 760.000 kroner og godt over 3 millioner for de mest komplekse. Poenget med tabellen er ikke å kåre en vinner, men å vise at ingen kolonne dekker alt alene.

Økonomien: hvorfor konkurranse finner andre feil

Kjernen i hvorfor folkemodellen fungerer, er insentivdesign. I en fastprisrevisjon betaler du for tid, og du får det samme uansett om teamet finner ti feil eller null. I en konkurranse eller bounty betaler du bare når noen faktisk leverer en sårbarhet, og belønningen vokser med hvor alvorlig den er. Det trekker til seg folk med helt andre bakgrunner og tenkemåter enn det ene firmaet du ellers ville leid, og det er dette mangfoldet, ikke bare antallet, som fanger feil et enkelt team overser.

Men insentivene skaper også sine egne problemer. Når mange leter samtidig, ender flere opp med å finne den samme opplagte feilen, og kranglene om hvem som var først og hvordan potten skal deles, er en fast del av sjangeren. Belønningsstrukturen frister forskere til å jakte kjente feilmønstre som gir rask uttelling, framfor å grave etter den ene subtile logikkfeilen som krever dager med arbeid uten garantert lønn. Og en konkurranse er fortsatt et øyeblikksbilde: den sier ingenting om koden du legger til uken etterpå.

Derfor er svaret hos de mest seriøse prosjektene ikke å velge, men å stable lagene. Da Aave forberedte v4, kjørte de et samlet sikkerhetsprogram til rundt 14 millioner kroner (1,5 millioner dollar) som kombinerte flere uavhengige firmaer, en offentlig konkurranse og løpende bounties, med hundrevis av gjennomgangsdager til sammen. Det er slik moderne kryptosikkerhet ser ut når budsjettet tillater det: fast revisjon for dybden, konkurranse for bredden, bounty for tiden etter lansering, og gjerne forsikring på toppen.

Et nytt lag er i ferd med å legge seg oppå de andre: kunstig intelligens. Både Sherlock og flere av de tradisjonelle firmaene har begynt å sette AI-verktøy til å finlese kode, og Trail of Bits har beskrevet hvordan interne AI-agenter på enkelte oppdrag finner mange ganger så mange feil som før. Men verktøyet virker begge veier. Immunefi har advart om at nyere AI-modeller også gjør det billigere for angripere å lete etter sårbarheter, slik at kappløpet mellom forsvarer og angriper bare akselererer. AI flytter ikke ansvaret bort fra menneskene som må tolke funnene; det øker bare tempoet på begge sider av bordet.

Revidert og likevel hacket

Her kommer den ubehagelige sannheten alle disse lagene ikke klarer å skjule: de reduserer risiko, men fjerner den ikke. 2025 og 2026 er fulle av prosjekter som hadde vært gjennom det meste og likevel ble tømt. Tabellen under viser fire lærerike tilfeller og hva som egentlig slapp gjennom.

Mønsteret i de nyeste sakene er tydelig, og det er den viktigste enkeltinnsikten i hele denne artikkelen: angrepsvektoren har flyttet seg fra koden til alt rundt koden. Balancer og Cetus var ekte kodefeil som revisorene bommet på, men KelpDAO og AFX Trade var det ikke. Da KelpDAO mistet rundt 2,8 milliarder kroner (292 millioner dollar) i april 2026, skrev OpenZeppelin i sin gjennomgang at kontraktene oppførte seg nøyaktig som skrevet; feilen lå i krysskjede-konfigurasjon og kompromitterte noder, ting en kodegjennomgang per definisjon ikke ser på. Vår egen analyse av bro-hackene i 2026 viser hvor systematisk nettopp broene har blitt det svakeste leddet, uavhengig av hvor godt selve kontraktene er revidert.

Sikkerhetsforskningshuset Ack3 tallfestet dette for første halvår 2026. Av alt som ble stjålet fra prosjekter som faktisk var revidert, gikk 94,4 prosent ut gjennom kode eller infrastruktur revisorene aldri hadde sett på, og 17 av de 20 nærmeste relevante revisjonene var minst et halvt år gamle da angrepet kom. Til dette kommer helt egne angrepsklasser som verken en revisjon eller en konkurranse fanger godt, som manipulasjon av prisorakler; oracle-angrepene i 2026 rammet nettopp der koden gjorde akkurat det den skulle, men fikk mating den ikke burde stolt på.

Suhail Kakar, utviklerrelasjonsansvarlig i TAC Blockchain, satte ord på frustrasjonen etter Balancer-hacket. «Balancer went through 10+ audits. The vault was audited three separate times by different firms still got hacked for $110M. This space needs to accept that ‘audited by X’ means almost nothing», skrev han: at et prosjekt er revidert, betyr nesten ingenting i seg selv. Det er her bug bounty-modellen har sin fremste fordel, siden den i det minste er kontinuerlig og fanger feil etter lansering, men selv den er maktesløs mot en angriper som stjeler en privat nøkkel i stedet for å utnytte en kodefeil. Den vektoren ligger hos brukeren og operatøren, ikke i kontrakten, og er en av grunnene til at valg av lommebok og nøkkelhåndtering er blitt like viktig som selve revisjonen.

Ethereum Foundation betaler en del av regningen

Ett tegn på hvor dyr og hvor nødvendig sikkerhet er blitt, er at selve økosystemet nå subsidierer den. I april 2026 lanserte Ethereum Foundation et støtteprogram på rundt 9,5 millioner kroner (1 million dollar) som dekker inntil 30 prosent av revisjonskostnadene for utviklere på Ethereum. Pengene kanaliseres gjennom markedsplassen Areta, som kobler byggere til mer enn 20 vurderte firmaer, blant dem Certora, Spearbit, Sherlock, Zellic, Hacken, Cyfrin, Dedaub og Immunefi, mens Chainlink og Nethermind er med på å vurdere søkerne.

Programmet er interessant av to grunner. For det første innrømmer det at en skikkelig revisjon er blitt for dyr for små team, akkurat den situasjonen konkurranse- og bounty-modellene også oppsto for å avhjelpe. For det andre bekrefter det poenget denne artikkelen bygger på: selv når du subsidierer en tradisjonell firmarevisjon, er den ett ledd i en kjede, ikke et sluttpunkt. Byggerne som får støtte, forventes fortsatt å legge på bounties og løpende overvåking etterpå.

Slik leser du et prosjekts sikkerhetsprofil

For en norsk leser eller investor er det praktiske spørsmålet: hvordan vurderer jeg om et prosjekt tar sikkerhet på alvor, uten selv å kunne lese Solidity? Noen konkrete signaler er verdt å se etter, og de fleste er offentlig tilgjengelige.

• Finnes det en levende bug bounty, og hvor stor er den? En maksbelønning på titalls millioner kroner signaliserer både at det står mye på spill og at teamet heller vil betale en white hat enn en kriminell.
• Har prosjektet en konkurransehistorikk hos Sherlock, Cantina eller det gamle Code4rena, og er rapportene publisert? Et funn som ble rettet, er et godt tegn; en konkurranse uten publiserte resultater er bare markedsføring.
• Sjekk uavhengige samlesteder. Solodit, eid av Cyfrin, samler funn på tvers av firmaer og plattformer i én søkbar base, og tjenester som DeFiSafety gir en uavhengig prosesskarakter.
• Hvor gammel er den nyeste gjennomgangen? Ack3-tallene over viser at foreldede revisjoner er regelen, ikke unntaket, ved de store hackene.
• Finnes det dekning eller forsikring, som Sherlocks, og er koden verifisert mot det som faktisk kjører på kjeden?

Å lese en rapport godt er en ferdighet i seg selv, og alvorlighetsgrad og omfang betyr mer enn antallet funn. Vi har skrevet en egen guide til hvordan du faktisk leser en revisjonsrapport, som gjelder like mye for en konkurranserapport fra Sherlock eller Cantina som for en klassisk firmarevisjon. Hovedregelen er enkel: en rapport forteller deg hva som ble sett på, ikke hva som er trygt.

Finanstilsynet, MiCA og alt som ikke er regulert

Et forhold som overrasker de fleste, er hvor lite av dette som er regulert. Det finnes ingen myndighet, verken Finanstilsynet, ESMA eller noen i EU, som akkrediterer revisorer av smartkontrakter eller godkjenner konkurranseplattformer. Det finnes ikke noe motstykke til revisorloven og den offentlige godkjenningen som gjelder for statsautoriserte regnskapsrevisorer. Kvaliteten på en kryptorevisjon holdes oppe av omdømme alene, og som Kakar-sitatet over antyder, er det et marked der etiketten revidert lett kan bety svært lite.

MiCA-regelverket, som gjelder i Norge gjennom EØS-avtalen fra 1. juli 2025 og håndheves av Finanstilsynet under kryptoeiendelsloven, regulerer tjenestetilbydere (CASP-er) som børser og forvaltere, ikke selve koden i en protokoll. Det samme gjelder DORA, som stiller krav til IT-robusthet hos sentraliserte aktører, men ikke berører en kodegjennomgang av en smartkontrakt. Fullt desentraliserte DeFi-protokoller faller utenfor MiCA i sin helhet. Konsekvensen er skarp: for en desentralisert protokoll finnes det ingen regulator å klage til hvis du blir hacket. Da er en bug bounty og en offentlig obduksjon i praksis den eneste garantien som finnes.

For en norsk sluttbruker har skillet praktiske følger. Handler du på en registrert børs som opererer i Norge, er du innenfor MiCA-rammen, og Finanstilsynet fører tilsyn med at tilbyderen følger reglene for blant annet oppbevaring av kundemidler. Legger du derimot pengene rett inn i en desentralisert protokoll, er du utenfor det vernet, uansett hvor mange revisjoner og konkurranser prosjektet skryter av. Da er egen due diligence, med signalene lenger opp i denne artikkelen, det eneste sikkerhetsnettet du har.

Bransjen har forsøkt å fylle tomrommet selv. Security Alliance driver en ordning kalt Safe Harbor, et offentlig og juridisk bindende tilbud der en white hat som redder midler under et pågående angrep, får beholde en andel som dusør og slipper rettsforfølgelse, forutsatt at pengene leveres tilbake innen fristen. Det er et privat regelverk laget for å dekke akkurat det hullet lovgiverne har latt stå åpent, og det sier mye om hvor umodent feltet fortsatt er.

Slik står krypto-sikkerheten i 2026

Går man til tallene for første halvår 2026, tegner tre uavhengige datasett det samme bildet fra litt ulike vinkler. Immunefi og TRM Labs lander på rundt 9,2 milliarder kroner (972 millioner dollar) tapt over 207 hendelser, det høyeste antallet angrep som er registrert. CertiK teller etter sin egen metode rundt 12,5 milliarder kroner (1,315 milliarder dollar) over 344 hendelser, med kompromitterte lommebøker som den dyreste kategorien. Ack3 kommer til rundt 8,9 milliarder kroner (939,86 millioner dollar) over 135 utnyttelser. Tallene spriker fordi firmaene teller forskjellig, men de peker alle samme vei.

Og retningen er faktisk oppløftende: samtlige datasett viser at de samlede tapene falt til under halvparten av første halvår 2025, selv om antallet angrep steg til rekordnivå. Færre kroner ut per hendelse, tross flere forsøk, er akkurat det du vil vente hvis det folkefinansierte laget virker, at flere feil fanges før angriperne rekker fram. Mitchell Amador, grunnlegger og daglig leder i Immunefi, oppsummerte det slik da halvårstallene kom: «Crypto security is adversarial, and it never stops evolving. The honest read on the numbers is simple: the industry is learning.»

Konklusjonen for en leser i 2026 er nøktern. Revisjon, konkurranse, bug bounty og forsikring er fire lag som hver for seg er nødvendige og utilstrekkelige, og som først gir reell trygghet stablet oppå hverandre. Et prosjekt som bare viser til én revisjon, forteller deg lite. Et prosjekt som kjører fast revisjon, har en levende konkurransehistorikk, en fet bug bounty og gjerne dekning på toppen, forteller deg at det har forstått at ingen enkelt kontroll er nok. Og selv da, som KelpDAO og AFX Trade minner oss om, ligger den dyreste risikoen ofte ikke i koden i det hele tatt, men i nøklene, broene og menneskene rundt den.

Ofte stilte spørsmål

Hva er forskjellen på en konkurranserevisjon og en vanlig revisjon?

En vanlig revisjon er et firma som tar fast betalt for at et lite team gransker koden over noen avtalte uker og leverer en rapport. En konkurranserevisjon er en tidsavgrenset dyst der mange uavhengige forskere leter i den samme koden samtidig og deler en premiepott etter hvem som fant hvilke feil. Firmamodellen gir dybde og én ansvarlig motpart; konkurransen gir bredde og mangfold av angrepsvinkler. De fleste seriøse prosjekter bruker begge.

Er bug bounties bedre enn revisjoner?

Nei, de løser ulike problemer. En revisjon er et grundig øyeblikksbilde før lansering, mens en bug bounty er en løpende ordning som fanger feil etter at koden er i drift. Immunefis egen forskning viser at nesten alle langvarige bounty-programmer før eller siden avdekker en kritisk feil, også i kode som var revidert. Det beste er å kombinere dem, ikke å velge.

Hva skjedde med Code4rena?

Code4rena, som var med på å finne opp konkurranserevisjonen, kunngjorde i mai 2026 at plattformen legger ned. Bug bounty-plattformen Immunefi overtok kundene og forskerne og videreførte regelverk, belønninger og omfang. Konkurransemodellen forsvant altså ikke, men ble en del av Immunefi, midt i et rekordår for antall angrep.

Hvor mye koster en smartkontraktrevisjon?

Prisene varierer med kompleksitet. Et lite oppdrag ligger typisk på rundt 76.000 til 240.000 kroner, en standard DeFi-gjennomgang på 240.000 til 760.000 kroner, og de mest komplekse på fra 760.000 kroner og godt over 3 millioner. En konkurranse settes opp med en premiepott, ofte fra noen millioner til titalls millioner kroner, mens en bug bounty betaler per bekreftet feil og kan gi enkeltutbetalinger på titalls millioner for en kritisk sårbarhet.

Beskytter en revisjon eller bug bounty meg som vanlig bruker?

Bare indirekte. Disse ordningene reduserer risikoen for at protokollens kode blir utnyttet, men de dekker ikke deg hvis du blir lurt til å signere en ondsinnet transaksjon eller mister dine egne nøkler. De største tapene i 2026 kom nettopp fra kompromitterte nøkler og broer, ikke fra kodefeil. Din egen sikkerhet avhenger derfor like mye av lommebokvalg, nøkkelhåndtering og skepsis som av hvor godt prosjektet er revidert.

Skrevet av Anneke de Vries, senredaktør i HOGE Wire med ansvar for sikkerhet og DeFi.