Slik prises en bug bounty i 2026: taket mot kvitteringen

I april 2025 lovte den fransk-grunnlagte stablecoin-protokollen Usual det som ble omtalt som den største enkeltdusøren i teknologihistorien: 16 millioner dollar, rundt 150 millioner kroner, til den som kunne påvise én kritisk feil i koden. Programmet ligger fortsatt åpent hos revisjonsplattformen Sherlock. Så langt er ikke én krone av taket betalt ut.

Ser vi samtidig på Immunefis egen gjennomgang av 593 langvarige programmer, er medianen for en bekreftet kritisk sårbarhet 20 000 dollar, altså under 190 000 kroner. To tall fra det samme markedet. Det ene står på plakaten. Det andre står på kvitteringen.

Denne artikkelen handler ikke om hva en feil er verdt i teorien, men om avstanden mellom det et program lover og det en forsker faktisk får. Vi går gjennom hvordan beløpet regnes ut, hvorfor det annonserte taket nesten aldri treffer kvitteringen, hva som skjedde da Arbitrum tilbød et tak på snaut 19 millioner kroner og endte med å betale en brøkdel, og hvordan en flom av AI-genererte rapporter i 2026 nå priser hele dusørmarkedet ned. Hva en dusør forhindrer, kan du lese ut av en typisk exploit-obduksjon; her handler det om hva forhindringen koster, og hvem som ender opp med å betale.

Prislappen og kvitteringen: to helt ulike tall

Et bug bounty-program opererer med to tall som sjelden nevnes i samme åndedrag. Det første er taket: det maksimale beløpet programmet sier det er villig til å betale for den verste tenkelige feilen. Det andre er den realiserte utbetalingen: beløpet som faktisk lander på forskerens konto når en rapport er triagert, verifisert og godkjent. Taket er et markedsføringsinstrument. Utbetalingen er et markedsresultat.

Avstanden mellom dem er ikke liten. Immunefis analyse av 593 programmer som har vært aktive lenge (datasettet dekker januar 2021 til februar 2026) viser en median kritisk utbetaling på 20 000 dollar og et gjennomsnitt på 114 355 dollar, med drøyt 107 millioner dollar i samlede kritiske belønninger gjennom hele perioden (Immunefis egen forskning). At gjennomsnittet er nesten seks ganger høyere enn medianen, forteller det meste om formen på fordelingen: noen få enorme utbetalinger drar snittet opp, mens de aller fleste dusørene er beskjedne. Omtrent én av fem bekreftede rapporter havner i kritisk-kategorien, og et program som først finner én kritisk feil, finner i snitt 2,7 av dem over tid.

Det er denne fordelingen, ikke taket, som beskriver hverdagen til en bug bounty-jeger. Plakaten lover millioner. Kvitteringen leverer, for de fleste og de fleste dager, noe langt mindre. Resten av denne artikkelen handler om hvorfor de to tallene spriker så kraftig, og hva spriket forteller oss om hvordan sikkerhet faktisk prises i kryptoen.

Taket: slik annonserer et program 150 millioner kroner

Da Usual og Sherlock kunngjorde 16-millionersprogrammet 2. april 2025, var poenget delvis nettopp å bli lagt merke til. Beløpet slo det forrige rekordtaket, Uniswap v4 på 15,5 millioner dollar hos Immunefi, og LayerZeros 15 millioner, og gjorde Usual til det største enkeltstående bug bounty-programmet i bransjens historie (The Block). Modellen er en variant av det som har blitt bransjestandard: forskeren får inntil ti prosent av midlene som konkret står i fare, med et tak. Med over 880 millioner dollar i låst verdi i protokollen ga ti-prosentregelen et teoretisk grunnlag høyt nok til å forsvare et tak på 16 millioner.

Men et tak er først og fremst et signal. Det sier to ting til markedet av sikkerhetsforskere: «vi tar sikkerhet på alvor», og «vi vil heller betale deg enn å bli tømt». At taket er høyt, betyr ikke at noen forventer å betale det. Usuals kodebase hadde allerede vært gjennom rundt tjue revisjoner, inkludert en konkurranserevisjon hos Sherlock med en pott på 209 000 dollar som ikke fant en eneste gyldig feil av middels alvorlighet eller verre. Et tak på 16 millioner over en kodebase som nettopp har overlevd tjue revisjoner, er bygget for å signalisere, ikke for å bli brukt.

Slik ser toppen av 2026-listen ut. Alle beløpene er tak, ikke utbetalinger.

Til sammen utgjorde de høyest annonserte programmene i begynnelsen av 2026 rundt 162 millioner dollar i tilgjengelige tak, i overkant av 1,5 milliarder kroner (Sherlock). Nesten ingenting av dette blir noen gang utbetalt. Det er hele poenget med et tak: det skal helst aldri måtte innfris.

Slik regnes utbetalingen ut: alvorsgrad, «primacy of impact» og ti-prosentregelen

Hvordan går man fra en feil til et beløp? Nesten alle plattformer starter med en alvorsgradering. Immunefi bruker fire nivåer: kritisk, høy, middels og lav. For en smartkontrakt er en kritisk konsekvens typisk direkte tyveri av brukermidler eller permanent frysing av midler; en høy konsekvens kan være midlertidig frysing eller tyveri av opptjent avkastning; middels og lav dekker mindre alvorlige forhold. Sherlock definerer på sin side en kritisk feil som noe som fører til «definite and significant loss of funds» eller «significant freezing of funds for over one year» (Sherlock).

To prinsipper avgjør hvor en rapport havner. Det første er det Immunefi kaller «primacy of impact»: alvorsgraden bestemmes av den konsekvensen forskeren faktisk kan demonstrere, ikke av hvilken kontrakt eller kodelinje feilen sitter i. En fungerende proof-of-concept som viser reelt tap av midler, låser opp kritisk-nivået; en teoretisk bekymring uten demonstrert konsekvens gjør det ikke. Det andre er ti-prosentregelen: for kritiske smartkontraktfeil anbefaler bransjen en belønning på opptil ti prosent av midlene som konkret står i fare, nedad begrenset av et minstebeløp og oppad av programmets tak.

Det er her de to tallene skilles. Ti prosent av det maksimale beløpet en protokoll kan tape, er et stort tall. Ti prosent av det en konkret feil faktisk setter i fare, er nesten alltid mindre. En feil som teoretisk kan røre ved hele protokollen, men som i praksis bare eksponerer en delmengde, prises etter delmengden. Slik ser den grove sammenhengen ut:

Ingen av disse tallene er faste. Et program kan sette egne minstebeløp, egne tak og egne definisjoner, og triageteamet har siste ord. Men logikken er den samme overalt: du får betalt for konsekvensen du kan bevise, ikke for konsekvensen plakaten antyder.

Et konkret regnestykke gjør poenget tydelig. Anta at en protokoll har 500 millioner dollar i låst verdi og et annonsert tak på 5 millioner. En forsker finner en feil som i teorien berører hele protokollen; ti prosent av 500 millioner er 50 millioner, men taket kutter det ned til 5. Finner forskeren i stedet en feil som bare eksponerer ett enkelt pengemarked på 20 millioner, blir grunnlaget ti prosent av 20 millioner, altså 2 millioner, uansett hvor høyt taket er satt. Taket er et nivå de færreste feil rekker opp til; det er eksponeringen den enkelte feilen beviselig gir, som styrer beløpet.

Kvitteringen: hva forskerne faktisk får

Hvis taket er teorien, er Immunefis utbetalingsdata praksisen. I samme datasett med 593 langvarige programmer var medianen for en kritisk utbetaling 20 000 dollar og gjennomsnittet 114 355 dollar (Immunefi). Sannsynligheten for at et program overhodet har funnet en betalt kritisk feil, stiger med alderen: 61 prosent etter ett år, 87 prosent etter tre, nesten 94 prosent etter fem. Programmene virker altså; de fanger reelle feil. Men beløpet per feil ligger, for de aller fleste, langt under overskriftene.

Ferske tall peker samme vei. I første halvår 2026 betalte Immunefi ut rundt 13,45 millioner dollar, rundt 126 millioner kroner, for 837 gyldige feil, altså i snitt rundt 16 000 dollar per rapport (The Block). Plattformen passerte 140 millioner dollar i samlede utbetalinger i juni 2026, teller nå over 92 000 registrerte forskere, og oppgir å beskytte mer enn 180 milliarder dollar i verdier på tvers av over 650 programmer. Med andre ord: 837 gyldige feil på et halvår, til en snittpris på 16 000 dollar, er den virkelige formen på markedet. Ikke 16 millioner.

Legg merke til de to øverste radene. Det høyeste taket noen gang (16 millioner) er aldri utløst. Den høyeste dusøren som faktisk er betalt (10 millioner), stammer fra 2022. Mellom dem ligger fire år der takene har vokst raskere enn kvitteringene.

Da taket ikke ble betalt: Arbitrum, Riptide og 400 ETH

Det tydeligste eksemplet på avstanden mellom plakat og kvittering kom 19. september 2022. En pseudonym forsker som gikk under navnet 0xriptide, oppdaget en feil i broen mellom Ethereum og Arbitrums Nitro-oppgradering: en uinitialisert adressevariabel gjorde det mulig å sette sin egen adresse som bro og dermed fange opp all innkommende ETH på vei fra lag 1 til lag 2. I vinduet mellom Nitro-oppgraderingen og varslingen strømmet det over 400 000 ETH, verdt rundt 534 millioner dollar den gang, gjennom broen (CryptoPotato). Dette var ikke en teoretisk feil. Den var i praksis en åpen dør til flere hundre millioner dollar.

Arbitrums annonserte maksimale dusør var 2 millioner dollar, snaut 19 millioner kroner. Forskeren fikk 400 ETH, verdt rundt 520 000 dollar (i størrelsesorden 4,9 millioner kroner) da utbetalingen skjedde. Altså omtrent en fjerdedel av det annonserte taket, for en feil som eksponerte langt mer enn taket.

Riptide protesterte offentlig, og formulerte selve kjernen i dette temaet skarpere enn de fleste analytikere har gjort siden: «If you post a $2mm bounty, be prepared to pay it when it’s justified. Otherwise just say the max bounty is 400 ETH and be done with it.» Forskeren la til en observasjon som fungerer som en advarsel til hele bransjen: «Hackers watch which projects pay out and which do not», og pekte på at underbetaling risikerer å skyve en whitehat mot å bli en blackhat. Poenget er ikke at Arbitrum handlet ulovlig; taket var «opptil», og programmet hadde skjønnsrom. Poenget er at et tak uten troverdig oppfølging er verdiløst som signal. Broer er blant de mest utsatte konstruksjonene i kryptoen, og logikken bak hvorfor de brister igjen og igjen, er tema i vår gjennomgang av bro-hackenes anatomi.

Saken ble stående som en referanse. Den siteres fortsatt hver gang en forsker vurderer om et tak er til å stole på, og den forklarer hvorfor de mest erfarne jegerne i dag leser utbetalingshistorikk like nøye som de leser koden. Et program bygger troverdighet ved å betale når det er berettiget, og taper den på ett eneste synlig avvik.

Rekorden som faktisk ble betalt: Wormhole og satya0x

Motstykket til Arbitrum er Wormhole. 24. februar 2022 betalte broprosjektet ut 10 millioner dollar, rundt 94 millioner kroner, til en forsker under navnet satya0x, via Immunefi (The Block). Det er fortsatt den største bug bounty-dusøren som noen gang er faktisk utbetalt i kryptoen. Feilen satya0x fant, lå i maskineriet for kontraktsoppgraderinger og kunne i prinsippet gitt en angriper kontroll over broens kontrakter.

Det er verdt å merke seg at dette var en helt annen sak enn hacket 2. februar samme år, der en feil i signaturverifiseringen lot en angriper prege 120 000 wrapped ETH (rundt 323 millioner dollar), et tap Jump Crypto til slutt dekket. På funnet til satya0x gikk det ikke tapt en eneste dollar. Kontrasten er lærerik. Det største taket i historien (Usual, 16 millioner) er aldri utløst. Den største kvitteringen i historien (Wormhole, 10 millioner) ble skrevet ut for en reell, demonstrerbar kontroll over en bro som nettopp hadde tapt hundrevis av millioner. Forskjellen på et tak som betaler og et tak som bare signaliserer, er om det finnes en konkret, bevisbar konsekvens bak. Immunefi oppsummerte selv logikken den gang: hensikten var å sende et tydelig signal til de dyktigste whitehat-forskerne om at ansvarlig varsling lønner seg. Wormhole-utbetalingen alene var større enn alt Google betalte ut i sitt sårbarhetsprogram gjennom hele 2021.

Hvorfor taket sjelden treffer kvitteringen

Gapet mellom tak og kvittering er ikke først og fremst et tegn på gjerrighet. Det er strukturelt, og det er verdt å forstå hvorfor.

For det første er takene beregnet på maksimal eksponering. Ti prosent av alt en protokoll i verste fall kan tape, er et stort tall, men de fleste feil rører bare ved en del av systemet. En rapport prises etter det den beviselig setter i fare, ikke etter protokollens samlede verdi. For det andre skjer det en nedgradering i triage: det som ser kritisk ut i en innsendt rapport, blir ofte klassifisert som høy eller middels når teamet vurderer den reelle konsekvensen, forutsetningene og hvor lett den lar seg utnytte. For det tredje betaler duplikater og allerede kjente problemer ingenting; er feilen funnet før, dekket av en tidligere revisjon eller oppført på programmets liste over kjente forhold, faller belønningen bort uansett hvor alvorlig den er.

For det fjerde er det forhandling og skjønn. De fleste programmer forbeholder seg retten til å fastsette den endelige belønningen etter eget skjønn, og i DAO-styrte protokoller kan selve utbetalingen måtte gjennom en avstemning. Når en styringsavstemning avgjør beløpet, blir dusøren like mye et politisk som et teknisk spørsmål. Og for det femte: mange av de dyreste hendelsene i 2026 skyldes ikke kodefeil i det hele tatt, men kompromitterte nøkler og infrastruktur, altså vektorer et bug bounty-program strengt tatt ikke priser. Når angrepet flytter seg gjennom en lekket privatnøkkel, finnes det sjelden en smartkontraktfeil å melde inn og få betalt for. Summen av disse fem forklarer hvorfor et tak på 150 millioner kroner og en median på 188 000 kroner kan tilhøre det samme markedet uten at noen jukser.

2026: året dusørene ble nedpriset

Fram til nylig beveget takene og kvitteringene seg i hver sin retning, men sakte. I 2026 begynte den offentlige kvitteringen å falle raskt, og årsaken har et navn: AI-genererte rapporter.

Da vedlikeholderen av curl, Daniel Stenberg, la ned prosjektets bug bounty-program i januar 2026, var begrunnelsen at andelen gyldige rapporter hadde falt fra over 15 prosent til under 5, og at syv rapporter i løpet av 16 timer alle var uten verdi. Stenberg var tydelig på at problemet var mengden meningsløse innsendinger, ikke teknologien i seg selv: hensikten med å legge ned var å fjerne insentivet for verdiløse rapporter, «and it doesn’t matter whether they’re generated by AI or not» (curl-bloggen). Google sluttet å ta imot AI-genererte rapporter i mars 2026, og plattformen Bugcrowd fikk et eget begrep for fenomenet: «sloptimism».

Teknologinære programmer fulgte etter, og her ble konsekvensen synlig på kvitteringen. 27. juli 2026 kuttet GitHub de offentlige dusørene med minst halvparten på hvert nivå: en kritisk feil falt fra 20 000 til 30 000 dollar og oppover til faste 10 000 dollar (rundt 94 000 kroner), høy fra opptil 20 000 til 5 000, og middels fra 5 000 til 2 000. De største beløpene, opptil 30 000 dollar og mer, ble flyttet til et lukket VIP-nivå bare for inviterte forskere med dokumentert historikk (The Hacker News). Coinbase endret på sin side belønningsstrukturen og pekte eksplisitt på AI som årsak. Mønsteret er det samme overalt: den offentlige kvitteringen prises ned, mens taket får stå urørt fordi det fortsatt gjør nytte som markedsføring.

For kryptoen har dette en egen vri. Her er takene høyere enn noe annet sted i teknologibransjen, nettopp fordi summene som står i fare er astronomiske, men de samme programmene rammes av den samme rapportflommen som curl og GitHub. Resultatet er et voksende sprik mellom to virkeligheter i ett og samme program: et tak på mange millioner dollar som skal lokke de beste, og en offentlig kø av lavverdige innsendinger som presser triagekostnaden opp og den gjennomsnittlige utbetalingen ned. Immunefis eget svar, å ta betalt for innsats og filtrere hardt i triage, er et forsøk på å skjerme nettopp den delen av budsjettet som skal gå til reelle kritiske funn.

Todelt betaling: invitasjon for de beste, rester til resten

Nedprisingen av den offentlige kvitteringen har en tvilling: et lukket toppsjikt som prises opp. Immunefi lanserte «All Stars», et invitasjonsbasert elitenivå, 19. mai 2025, midt i etterspillet av tyveriet på 1,4 milliarder dollar (rundt 13 milliarder kroner) fra Bybit. Det første medlemmet, en forsker under navnet LonelySloth, hadde tjent rundt 3,6 millioner dollar (rundt 34 millioner kroner) på 60 betalte rapporter. Ved lanseringen talte plattformen over 60 000 forskere og mer enn 116 millioner dollar i samlede utbetalinger; innen mars 2026 hadde elitesjiktet vokst til rundt 165 forskere med til sammen rundt 134 millioner dollar i livstidsinntekt (The Block).

GitHubs nye VIP-nivå er den samme mekanismen i en annen bransje. Logikken bak er økonomisk: når mengden støy stiger, blir det dyrt å behandle alt likt, og plattformene svarer med å skille de bevist dyktige fra resten. Immunefi bruker i tillegg innsatskrav (stake-to-submit) og triagefiltre for å heve terskelen for søppelrapporter. Resultatet er et marked som deler seg i to. De etablerte forskerne inviteres inn i fetere, private programmer der takene faktisk kan bli betalt. Den brede massen møter et offentlig nivå der belønningene nettopp er kuttet. Median-forskeren og millionær-forskeren har aldri levd lenger fra hverandre enn nå.

For nykommere er dette et tveegget sverd. Terskelen for å tjene de virkelig store beløpene stiger, fordi de feteste programmene ligger bak invitasjon, samtidig som det offentlige nivået er nettopp der man må bygge merittlisten som skal til for å bli invitert. Veien inn går fortsatt gjennom den offentlige køen, men avkastningen på de første årene i den køen er lavere i 2026 enn den var for bare to år siden.

Når hacket allerede har skjedd: recovery-dusøren

Det finnes en helt egen kategori utbetalinger som følger en annen logikk enn de forebyggende dusørene: recovery-dusøren, altså belønningen for å levere tilbake midler som allerede er på avveie. Her holder forskeren, eller angriperen, allerede pengene. Bransjenormen har lenge vært «behold 10, returner 90»: den som returnerer midlene, får beholde ti prosent som en slags finnerlønn og leverer resten tilbake. Etter tyveriet fra Bybit tidligere i 2025, det største enkelttyveriet i kryptohistorien, lyste plattformen ut en egen recovery-dusør for å spore og fryse midlene på vei ut.

Forskjellen fra en vanlig dusør er viktig for å forstå tallene. En forebyggende dusør beregnes av midlene som står i fare før noe skjer, og reduseres av alle forbeholdene vi har vært innom. En recovery-dusør beregnes av midlene som faktisk hentes tilbake etter at skaden er skjedd. Ti prosent av det gjenvunne beløpet kan i store saker bli et betydelig tall, men det forutsetter at midlene lar seg spore, fryse og forhandle hjem, noe som langt fra alltid skjer. Recovery-dusøren er kvitteringen for opprydding, ikke for forebygging, og den dukker som regel opp først når det forebyggende leddet allerede har sviktet.

Recovery-modellen har også en juridisk gråsone. Ti prosent tilbudt frivillig er en dusør; ti prosent krevd med trussel om å beholde resten er noe helt annet. Nettopp derfor formaliserer avtaler som Safe Harbor på forhånd hvor mye en whitehat får beholde og under hvilke betingelser, slik at en redningsaksjon ikke i ettertid kan omtolkes som en utpressing. Uten en slik ramme er skillet mellom helt og gjerningsperson ofte bare et spørsmål om hvem som forteller historien.

Dusør eller utpressing? Prisen på å ikke betale

Grensen mellom en dusør og en utpressing er der insentivsystemet er mest skjørt. Da en forsker i 2024 utnyttet en feil hos kryptobørsen Kraken til å kreditere seg selv rundt 3 millioner dollar og deretter stilte betingelser før midlene ble returnert, avviste Krakens sikkerhetssjef Nick Percoco at det i det hele tatt var snakk om hvithatting: «This is not white-hat hacking, it is extortion» (CoinDesk).

Saken er lærerik nettopp fordi den viser hva prisen på å ikke betale, eller å betale feil, faktisk er. Betaler et program for lite, slik Riptide mente Arbitrum gjorde, risikerer det at neste forsker enten går videre til et mer sjenerøst program, publiserer feilen offentlig, eller i verste fall utnytter den selv. Krever forskeren for mye, slik Kraken mente skjedde hos dem, bryter samarbeidet sammen fra den andre siden. Hele bug bounty-systemet hviler på en skjør likevekt: ansvarlig varsling må være mer lønnsomt, og mindre risikabelt, enn utnyttelse. Kvitteringen er ikke bare en betaling for en feil. Den er prisen på å holde den likevekten i live.

Skatt og norsk kontekst: dusøren i møte med Skatteetaten og Finanstilsynet

For en norsk forsker slutter ikke historien når dusøren er utbetalt. En bug bounty er skattepliktig inntekt. Er dusøren utbetalt i kryptovaluta, slik den ofte er, skal den verdsettes i kroner etter kursen på mottakstidspunktet, og et senere salg eller bytte utløser gevinst eller tap som må føres separat (Skatteetaten). Om inntekten regnes som kapital- eller virksomhetsinntekt, avhenger av omfang og aktivitetsnivå: en som lever av feiljakt på heltid, kan fort havne i næring, med de pliktene det fører med seg.

I praksis betyr det at dokumentasjon er verdt nesten like mye som selve dusøren. En forsker bør notere kursen på mottakstidspunktet, transaksjonshashen og programmets vilkår, slik at både verdien ved mottak og en senere gevinst eller tap lar seg dokumentere overfor Skatteetaten. For utbetalinger i stablecoins er verdivurderingen enklere, men plikten til å føre beløpet som inntekt er den samme.

Regulatorisk befinner selve dusøren seg i et tomrom. Et bug bounty-forhold er ikke en regulert finansiell tjeneste. MiCA, som gjelder i Norge gjennom EØS-avtalen, regulerer utstedere og tilbydere av kryptotjenester (CASP-er), ikke belønningsforholdet mellom en protokoll og en uavhengig forsker, og Finanstilsynet fører tilsyn med tjenestetilbyderne, ikke med dusøravtalen. DORA stiller krav til den operasjonelle IT-motstandsdyktigheten hos tilbyderen, men når heller ikke inn i selve kodegjennomgangen. Konsekvensen er at «kontrakten» mellom forsker og program i praksis er programmets egne vilkår. Nettopp derfor er skjønnsklausulene, de som lot Arbitrum betale 400 ETH i stedet for taket, så viktige: de er, juridisk sett, nesten alt forskeren har å holde programmet til.

Slik leser du et program før du bruker uker på det

Hvis gapet mellom tak og kvittering er strukturelt, er den praktiske lærdommen at en forsker bør lese et program med det for øye før hun investerer uker i det. Noen sjekkpunkter er verdt tiden:

• Se på historikken, ikke bare taket. Hva har programmet faktisk betalt ut tidligere? Et høyt tak uten en eneste dokumentert utbetaling er et rødt flagg.
• Les alvorsdefinisjonene nøye. Hvordan defineres «kritisk», og gjelder «primacy of impact» eller programmets egne regler når de to er i konflikt?
• Let etter skjønnsklausulen. Formuleringer som «endelig belønning fastsettes etter teamets eller DAO-ens skjønn» forteller deg hvor mye rom det er for et Arbitrum-utfall.
• Sjekk KYC- og sanksjonskravene. En dusør på en million du ikke kan ta imot fordi du ikke består identitetskontrollen, er verdt null.
• Undersøk om utbetalinger bekreftes on-chain eller bare oppgis av programmet selv. Etterprøvbare utbetalinger er et bedre løfte enn markedsføringstall.
• Se etter tidligere tvister. Har forskere klaget offentlig på oppgjør, slik Riptide gjorde, er det den beste indikatoren du har på hvordan neste kvittering kommer til å se ut.

Taket forteller deg hva et program håper du skal tro. Historikken forteller deg hva du faktisk kan forvente. For en forsker som skal velge hvor de neste ukene skal gå, er det andre tallet det eneste som betyr noe.

Ofte stilte spørsmål

Hvor mye betaler et bug bounty-program egentlig?

Det kommer an på om du ser på taket eller kvitteringen. De største programmene averterer tak på 10 til 16 millioner dollar (rundt 94 til 150 millioner kroner), men Immunefis data fra 593 langvarige programmer viser en median kritisk utbetaling på 20 000 dollar (under 190 000 kroner) og et gjennomsnitt på rundt 114 000 dollar. De fleste utbetalinger er altså langt nærmere titusener enn millioner.

Hvorfor er det utlovede taket så mye høyere enn det som betales ut?

Taket er beregnet på den verste tenkelige feilen, som regel som ti prosent av alle midler som i verste fall kan tapes. En konkret feil prises derimot etter den konsekvensen forskeren faktisk kan demonstrere, som nesten alltid rører ved en mindre del av systemet. I tillegg nedgraderes mange rapporter i triage, og duplikater og allerede kjente problemer betaler ingenting. Gapet er derfor stort selv når alle handler i god tro.

Hva var den største bug bounty-utbetalingen noensinne?

Den største dusøren som faktisk er betalt, er 10 millioner dollar (rundt 94 millioner kroner), som Wormhole betalte til forskeren satya0x i februar 2022 for en feil i broens oppgraderingsmaskineri. Usuals program på 16 millioner dollar er et høyere tak, men det er per august 2026 aldri utløst.

Må jeg skatte av en bug bounty-dusør i Norge?

Ja. En dusør er skattepliktig inntekt. Er den utbetalt i kryptovaluta, skal beløpet verdsettes i kroner etter kursen da du mottok det, og et senere salg utløser gevinst eller tap som føres separat i skattemeldingen. Om inntekten regnes som kapital eller næring, avhenger av hvor omfattende og regelmessig aktiviteten din er.

Kan et program nekte å betale full dusør?

Ja. Nesten alle programmer forbeholder seg retten til å fastsette den endelige belønningen etter eget skjønn, og taket er som regel formulert som et opptil-beløp. Det tydeligste eksemplet er Arbitrum, som i 2022 averterte et tak på 2 millioner dollar, men betalte 400 ETH (rundt 520 000 dollar) for en feil som eksponerte langt mer. Derfor er det klokt å lese et programs utbetalingshistorikk og skjønnsklausuler før du bruker tid på det.

Anneke de Vries dekker sikkerhet og exploits for HOGE Wire.