Bug bounty-jegerne i 2026: hvem lever av feiljakten?

Det høyeste bug bounty-programmet i kryptobransjen lover i 2026 opptil 16 millioner dollar, rundt 152 millioner kroner, for én eneste kritisk feil. Det er summen som havner i overskriftene. Lønnsslippen ser helt annerledes ut. Den typiske utbetalingen for en bekreftet kritisk sårbarhet på Immunefi, den største bug bounty-plattformen i kryptomarkedet, er 20 000 dollar, omtrent 190 000 kroner, ifølge plattformens egen gjennomgang av 593 programmer over fem år. Mellom taket og medianen ligger en hel arbeidsstyrke.

Denne artikkelen handler ikke om hvordan en enkelt dusør prises. Den mekanikken, fra takst til utbetaling, tok vi for oss i en egen gjennomgang av hva en feil er verdt. Her ser vi på menneskene bak tallene: hvem som faktisk lever av å finne feil i andres kode, hvor mange de er, hva de tjener, og hvordan yrket endrer seg i et år der AI-genererte «slop»-rapporter drukner innboksene og en av de største konkurranseplattformene la ned driften. 2026 ble året da whitehat-arbeidsstyrken ble størst, mest profesjonell og mest presset på én gang.

«Whitehat» som yrke: fra fritidssyssel til arbeidsstyrke

For ti år siden var det å lete etter feil i smartkontrakter noe folk gjorde på fritiden, ofte gratis, drevet av nysgjerrighet og status i et lite miljø. I 2026 er det en global arbeidsstyrke med egne plattformer, rangeringer, skattespørsmål og karriereveier. Immunefi, den dominerende aktøren, oppgir over 92 000 registrerte forskere og mer enn 180 milliarder dollar i beskyttede verdier fordelt på over 650 programmer, ifølge selskapets halvårsrapport for 2026. Legg til Sherlock, Cantina og de tradisjonelle plattformene HackerOne og Bugcrowd, og bildet er en profesjon, ikke en hobby.

Ordet whitehat skiller de etiske hackerne fra blackhats (kriminelle) og de som opererer i gråsonen. En whitehat rapporterer sårbarheten til prosjektet mot en avtalt belønning, i stedet for å utnytte den. Det er en tillitsbasert avtale: forskeren får tilgang til å angripe systemet, men bare innenfor reglene programmet setter. Bug bounty er derfor både et sikkerhetstiltak og et arbeidsmarked, og de to sidene henger sammen. Prosjektene kjøper forsvar; forskerne selger tid, kompetanse og selvbeherskelsen som skal til for ikke å ta pengene selv.

Skalaen er det nye. Immunefi passerte 100 millioner dollar i samlede utbetalinger i 2024, og betalte alene ut 13,45 millioner dollar (rundt 128 millioner kroner) for 837 gyldige feil i første halvår 2026, ifølge The Block. Samme rapport viser at kryptotap fra angrep falt under én milliard dollar i første halvår, 972 millioner dollar fordelt på rekordhøye 207 hendelser. Feiljegerne jobber altså i et marked der antallet angrep øker, mens den samlede skaden går ned. Det er akkurat den dynamikken bounty-økonomien er bygget for.

Inntektspyramiden: medianen, gjennomsnittet og de få på toppen

Fordelingen av inntekt blant sårbarhetsjegere er en lærebok i potensloven. De aller fleste tjener beskjedent; noen få tjener enormt. Immunefis egen forskning på 593 programmer fra januar 2021 til februar 2026 gir de klareste tallene: medianen for en kritisk dusør er 20 000 dollar, mens gjennomsnittet er 114 355 dollar. Avstanden mellom de to forteller alt. Gjennomsnittet trekkes opp av en tynn hale av ekstreme utbetalinger, inkludert enkeltsummer på flere millioner dollar, mens den typiske forskeren lander rundt medianen.

Til sammen har Immunefi betalt 107,3 millioner dollar (godt over én milliard kroner) bare for bekreftede kritiske sårbarheter, og omtrent én av fem bekreftede rapporter blir gradert som kritisk. Selskapet oppsummerte selv logikken skarpt: den typiske kritiske dusøren koster 20 000 dollar, mens hacket den forhindrer koster 25 millioner dollar og tre måneder av livet ditt. For prosjektene er regnestykket åpenbart. For forskerne betyr det at inntekten svinger voldsomt fra rapport til rapport.

Poenget med tabellen er ikke at 20 000 dollar er lite. Det er at ordet bug bounty dekker to helt forskjellige økonomiske virkeligheter. For en student i Lagos eller Manila kan én median-utbetaling tilsvare en årslønn; for en toppforsker er den en tirsdag. Den samme spennvidden gjør at yrket tiltrekker seg både lykkejegere og spesialister, og at rekrutteringen ser helt forskjellig ut avhengig av hvor på pyramiden man sikter.

Taket mot lønnsslippen: derfor finnes 16 millioner og 20 000 dollar side om side

Hvorfor annonserer prosjekter tak på 15 og 16 millioner dollar når medianen er 20 000? Fordi taket er et signal, ikke en prognose. Et høyt maksbeløp forteller markedet, og potensielle angripere, at prosjektet tar sikkerhet på alvor og at det lønner seg å levere en feil til dem i stedet for å selge den videre. Det høyeste aktive taket i 2026 tilhører stablecoin-utstederen Usual, som lovet opptil 16 millioner dollar via Sherlock, den største bug bounty-forpliktelsen i teknologihistorien. Modellen er 10 prosent av verdiene som står på spill, opp til taket.

Sherlocks egen oversikt over de høyest betalende programmene i 2026 viser hvor konsentrert toppen er. Dette er tak, ikke utbetalinger.

Men et tak er ikke en garanti. Den mest omtalte konflikten mellom annonsert og faktisk utbetalt er fortsatt Arbitrum-saken fra 2022. En whitehat med aliaset Riptide fant en feil i Arbitrums Nitro-sekvenser som kunne ha stjålet all innkommende ETH til broen mellom Ethereum og Arbitrum, verdier anslått til rundt 470 millioner dollar. Det annonserte maksbeløpet var 2 millioner dollar; utbetalingen ble 400 ETH, den gang verdt rundt en halv million dollar, ifølge CryptoPotato. Riptides reaksjon ble en advarsel til hele bransjen, og vi kommer tilbake til den lenger ned, for den handler like mye om arbeidsstyrkens moral som om penger.

Hvem er All Stars? Eliten og de invitasjonsbaserte lagene

På toppen av pyramiden sitter en liten gruppe forskere som tjener millioner. I mai 2025 lanserte Immunefi et invitasjonsbasert eliteprogram kalt All Stars, midt under etterdønningene av det rekordstore Bybit-tyveriet på 1,4 milliarder dollar. Det første medlemmet var en forsker med aliaset LonelySloth, som på det tidspunktet hadde tjent 3,6 millioner dollar (rundt 34 millioner kroner) på 60 betalte rapporter, ifølge The Block.

Immunefi-gründer og administrerende direktør Mitchell Amador beskrev målet som å bygge «et langsiktig fellesskap av de aller beste eliteforskerne», samtidig som han insisterte på at «crowdsourcet sikkerhet er åpen for alle som vil delta». Den doble meldingen er selve spenningen i yrket: plattformene vil ha både en bred base av tusenvis av amatører og et smalt sjikt av spesialister som kan revidere de mest kritiske protokollene. Ved lanseringen oppga Immunefi over 60 000 registrerte forskere og mer enn 116 millioner dollar i samlede utbetalinger; ett år senere var forskertallet passert 92 000.

Det er verdt å merke seg hvor få som når toppen. Blant titusener registrerte er det bare noen titalls som har passert én million dollar i samlede dusører. Eliten kjennetegnes ikke av flaks, men av evnen til å lese kompleks kode raskt, forstå økonomiske angrep (ikke bare tekniske feil) og levere rapporter som tåler streng vurdering. Det er en smal ferdighet, og den er global: toppforskerne kommer fra hele verden, ofte fra land der en enkelt kritisk dusør endrer livssituasjonen fullstendig.

AI-flommen: da «slop» begynte å drukne dusørkøene

Den største endringen i feiljegernes arbeidshverdag i 2026 kom ikke fra kryptomarkedet, men fra generativ AI. Kraftigere språkmodeller gjorde det trivielt å produsere rapporter som ser ut som sårbarhetsfunn, men som ikke er det. Bransjen fikk et navn på fenomenet: «AI slop», en flom av selvsikre, velformulerte og fullstendig verdiløse innsendinger.

Det tydeligste eksemplet kom fra åpen kildekode, ikke krypto. I januar 2026 la Daniel Stenberg, skaperen og hovedvedlikeholderen av curl (programvaren som kjører på milliarder av enheter), ned hele bug bounty-programmet sitt. Andelen gyldige rapporter hadde falt fra over 15 prosent til under 5 prosent; på det verste kom det sju rapporter på 16 timer, ingen av dem ekte. Stenberg var utvetydig i sin egen forklaring: hovedgrunnen til å legge ned programmet var å fjerne insentivet som får folk til å sende meningsløse, dårlig gjennomtenkte rapporter, og det spilte ingen rolle om de var generert av AI eller ikke.

For kryptoplattformene er problemet det samme, bare dyrere. Hver innsending må vurderes av en menneskelig triager, og når 19 av 20 er søppel, går kostnaden ved å drive et program opp mens signalet går ned. Det rammer forskerne dobbelt: de ærlige må konkurrere om oppmerksomhet i en kø full av støy, og plattformene svarer med tiltak som gjør det vanskeligere for nykommere å slippe til. AI er samtidig et verktøy: mange dyktige forskere bruker modeller til å lese kode raskere. Skillet går ikke mellom å bruke AI eller ikke, men mellom å bruke den til å forstå og å bruke den til å spamme.

Bransjens svar: invitasjon, tak og innsatskrav

Svaret på slop-flommen har vært en bølge av innstramminger på tvers av hele sikkerhetsbransjen, og den endrer arbeidsmarkedet for forskere direkte. Google sluttet å ta imot AI-genererte sårbarhetsrapporter i mars 2026. GitHub gjorde det mest inngripende grepet: fra 27. juli 2026 halverte selskapet de offentlige utbetalingene og flyttet de høyeste belønningene inn i et invitasjonsbasert VIP-sjikt, ifølge The Hacker News. Det offentlige programmet fikk faste satser (fra 250 dollar for lav alvorlighet til 10 000 dollar for kritisk), mens VIP-forskere kan tjene tre til fire ganger mer. Nye deltakere må først bygge et rulleblad før de slipper til.

Bugcrowd har til og med laget et begrep for mønsteret, «sloptimism»: AI-rapporter sendt raskt og håpefullt, der innsenderen stoler mer på modellens utdata enn på bevisene. Også i kryptomarkedet merkes presset. Coinbase endret sin belønningsstruktur i 2026 og pekte eksplisitt på AI som årsak, ifølge TheStreet. Immunefi har på sin side lenge brukt triage-filtre og innsatskrav (forskeren må låse et depositum for å sende inn visse rapporter) for å skille signal fra støy.

Fellesnevneren er en dreining fra åpne, alle-kan-delta-programmer mot inviterte, kuraterte sjikt. For eliten er dette gode nyheter: mindre støy, mer betalt. For nykommeren er terskelen inn i yrket blitt høyere nesten over natten. Det er en profesjonalisering, men også en innsnevring.

Code4rena-sjokket: da konkurranseplattformen forsvant

Mens AI presset arbeidsstyrken fra én kant, kom det et strukturelt sjokk fra en annen. Code4rena, plattformen som var mest kjent for å ha popularisert konkurranse-auditen (der uavhengige forskere, kalt «wardens», konkurrerer om å finne feil i en gitt kodebase mot en felles premiepott), annonserte i mai 2026 at den legger ned. Selskapet ble kjøpt av revisjonsfirmaet Zellic i 2024, etter å ha hentet 6 millioner dollar fra Paradigm i 2023, men klarte ikke å bære driften videre. Immunefi overtok kundene, reglene og forskerne, og de siste konkurransene ble kjørt ferdig før plattformen stengte 12. juli 2026, ifølge The Block.

For arbeidsstyrken var dette mer enn en firmanyhet. Code4rena var inngangsporten for en hel generasjon forskere: en offentlig arena der man kunne bygge omdømme, lære av andres funn og tjene sine første kroner uten en invitasjon. Da den forsvant, forsvant også en av de viktigste rekrutteringskanalene inn i yrket. Konsolideringen mot Immunefi gjør plattformmarkedet mer effektivt, men også mer sentralisert; vi har sett nærmere på hva det betyr for sikkerheten i gjennomgangen av konkurranserevisjon og bug bounties.

To arbeidsmodeller: konkurranse-audit mot kontinuerlig bounty

Feiljegere jobber i praksis i to forskjellige arbeidsmodeller, med helt ulik risikoprofil. Konkurranse-auditen er en tidsavgrenset dugnad: en kodebase åpnes i noen dager eller uker, hundrevis av forskere gransker den samtidig, og premiepotten deles etter hvem som finner hva. Uniswap la for eksempel v4-koden ut i en konkurranse med en pott på rundt 2,35 millioner dollar før lansering. Modellen er effektiv for prosjektet, men brutal for forskeren: finner ti personer samme feil, deles belønningen, og mange timer kan ende i null.

Den kontinuerlige bountyen fungerer motsatt. Programmet står åpent hele tiden, og den første som rapporterer en gyldig feil får hele belønningen. Her ligger de store takene (Uniswap v4 hadde 15,5 millioner dollar i kontinuerlig bounty etter lansering, mot konkurransepotten før). Risikoen er en annen: man kan bruke uker på en kodebase og finne ingenting, eller bli forbigått med timer. De to modellene tiltrekker seg forskjellige temperamenter, og mange proffe veksler mellom dem for å jevne ut inntekten.

Poenget begge modellene deler er at de aldri var ment å stå alene. Jack Sanford, medgründer og sjef i Sherlock, formulerte det slik da selskapet lanserte sin AI-assisterte revisor: punktvise revisjoner er uunnværlige, men de var aldri ment å bære hele sikkerhetsbyrden alene, ifølge Crypto Briefing. Bug bounty er laget nettopp for tiden etter revisjonen, når koden er live og innsatsen er reell. Det gjør feiljegeren til en permanent del av forsvaret, ikke en engangskostnad, noe også revisjonsselskapenes egne tall understreker.

Karrierestigen: slik blir man sårbarhetsjeger

Veien inn i yrket følger et ganske fast mønster. Den begynner ofte med Capture the Flag-konkurranser (CTF) og gratis læringsressurser, går videre til offentlige konkurranse-audits der man kan bygge et rulleblad, og ender for de beste med private invitasjoner og eliteprogrammer som All Stars. Hvert trinn krever noe nytt: teknisk dybde i Solidity, Rust eller Move; forståelse av økonomiske angrep som flash loans og oracle-manipulasjon; og evnen til å skrive rapporter som er så tydelige at de ikke kan avvises.

Ferdighetsprofilen har flyttet seg. For fem år siden holdt det å kjenne vanlige feilklasser (reentrancy, heltallsoverflyt, manglende tilgangskontroll). I 2026 er de enkle feilene i stor grad automatisert bort av verktøy og AI, og verdien ligger i det maskiner ennå ikke ser: sammensatte logiske feil, feil i økonomisk design og angrep som krysser flere protokoller. Det er derfor toppforskere kan ta millioner mens bunnen av markedet presses av både AI-slop og automatisering.

Baksiden er slitasje. Arbeidet er uforutsigbart, ofte ensomt, og betalt per resultat, ikke per time. En forsker kan bruke en måned uten inntekt og så tjene et årsverk på én uke. Kombinasjonen av høy usikkerhet, konstant konkurranse og en kø full av støy gjør utbrenthet til en reell yrkesrisiko. Profesjonaliseringen i 2026 handler like mye om å håndtere den ustabiliteten (gjennom faste inntekter, lag og retainere) som om å finne flere feil.

Der whitehat vurderer å bli blackhat

Den mest ubehagelige delen av arbeidsmarkedet er grensen mellom hvit og svart hatt. En forsker som finner en feil verdt hundrevis av millioner, sitter i et øyeblikk med all makten: rapportere for en dusør, eller utnytte feilen selv. Hele bounty-økonomien hviler på at nok folk velger det første, og det valget er økonomisk, ikke bare moralsk.

Riptide, som fant Arbitrum-feilen, gjorde nettopp dette poenget. Etter å ha fått 400 ETH for en feil som satte 470 millioner dollar i fare, skrev forskeren at hvis du annonserer en bounty på 2 millioner dollar, må du være forberedt på å betale den når det er berettiget, ellers bør du heller si at maksbeløpet er 400 ETH og være ærlig om det. Advarselen som skremte prosjekter var det som fulgte: hackere følger nøye med på hvilke prosjekter som betaler og hvilke som ikke gjør det, og for lav betaling kan friste en whitehat til å bli blackhat, ifølge CryptoPotato. Underbetaling er altså ikke bare urettferdig; det er en sikkerhetsrisiko.

På den andre siden av grensen ligger ren utpressing. Da Kraken i 2024 oppdaget at forskere hadde utnyttet en feil til å ta ut rundt 3 millioner dollar og nektet å levere det tilbake uten en forhandling, var børsens sikkerhetssjef Nick Percoco krystallklar: «dette er ikke whitehat-hacking, det er utpressing», ifølge CoinDesk. Skillet er avgjørende for hele yrket: en whitehat rapporterer og venter på en avtalt belønning; den som tar pengene først og forhandler etterpå, har krysset over til noe strafferettslig helt annet. Vi har sett hvordan slike angrep faktisk beveger seg i analysen av privatnøkkelkompromiss.

Kan en nordmann leve av dette? Skatt, juss og realøkonomi

For en norsk leser er det praktiske spørsmålet: kan man faktisk leve av bug bounty her? Svaret er nyansert. Ferdighetene er globale og plattformene er åpne for nordmenn, men realøkonomien følger den samme pyramiden som overalt ellers. For de aller fleste er dette en attåtnæring, ikke en heltidsinntekt; for en liten elite kan det være svært lønnsomt. Medianen på rundt 190 000 kroner per kritisk funn høres mye ut, men den forutsetter at man i det hele tatt finner en kritisk feil, noe de fleste programmer bruker år på.

Skattemessig er en dusør ikke skattefri gevinst. Skatteetaten behandler kryptovaluta som formuesobjekt, og en belønning mottatt i krypto er skattepliktig inntekt til markedsverdi på mottakstidspunktet. Gjør du dette sporadisk, ligner det hobbyinntekt; gjør du det systematisk og med overskuddsevne, kan det bli klassifisert som virksomhet, med de pliktene det medfører. I tillegg kommer gevinst eller tap når du senere selger kryptoen, målt mot verdien da du mottok den. Alt skal føres i skattemeldingen, og Skatteetatens veiledning for kryptovaluta gjelder også dusører.

Juridisk er hovedregelen enkel, men viktig: du må holde deg innenfor programmets scope og fullmakt. Å teste et system du har fått tillatelse til å teste er lovlig; å skaffe deg uberettiget tilgang til et datasystem utenfor en slik avtale rammes av straffelovens regler om datainnbrudd, uansett hvor gode intensjoner du har. Safe Harbor-rammeverk (som bransjeorganet Security Alliance står bak) forsøker å gi whitehats et tydelig juridisk rom for redningsaksjoner, men de er private avtaler, ikke norsk lov. En norsk forsker som opererer på egen hånd uten et program i ryggen, tar en reell rettslig risiko.

Regelverket som ikke ser feiljegeren

Det finnes ingen norsk eller europeisk regulering som handler direkte om bug bounty-jegeren. MiCA, som gjelder i Norge gjennom EØS-avtalen, regulerer utstedere av kryptoaktiva og tjenestetilbydere (CASP-er), altså børser, forvaringsaktører og lignende, ikke de uavhengige forskerne som tester dem. Finanstilsynet fører tilsyn med disse tjenestetilbyderne, men har ikke noe mandat overfor en frilanser som leverer en sårbarhet til et protokollteam i utlandet. DORA, som gjelder for de samme tjenestetilbyderne fra januar 2025, stiller krav til operasjonell IT-sikkerhet hos selskapet, men rører heller ikke selve dusørjegeren.

Resultatet er et regulatorisk tomrom fylt av privat selvregulering. Plattformene setter reglene: scope, alvorlighetsgrader, utbetalingsmodeller og tvisteløsning. Bransjeinitiativ som Safe Harbor forsøker å gi juridisk trygghet for redningsaksjoner. Men når en tvist oppstår, for eksempel om et program betalte for lite, finnes det ingen tilsynsmyndighet å klage til; det nærmeste er forskernes eget omdømmepress, der historier om prosjekter som ikke betaler sprer seg raskt og skader deres evne til å tiltrekke seg forsvar. Arbeidsmarkedet reguleres, med andre ord, mest av rykte.

Hva 2026-arbeidsstyrken betyr for norske brukere og prosjekter

For en vanlig norsk kryptobruker er feiljegerne et usynlig, men reelt lag av forsvar. Hver gang en whitehat rapporterer en kritisk feil i en bro, en stablecoin eller en lommebok før noen rekker å utnytte den, er det penger som ikke forsvinner fra brukere som deg. Immunefis egne tall anslår at et vellykket angrep i snitt gjør rundt 24,5 millioner dollar i direkte skade, og at tokenet i gjennomsnitt faller 61 prosent innen et halvår; en dusør på noen hundre tusen dollar er billig til sammenligning.

Samtidig er det verdt å huske hva bounty-laget ikke fanger. De fleste tapene i 2026 kom ikke fra rene kodefeil, men fra kompromitterte nøkler og infrastruktur, altså angrep som ligger utenfor det en typisk bug bounty dekker. Det er en påminnelse om at forskerne beskytter koden, mens ansvaret for nøklene ligger hos deg. Hvordan du oppbevarer dem er fortsatt den viktigste avgjørelsen; vi har sammenlignet alternativene i gjennomgangen av kryptoforvaring.

For norske utviklere og prosjekter er lærdommen praktisk. Et bug bounty-program er ikke en erstatning for revisjon, men et nødvendig andre lag, og det bør prises ærlig: et tak du ikke er villig til å betale, er verre enn intet tak, fordi det ødelegger tilliten forskerne trenger for å velge deg fremfor den andre siden. I en arbeidsstyrke som styres av rykte, er et prosjekts betalingshistorikk dets viktigste sikkerhetsinvestering.

Ofte stilte spørsmål

Hvor mye tjener en bug bounty-jeger?

Det varierer enormt. Den typiske utbetalingen for en bekreftet kritisk sårbarhet på Immunefi er rundt 20 000 dollar (cirka 190 000 kroner), mens gjennomsnittet er 114 355 dollar fordi noen få enorme utbetalinger trekker det opp. De aller fleste forskere tjener beskjedent og uregelmessig; bare noen titalls i hele verden har passert én million dollar i samlede dusører. Inntekten følger en potenslov, ikke en fast lønn.

Kan man leve av bug bounty i Norge?

For de aller fleste er det en attåtnæring, ikke en heltidsjobb. Plattformene er åpne for nordmenn, og ferdighetene er globale, men inntekten er uforutsigbar og forutsetter at man faktisk finner kritiske feil, noe som kan ta år. En liten elite lever godt av det; for de fleste andre er det en supplerende inntekt som krever høy teknisk kompetanse.

Hva er «AI slop» i bug bounty-sammenheng?

AI slop er flommen av AI-genererte sårbarhetsrapporter som ser troverdige ut, men som ikke inneholder ekte feil. De tvinger plattformer og prosjekter til å bruke ressurser på å sile bort søppel. I januar 2026 la curl-prosjektet ned hele bug bounty-programmet sitt fordi under 5 prosent av rapportene var gyldige, og både Google, GitHub og Coinbase har strammet inn programmene sine av samme grunn.

Hvordan beskattes bug bounty-inntekt i Norge?

En dusør er skattepliktig inntekt, ikke skattefri gevinst. Skatteetaten regner belønningen som inntekt til markedsverdi på det tidspunktet du mottar den, og et senere salg av kryptoen utløser gevinst eller tap i tillegg. Driver du det systematisk, kan det klassifiseres som virksomhet. Alt skal føres i skattemeldingen.

Hva var Code4rena, og hvorfor la de ned?

Code4rena var plattformen som populariserte konkurranse-auditen, der forskere kalt «wardens» konkurrerer om å finne feil i en kodebase mot en felles premiepott. Etter å ha blitt kjøpt av Zellic i 2024, annonserte plattformen nedleggelse i mai 2026, og Immunefi overtok kundene og forskerne. Den siste driften ble avsluttet 12. juli 2026.

Anneke de Vries er sikkerhetsredaktør i HOGE Wire og dekker sårbarheter, revisjon og whitehat-økonomien i kryptomarkedet.