Exploit-postmortem i 2026: slik leser du obduksjonen av et hack

Klokken var rundt halv ett på ettermiddagen, norsk tid, den 21. februar 2025, da noe gikk galt inne i en av verdens største kryptobørser. Signaturer som så helt normale ut ble godkjent av folkene som skulle passe på Bybits kalde Ethereum-lommebok, og i løpet av minutter forsvant nær 500 000 ETH ut av selskapets kontroll. Verdien var omtrent 1,5 milliarder dollar, drøyt 14 milliarder kroner etter kursen i august 2026, og det ble det største krypto-tyveriet noensinne registrert, ifølge tall fra Chainalysis gjengitt av The Block.

Men selve tyveriet er sjelden det mest interessante ved et krypto-hack. Det interessante kommer etterpå, når protokollen, børsen eller stiftelsen må forklare nøyaktig hva som skjedde: hvilken linje kode, hvilken nøkkel eller hvilken menneskelig feil som åpnet døra. Denne forklaringen har fått et eget navn i bransjen, lånt fra medisinen og fra driftsmiljøene som holder store nettsteder oppe: postmortem, obduksjonsrapporten. En god postmortem er både et teknisk dokument og et tillitsdokument, og evnen til å lese den kritisk er blitt en kjerneferdighet for alle som har penger på kjeden.

Denne artikkelen forklarer hva en exploit-postmortem er, hvordan den er bygget opp, og hva de store obduksjonene fra The DAO til Bybit har lært oss. Vi ser også på den norske vinkelen, der Økokrim fikk en uventet hovedrolle i et av tidenes største kryptoran, og på hvordan MiCA og DORA nå gjør hendelsesrapportering til lov, ikke bare god skikk.

Hva en exploit-postmortem egentlig er

Ordet postmortem betyr bokstavelig «etter døden», og i medisinen er det obduksjonen som fastslår dødsårsaken. I programvarebransjen ble begrepet lånt inn for å beskrive den skriftlige gjennomgangen som følger etter en alvorlig driftsfeil. I kryptosammenheng er en exploit-postmortem den offentlige rapporten et prosjekt publiserer etter at det er blitt utnyttet: et dokument som skal svare på hva som skjedde, når det skjedde, hvorfor det var mulig, hvor mye som gikk tapt, og hva som gjøres for at det ikke skal skje igjen.

En postmortem er ikke det samme som den første korte meldingen på X om at «vi undersøker en hendelse». Den er heller ikke det samme som den rene rettstekniske rapporten et selskap som Chainalysis eller Elliptic leverer for å spore pengene. Postmortemen er syntesen: den samler teknisk rotårsak, økonomisk konsekvens og organisatorisk lærdom i ett dokument, gjerne signert av teamet selv. Formålet er dels praktisk, å hjelpe andre utviklere med å unngå samme fella, og dels politisk, å gjenreise tillit hos brukere som nettopp har sett saldoen sin fordampe.

Det som gjør kryptopostmortemer spesielle, er at de skrives i full offentlighet, med et publikum som kan kontrollere påstandene. Hver transaksjon ligger åpent på blokkjeden, uforanderlig og tidsstemplet. Skriver et team at angrepet startet klokken 12.14, kan hvem som helst sjekke blokknummeret. Hevder de at bare én kontrakt ble rammet, kan uavhengige granskere motbevise det på minutter. En dårlig, unnvikende postmortem blir derfor sjelden stående uimotsagt; den blir plukket fra hverandre på forum, i tråder og på nettsteder som fører nøye regnskap med bransjens tap.

Fra flyhavari til blokkjede: den skyldfrie kulturen

Ideen om den skyldfrie gjennomgangen kommer ikke fra kryptoverdenen. Den oppstod i luftfarten og i helsevesenet, bransjer der en feil kan koste liv, og der man tidlig forstod at jakten på en syndebukk gjør systemet farligere, ikke tryggere. Hvis den som gjør en feil vet at han blir hengt ut, skjuler han feilen neste gang. Da mister organisasjonen nettopp den informasjonen den trenger for å bli bedre.

Google formaliserte dette for programvare i sin mye siterte SRE-bok om postmortem-kultur. Prinsippet er at en gjennomgang skal være «blameless»: den skal finne de systemiske betingelsene som gjorde feilen mulig, ikke peke ut en enkeltperson. Den berømte «fem ganger hvorfor»-metoden stopper ved systemet, ikke ved mennesket. Svarer man «fordi utvikleren godkjente en dårlig transaksjon», er ikke det en rotårsak; da må man spørre videre hvorfor systemet i det hele tatt lot en enkelt person godkjenne en transaksjon til over en milliard dollar uten en kontroll som fanget opp at kontraktslogikken var endret.

Moderne praksis snakker derfor helst om «medvirkende årsaker» i flertall, ikke én rotårsak. Komplekse systemer feiler nesten aldri på grunn av én ødelagt del; de feiler når flere svakheter faller sammen samtidig. En manglende test, en tvetydig rutine, et bibliotek ingen hadde revidert på to år og en signatur godkjent i blinde: hver for seg ufarlige, sammen katastrofale. De beste kryptopostmortemene har tatt dette inn over seg. De svakeste stopper ved «en avansert angriper utnyttet oss» og lar det stå som om uflaks var forklaringen.

Anatomien til en troverdig obduksjon

En moden postmortem, enten den kommer fra et driftsteam hos Google eller fra en DeFi-protokoll, har en gjenkjennelig ryggrad. Google definerer standardartefakten som et sammendrag, en tidslinje, en rotårsaksanalyse, en konsekvensvurdering og en liste over tiltak med ansvarlige og frister. Kryptobransjen har arvet den samme malen. Tabellen under viser delene, hva de skal svare på, og hva du bør reagere på hvis en del er tynn eller mangler.

Merk hvordan de fleste røde flaggene handler om presisjon. En ærlig postmortem tør å være konkret, fordi konkrete påstander kan etterprøves mot kjeden. En unnvikende postmortem holder seg vag nettopp fordi vagheten ikke kan motbevises. Når du leser en rapport, er graden av teknisk detalj derfor et av de sikreste tegnene på om teamet faktisk forstår hva som traff dem.

De fem vektorene et hack kommer inn gjennom

Nesten alle exploit-rapporter kan plasseres i en av fem kategorier etter hvor angrepet slo inn. Den første er feil i selve smartkontrakten: reentrancy, heltallsoverflyt, manglende tilgangskontroll eller matematiske avrundingsfeil. Den andre er kompromitterte nøkler eller validatorer, der angriperen ikke bryter koden, men skaffer seg retten til å signere. Den tredje er orakel- og prismanipulasjon, der en protokoll fôres med en falsk pris og handler på den. Den fjerde er governance-angrep, der angriperen låner nok stemmerett til å tvinge gjennom et ondsinnet forslag. Den femte, og den som vokser raskest, er angrep utenfor kjeden: phishing, kompromitterte utviklermaskiner og angrep på forsyningskjeden i verktøyene protokollene bruker.

Denne siste kategorien er verdt å dvele ved, for den forteller en historie om hvordan forsvaret har flyttet seg. Samczsun, den kjente hvithatt-forskeren som ledet sikkerhetsarbeidet i Paradigm før han gikk over til sikkerhetsnettverket SEAL, har pekt på at bransjens tre standardgrep, testing under utvikling, revisjon og konkurranser før lansering, og bug bounty etterpå, faktisk har virket. Etter hvert som koden på kjeden er blitt hardere, har det, slik han beskriver det i en gjennomgang gjengitt av Bitget News, tvunget angriperne til å flytte fokus til svakheter utenfor kjeden, som tyveri av private nøkler og innbrudd i infrastruktur. Bybit-saken er selve lærebokeksempelet: koden på kjeden holdt, men menneskene og verktøyene rundt gjorde det ikke.

De to første kategoriene har hver sin dype litteratur i HOGE Wire. Angrep mot broer mellom kjeder, der validatornøkler er den svake leddet, gjennomgår vi i bro-hackenes anatomi, mens den voksende klassen av nøkkelkompromisser er tema i vår gjennomgang av hvordan privatnøkkelkompromiss flytter seg. Poenget her er at rotårsaken i postmortemen forteller deg hvilken av de fem dørene som stod åpen, og dermed hva slags tiltak som faktisk vil hjelpe.

Tidslinjen som ligger åpen på kjeden

Der en tradisjonell bedrift må rekonstruere et innbrudd fra logger den selv kontrollerer, har kryptoetterforskeren et uvanlig privilegium: åstedet er offentlig. Hver eneste transaksjon angriperen gjorde ligger på kjeden, tidsstemplet med blokknummer og umulig å slette i ettertid. Det gjør tidslinjen til det mest robuste elementet i en postmortem, og samtidig det som lettest avslører om teamet pynter på sannheten.

Rundt denne åpenheten har det vokst frem en hel industri. Selskaper som Chainalysis, TRM Labs og Elliptic selger sporing og attribusjon til børser, forsikringsselskaper og politi, mens uavhengige etterforskere, den mest kjente er den anonyme ZachXBT, ofte legger ut detaljerte tråder før de offisielle rapportene er ferdige. Det er denne kollektive granskingen som gjør at et angrep i dag typisk attribueres i løpet av timer. Nord-Koreas Lazarus-gruppe, som står bak både Ronin og Bybit, gjenkjennes på hvordan de flytter og vasker pengene like mye som på selve innbruddet.

For deg som leser er tidslinjen også et diagnoseverktøy. Var det sekunder mellom første og siste ondsinnede transaksjon, snakker vi om en automatisert kontraktsutnyttelse, gjerne finansiert med et flash-lån. Gikk det derimot dager fra innbruddet til noen oppdaget det, slik det gjorde ved Ronin, forteller det om et overvåkingshull like alvorlig som selve sårbarheten. Chainalysis anslo at det ble stjålet over 3,4 milliarder dollar, godt over 32 milliarder kroner, gjennom 2025, og at Nord-Korea alene stod for rundt 2 milliarder dollar av dette, tall som først blir mulige å sette sammen fordi pengene aldri forsvinner fra kjedens hukommelse.

Krigsrommet: de første timene avgjør

Postmortemen skrives i etterkant, men kvaliteten på den avgjøres ofte av det som skjer i de første timene, i det bransjen kaller krigsrommet. Her samles utviklere, sikkerhetsforskere, jurister og noen ganger børser i sanntid for å stanse blødningen: pause kontrakter, tømme gjenværende midler til sikkerhet, varsle utvekslinger om å fryse innkommende adresser og forsøke å forhandle med angriperen.

Det viktigste institusjonelle svaret på dette behovet er Security Alliance, kjent som SEAL, som samczsun lanserte i februar 2024. Kjernen er SEAL 911, en døgnåpen nødlinje på Telegram der et lag på rundt 40 vettede hvithatt-hackere kan ta imot varsler om angrep som pågår og bistå i sanntid. Ifølge organisasjonen har teamet bidratt til å redde over 50 millioner dollar og drevet mer enn 125 slike krigsrom. SEAL står også bak Whitehat Safe Harbor Agreement, et rammeverk som gir hvithatter juridisk dekning når de griper inn og redder midler under et aktivt angrep, og et bransjeorgan for deling av trusselinformasjon.

Krigsrommets logikk er den samme som i beredskap ellers: jo raskere de rette folkene er på plass, desto større er sjansen for å redde situasjonen. En postmortem som beskriver en velsmurt førstetimesrespons, med tidsstemplede beslutninger og navngitte samarbeidspartnere, forteller om en organisasjon som var forberedt. En som er stille om de første timene, skjuler som regel kaos. Det samme gjelder valget av forvaringsløsning i utgangspunktet; hvordan nøklene var oppbevart før angrepet, et tema vi går grundig gjennom i vår oversikt over hvem som egentlig holder nøklene, avgjør ofte hvor stort krigsrommet i det hele tatt trengte å bli.

Hvithatter, forhandlinger og «Mr. White Hat»

Et av de særegne trekkene ved kryptohendelser er at tyven ofte kan overtales til å levere tilbake. Fordi pengene er sporbare og vanskelige å vaske i stor skala, og fordi mange angripere heller vil fremstå som hvithatter enn som kriminelle, har forhandling blitt en fast del av responsen. Det klassiske eksempelet er Poly Network i august 2021, der en angriper tømte protokollen for rundt 611 millioner dollar på tvers av flere kjeder, for så å levere alt tilbake i løpet av to uker. Poly Network begynte å omtale vedkommende som «Mr. White Hat», tilbød en dusør på 500 000 dollar og til og med en rolle som sikkerhetsrådgiver, slik Blockworks dokumenterte. Bare rundt 33 millioner dollar i USDT, som Tether hadde frosset, kom aldri tilbake i samme form.

Euler Finance viser den samme mekanikken i mer forhandlet form. I mars 2023 mistet långiveren 197 millioner dollar, nær 1,9 milliarder kroner, i et flash-lån-angrep. Teamet kombinerte en dusør på én million dollar for informasjon med et pressmiddel og gjentatte meldinger sendt som notater i selve transaksjonene, og fikk til slutt tilbake alt. Angriperen, som kalte seg «Jacob», beklaget og returnerte midlene over noen uker. Euler har selv beskrevet den anspente prosessen i sin egen gjennomgang av gjenvinningen, som er verdt å lese nettopp fordi den ikke gjemmer bort hvor nær det var å gå galt.

Ikke alle utfall hviler på angriperens gode vilje. Da Wormhole-broen mistet rundt 325 millioner dollar i februar 2022 gjennom en manglende signaturkontroll, valgte utviklingspartneren Jump Crypto å fylle hullet av egen lomme innen få timer, slik at brukerne holdt seg hele. Jumps daværende president Dave Olsen beskrev senere angrepet som en «høyteknologisk sjekkforfalskning» overfor Crain’s Chicago Business. Forhandling, dusør og en dypere lomme er tre helt ulike utveier, og en god postmortem er tydelig på hvilken av dem som faktisk reddet brukerne. Selve økonomien i belønning av feilfinnere ser vi nærmere på i artikkelen om bug bounty-jegerne.

Åtte obduksjoner som formet bransjen

Ingen enkelt sak forteller hele historien, men lest sammen tegner de store obduksjonene et tydelig mønster av hvordan angrep, og svar, har utviklet seg. Tabellen under samler åtte hendelser som hver satte spor i praksis, fra reentrancy-feilen som splittet Ethereum i to, til forsyningskjedeangrepet som ga Nord-Korea tidenes største fangst.

Curve-saken i juli 2023 fortjener en ekstra merknad, fordi rotårsaken lå et uventet sted. Sårbarheten var ikke i Curves egen kode, men i selve programmeringsspråket Vyper, der visse eldre versjoner hadde en reentrancy-lås som ikke fungerte. Flere pooler ble tappet før hvithatter og enkelte som kjørte foran angriperne i køen fikk redusert tapet, slik Halborn beskriver. Lærdommen var ubehagelig: du kan revidere din egen kontrakt perfekt og likevel falle på et verktøy lenger nede i kjeden. Nettopp derfor er verdien av revisjoner et tilbakevendende stridstema, noe vi utforsker i vår analyse av CertiK og tallene som snur trusselbildet.

Da Norge frøs pengene: Økokrim og Ronin

Ronin-hacket i mars 2022 er både en av bransjens verste obduksjoner og, overraskende nok, en norsk historie. Ronin var sidekjeden Sky Mavis bygde for spillet Axie Infinity, og sikkerheten hvilte på ni validatornoder der fem måtte godkjenne en overføring. Angriperen, senere attribuert til Lazarus, skaffet seg kontroll over fire noder styrt av Sky Mavis pluss én tredjepartsnode, og signerte seg selv ut med 173 600 ETH og 25,5 millioner USDC, til sammen rundt 625 millioner dollar, nesten 6 milliarder kroner. Det verste var ikke innbruddet, men at det ikke ble oppdaget før seks dager senere, da en bruker klaget over at et uttak ikke gikk gjennom, slik CoinDesk rapporterte den gangen.

Her kommer Norge inn. I 2024 kunngjorde Sky Mavis at rundt 5,7 millioner dollar, drøyt 54 millioner kroner, av de stjålne midlene var fryst og levert tilbake takket være Økokrim, Norges myndighet for etterforskning av økonomisk og miljøkriminalitet, i samarbeid med amerikanske FBI og etterforskningsselskaper. Ifølge crypto.news og The Block gikk 15 prosent av beløpet til å dekke kostnadene, mens resten ble ført tilbake til Axie-økosystemet, og ytterligere titalls millioner dollar var fryst i påvente av videre arbeid.

Saken er en påminnelse om at postmortemen ikke slutter når rapporten publiseres. Gjenvinning kan pågå i årevis, den krever koordinering mellom politi, advokater, regnskapsførere og blokkjedeanalytikere på tvers av landegrenser, og små, uglamorøse jurisdiksjoner kan spille avgjørende roller. At det var norsk politi som satt på en bit av tidenes nordkoreanske kryptoran, sier noe om hvor internasjonalt både forbrytelsen og oppklaringen har blitt.

Bybit-obduksjonen: da angrepet flyttet seg utenfor kjeden

Bybit-saken er den viktigste postmortemen i nyere tid, fordi den viser hvor forsvaret nå brister. Ingen sårbarhet ble funnet i Bybits egen infrastruktur. Rotårsaken lå hos Safe, den mye brukte multisig-leverandøren. En macOS-maskin som tilhørte en Safe-utvikler ble kompromittert 4. februar 2025 gjennom sosial manipulasjon. Angriperne fikk tilgang til utrullingssystemene, og under en rutineoppdatering rundt 19. februar injiserte de ondsinnet JavaScript i grensesnittet på det offisielle domenet app.safe.global. Koden var skreddersydd til å aktiveres kun for Bybits signeringsadresser, slik at den var usynlig for vanlige brukere, ifølge den tekniske gjennomgangen fra NCC Group og rapporteringen til BleepingComputer.

Resultatet var det sikkerhetsfolk kaller blind signering. Bybits signeringspersoner så en helt normal transaksjon i grensesnittet, mens det de faktisk godkjente var en instruksjon som endret logikken i den kalde lommeboken og ga angriperen kontroll. Rundt 500 000 ETH forsvant, verdien var omtrent 1,5 milliarder dollar, drøyt 14 milliarder kroner. Til sammenligning koster en enkelt bitcoin rundt 595 500 kroner etter kursen hos CoinGecko i august 2026, så beløpet tilsvarer nesten 24 000 bitcoin.

Bybits respons ble en case i åpenhet under press. Administrerende direktør Ben Zhou gikk raskt ut og forsikret at børsen var solvent og ville dekke hele tapet, med kundenes midler dekket 1:1, ifølge Cryptopolitan. En uavhengig bevisføring for reserver bekreftet at reservene ble fylt opp igjen. Samczsuns poeng om at angriperne beveger seg utenfor kjeden får her sin knallharde illustrasjon: den dyreste feilen i kryptohistorien handlet ikke om en buggy smartkontrakt, men om en utviklermaskin og et menneske som signerte i blinde. Det er også grunnen til at maskinvarelommebøker med tydelig signering, som viser signeringspersonen nøyaktig hva som faktisk godkjennes, ikke lenger er et nisjetema for paranoide.

Kan et desentralisert nett gripe inn?

Noen av de mest interessante postmortemene handler ikke om koden, men om et filosofisk dilemma: skal et desentralisert nettverk kunne gripe inn og reversere et tyveri? Spørsmålet er like gammelt som Ethereum selv. Da The DAO ble tappet for rundt 3,6 millioner ETH i juni 2016 gjennom en reentrancy-feil i splitDAO-funksjonen, valgte fellesskapet å utføre en hard fork som rullet tilstanden tilbake til før angrepet. Et mindretall nektet, holdt fast på prinsippet om at «koden er loven» og videreførte den opprinnelige kjeden som Ethereum Classic. The Block markerte nylig tiårsdagen for hendelsen, som fortsatt definerer bruddlinjen mellom pragmatikk og prinsipp.

Cetus-saken i mai 2025 viste at dilemmaet er høyst levende. En overflytfeil i et tredjeparts mattebibliotek lot en angriper mynte enorme mengder likviditet og tappe DEX-en på Sui-kjeden for 223 millioner dollar på under et kvarter. Sui-validatorene reagerte med å nekte å behandle angriperens transaksjoner, og frøs dermed rundt 162 millioner dollar, over 1,5 milliarder kroner, før de kunne flyttes, slik The Block og Elliptic beskrev. Det reddet brukerne, men reiste et ubehagelig spørsmål: hvis et lite antall validatorer kan fryse penger etter eget skjønn, hvor desentralisert er nettet egentlig?

Det finnes ikke noe fasitsvar. Sentraliserte aktører som Bybit kan dekke tap fra egen balanse; broer som Wormhole kan ha en velstående partner i ryggen; sidekjeder og enkelte lag-1-nett kan koordinere en fysisk inngripen. Rene DeFi-protokoller uten en slik nødbrems må enten forhandle seg til pengene tilbake eller leve med tapet. En god postmortem er ærlig om hvilken av disse verdenene protokollen tilhører, for det avgjør hva slags beskyttelse du faktisk har som bruker.

Regelverket: MiCA, DORA og Finanstilsynet

Fram til nylig var postmortemen et frivillig dokument, styrt av bransjenormer og omdømmehensyn. Det er i ferd med å endre seg. I EU trådte hoveddelen av MiCA, som regulerer tilbydere av kryptotjenester, i kraft 30. desember 2024, og fra 17. januar 2025 gjelder DORA, forordningen om digital operasjonell motstandsdyktighet, for de samme aktørene. En kryptobørs med MiCA-lisens er dermed også en DORA-pliktig enhet.

DORA gjør hendelsesrapportering til en lovpålagt, tidsstyrt prosess. Ved en alvorlig IKT-hendelse må selskapet sende en første melding til tilsynsmyndigheten raskt, innen fire timer etter at hendelsen er klassifisert som alvorlig og senest 24 timer etter at den ble oppdaget, deretter en mellomrapport innen 72 timer og en sluttrapport innen én måned, slik advokatfirmaet DLA Piper oppsummerer kravene. De presise fristene ligger i de tekniske standardene til forordningen. Sluttrapporten er i praksis en regulatorisk postmortem, med krav om rotårsak og tiltak.

For norske brukere er dette relevant fordi Norge gjennom EØS tar inn både MiCA og DORA, med Finanstilsynet som nasjonal tilsynsmyndighet. En norskregulert tilbyder som blir hacket vil ikke lenger kunne nøye seg med en blogg og en beklagelse; den må levere en formell hendelsesrapport til Finanstilsynet innenfor stramme frister. Det betyr ikke at den offentlige postmortemen forsvinner, men at den nå skygges av et parallelt, juridisk bindende dokument. På sikt kan det heve kvaliteten på det som deles offentlig, rett og slett fordi selskapene uansett må gjøre grovarbeidet for tilsynet.

Slik leser du en postmortem som vanlig bruker

Du trenger ikke være revisor for å vurdere en obduksjonsrapport. Noen få spørsmål avslører det meste. Er rotårsaken beskrevet konkret, med navn på funksjon, kontrakt eller verktøy, eller gjemmer den seg bak «en sofistikert angriper»? Har tidslinjen faktiske klokkeslett og blokknummer, slik at du kan kontrollere den mot kjeden? Sier rapporten tydelig hvem som tapte hva, og om og hvordan brukerne blir gjort hele? Har tiltakene ansvarlige og frister, eller er de løse løfter om å «gjøre bedre»?

• Presisjon i rotårsaken: jo mer teknisk detalj, desto mer sannsynlig at teamet faktisk forstår hva som traff dem.
• Etterprøvbar tidslinje: klokkeslett og blokknummer som kan sjekkes mot en blokkutforsker.
• Klarhet om erstatning: et konkret svar på om, når og hvordan brukerne får igjen pengene.
• Tiltak med eierskap: hvert punkt bør ha en ansvarlig og en frist, ikke bare en intensjon.
• Tone: ser teamet innover og spør «hvordan lot systemet dette skje», eller peker det utover på tredjeparter og uflaks?

De tydeligste faresignalene er de motsatte: ingen tidslinje, en rotårsak som forblir vag, ingen omtale av de første timene, og en tone som legger all skyld på angriperen. En rapport som utelukkende beskriver hvor «avansert» motstanderen var, uten å innrømme hva som selv sviktet, er sjelden en ærlig postmortem. Den er en pressemelding forkledd som en.

Hva en god obduksjon faktisk bør endre

Den ultimate testen på en postmortem er ikke hvor godt den er skrevet, men hva den fører til. I moden sikkerhetskultur er tiltakene delt i to: det som stanser blødningen der og da, og det som endrer systemet varig. Det siste er det som teller. Etter Vyper-saken oppdaterte protokoller sine kompilatorversjoner; etter Bybit tok flere børser blind signering på alvor og krevde maskinvarebekreftelse som viser hva som faktisk signeres.

Samczsun har argumentert for at bransjen må slutte å behandle en enkelt revisjon som et varig kvalitetsstempel. En bug bounty er, som han beskriver det, et passivt tiltak, et veddemål på at en hvithatt finner feilen før en svarthatt, mens en revisjon er en aktiv handling protokollen selv tar. Hans anbefaling for 2026 er å gjøre årlige revisjoner til et fast fjerde ledd i sikkerhetsarbeidet, ved siden av testing, revisjon før lansering og bug bounty, og å behandle revisjonsrapporter som ferskvare med utløpsdato snarere enn evige garantier. Poenget er at kode råtner: et bibliotek som var trygt i fjor kan ha en kjent sårbarhet i år.

Til slutt er den kollektive verdien av postmortemer kanskje den viktigste. Nettsteder som Rekt News’ resultattavle fører et nådeløst regnskap over de største tapene og gjør dem til bransjens felles hukommelse. Hver ærlig obduksjon som deles, gjør det litt vanskeligere for neste angriper å bruke samme knep. Det er den egentlige gevinsten ved den skyldfrie kulturen: en feil hos én blir en vaksine for alle, men bare hvis den faktisk beskrives ærlig. Chainalysis’ tall på over 3,4 milliarder dollar stjålet i 2025 minner om at motstanderen ikke hviler, og at bransjens beste forsvar fortsatt er å lære raskere enn den taper.

Frequently Asked Questions

Hva er en exploit-postmortem?

En exploit-postmortem er den offentlige rapporten et kryptoprosjekt publiserer etter et angrep. Den beskriver tidslinjen, rotårsaken, det økonomiske omfanget, tiltakene som ble satt inn og lærdommene, og fungerer både som et teknisk dokument og et tillitsdokument overfor brukerne.

Hvem skriver postmortem etter et krypto-hack?

Vanligvis skriver det rammede teamet selv hovedrapporten, ofte med bistand fra sikkerhetsselskaper som utfører den rettstekniske granskingen. Uavhengige etterforskere og analyseselskaper som Chainalysis og Elliptic publiserer gjerne parallelle analyser, som kan bekrefte eller motsi den offisielle versjonen.

Får jeg pengene tilbake hvis en protokoll jeg bruker blir hacket?

Det kommer helt an på aktøren. Sentraliserte børser med solid balanse, som Bybit, kan dekke tap fra egne midler, og enkelte broer har en velstående partner i ryggen. Rene DeFi-protokoller uten nødbrems må ofte forhandle med angriperen eller leve med tapet, så les alltid postmortemen for å se om og hvordan brukere gjøres hele.

Hva er forskjellen på en hvithatt- og en svarthatt-hacker?

En svarthatt-hacker utnytter en sårbarhet for egen vinning, mens en hvithatt gjør det for å beskytte eller for å levere midlene tilbake, ofte mot en dusør. I gråsonen finnes angripere som først tar pengene og deretter forhandler seg til en «hvithatt-status», slik tilfellet var med Poly Network og Euler Finance.

Må norske kryptoselskaper rapportere hacks til myndighetene?

Ja. Gjennom EØS tar Norge inn både MiCA og DORA, med Finanstilsynet som tilsynsmyndighet. Ved en alvorlig IKT-hendelse må en regulert tilbyder sende en første melding raskt, en mellomrapport innen 72 timer og en sluttrapport innen én måned, i praksis en lovpålagt postmortem.

Skrevet av HOGE Wire-redaksjonen, som dekker kryptosikkerhet, regulering og markeder for norske lesere.