Halborn forklart: angrepsteamet bak kryptos obduksjoner

I april 2026 forsvant rundt 2,7 milliarder kroner ut av restaking-protokollen KelpDAO på under en time. Da granskerne gikk gjennom hendelsen etterpå, fant de noe ubehagelig: smartkontraktene hadde oppført seg helt korrekt. Ingen feil i koden, ingen glemt tilgangskontroll, ingen matematisk tabbe. Angriperne hadde i stedet forfalsket meldinger mellom to blokkjeder ved å slå ut infrastrukturen rundt koden. Revisjonen fanget ingenting, rett og slett fordi det ikke fantes noe i koden å fange.

Firmaet som oftere enn noe annet blir sitert når slike hendelser skal forklares, heter Halborn. Selskapet reviderer smartkontrakter, bryter seg inn i lommebøker, noder og skyoppsett på oppdrag fra kundene selv, og publiserer de obduksjonene resten av bransjen leser når milliarder forsvinner. Denne artikkelen forklarer hva Halborn faktisk er i 2026, hvordan et selvfinansiert Miami-firma vokste til en institusjonell sikkerhetspartner med en runde på rundt 845 millioner kroner i ryggen, og hvorfor selv en godkjent revisjon fra et av de dyreste husene i bransjen ikke lenger holder pengene trygge alene.

Hva Halborn er, kort fortalt

Halborn er et sikkerhetsselskap spesialisert på blokkjede- og Web3-teknologi, med base i Miami og en fullt distribuert stab. Selskapet selger ikke ett produkt, men en hel stabel av tjenester: manuelle revisjoner av smartkontrakter, penetrasjonstesting av web-applikasjoner, skyinfrastruktur og lommebøker, red team-øvelser der egne folk simulerer et reelt angrep, samt rådgivning og hendelseshåndtering når noe allerede har gått galt. På sine egne sider beskriver Halborn staben som eliteangripere og blokkjede-eksperter, og medgründer Steven Walbroehl omtales som etisk hacker.

Det er verdt å merke seg forskjellen mellom dette og et tradisjonelt regnskaps- eller revisjonsfirma. En finansiell revisor bekrefter at tallene stemmer. Halborn og likesinnede firmaer prøver å bryte koden før noen andre gjør det. Kundelisten på selskapets egne sider trekker fram Coinbase, Polygon og Solana blant industrilederne staben har jobbet med. Firmaet dekker et bredt spekter av kjeder: EVM-baserte nettverk som Ethereum, Polygon og Avalanche, Solana, Cosmos, Move-økosystemet (Sui og Aptos) og Algorand.

Poenget med å forstå Halborn er ikke å forstå ett enkelt selskap, men å forstå en hel bransje som har vokst fram i takt med at verdiene på kjeden har eksplodert. Når et enkelt hack kan koste mer enn hele årsbudsjettet til et børsnotert selskap, blir spørsmålet om hvem som sjekket koden, og hva den sjekken egentlig dekket, plutselig svært konkret. Halborn er et av de mest kjente svarene på nettopp det spørsmålet, og et godt utgangspunkt for å forstå hvordan sikkerhet selges og prises i kryptomarkedet.

Fra bootstrappet Miami-firma til 90-millionersrunde

Halborn ble grunnlagt i 2019 av Rob Behnke og Steven Walbroehl. De to første leveårene var selskapet selvfinansiert, uten ekstern kapital, og bygde en kundebase i et marked de fleste tradisjonelle cybersikkerhetsfirmaer knapt forsto. Da DeFi-bølgen traff i 2020 og 2021, og total value locked (TVL) i sektoren gikk fra noen få milliarder til over hundre milliarder dollar, satt Halborn allerede med en kompetanse ingen andre hadde rukket å skalere.

I juli 2022 hentet selskapet sin første eksterne kapital: en Series A-runde på 90 millioner dollar, tilsvarende rundt 845 millioner kroner med en dollarkurs rundt 9,4 kroner medio august 2026. Runden ble ledet av Summit Partners, med Digital Currency Group blant de strategiske investorene. Pengene var øremerket global teamutvidelse og utvikling av selskapets egne programvareprodukter, altså en bevegelse fra ren konsulentvirksomhet mot verktøy og overvåkning.

Timingen er verdt å dvele ved. 90 millioner dollar til et sikkerhetsfirma i 2022 var et veddemål på at kryptosikkerhet skulle bli en varig, institusjonell disiplin, ikke en forbigående nisje. Det veddemålet ser i ettertid fornuftig ut. Mens token-priser og NFT-volum har svingt voldsomt, har behovet for noen som kan bryte koden før tyvene gjør det, bare vokst. Halborn er i dag et av en håndfull hus som opererer i det øverste sjiktet av dette markedet, sammen med navn som Trail of Bits, OpenZeppelin, Zellic og CertiK.

Boschung-skiftet: fra DeFi-revisor til institusjonell partner

Høsten 2024 gjorde Halborn et lederskifte som signaliserte tydelig hvor selskapet vil. Jacques Boschung, tidligere toppsjef i cybersikkerhetsselskapet Kudelski Security, ble hentet inn som ny administrerende direktør. Rob Behnke gikk over i rollen som styreleder og president, mens Steven Walbroehl fortsatte som teknologidirektør (CTO). I meldingen om skiftet oppsummerte Behnke de fem første årene slik: «It has been an honor to lead and build Halborn, together with our team, over the last five years.»

Boschung, på sin side, beskrev tidspunktet som et vendepunkt: «I am thrilled to join Halborn at such a pivotal moment in the company’s journey.» Retorikken i meldingen dreier bort fra ren DeFi-revisjon og mot det selskapet kaller å muliggjøre den neste digitale transformasjonen av finanssektoren, med Halborn posisjonert som en tilrettelegger for at tradisjonelle finansaktører kan ta i bruk distribuert hovedbokteknologi (DLT) og tokeniserte verdier.

Oversatt fra bedriftsspråk betyr det følgende: kundene er ikke lenger bare anonyme DeFi-team på Discord, men banker, forvaltere og institusjoner som vurderer å tokenisere reelle aktiva. Det er en pivot mot compliance, mot prinsippet om å bygge sikkert fra grunnen av, og mot temaer som post-kvante-kryptografi, altså hvordan man sikrer systemer mot fremtidige kvantedatamaskiner. For leseren er den viktige lærdommen at kryptosikkerhet i 2026 selges like mye til Wall Street som til DeFi, og at et firma som Halborn har mye å tjene på å bli tatt seriøst av begge.

Tjenestestabelen: langt mer enn en revisjon

En vanlig misforståelse er at et firma som Halborn bare gjør revisjoner, punktum. I praksis er den manuelle kodegjennomgangen bare ett lag. Her er de viktigste tjenestene, og hva de faktisk innebærer:

• Smartkontrakt-revisjon: en gruppe ingeniører leser koden linje for linje, ofte kombinert med automatiske verktøy og testing, for å finne logiske feil, matematiske svakheter og designfeil før lansering.
• Penetrasjonstesting: angrep på alt som ligger rundt koden, altså web-grensesnitt, API-er, skyoppsett og lommebøker, der de fleste dyre hackene faktisk begynner.
• Red team: en simulering av et reelt, målrettet angrep mot en hel organisasjon, inkludert sosial manipulering og forsøk på å kompromittere ansatte og signeringsinfrastruktur.
• Hendelseshåndtering: akutt bistand mens et angrep pågår eller rett etterpå, med sporing av midler og forsøk på å demme opp for tapet.
• Rådgivning og sikkerhetsledelse som tjeneste: løpende sikkerhetsstyring for prosjekter som ikke har egen sikkerhetssjef.

Denne bredden er hele poenget. Tallene fra 2026, som vi kommer tilbake til lenger ned, viser at de fleste kronene ikke forsvinner gjennom en feil i selve smartkontrakten, men gjennom nøkler, signering og infrastruktur. Et firma som bare kunne lese Solidity, ville vært blindt for der de største tapene faktisk skjer. Halborns satsing på offensiv testing og red team er et direkte svar på nettopp det, og det skiller den moderne sikkerhetsbransjen fra bildet folk flest har av en revisor med regneark.

Rab13s: disclosuren som satte Halborn på kartet

Hvis ett enkelt funn definerte Halborns rykte, var det Rab13s. Under en revisjon av Dogecoins kodebase i mars 2022 fant en av selskapets ingeniører, senior offensiv sikkerhetsingeniør Hossam Mohamed, en serie sårbarheter som ikke bare rammet Dogecoin, men over 280 andre nettverk bygget på liknende kode, inkludert Litecoin og Zcash. Samlet sto verdier tilsvarende rundt 25 milliarder dollar, altså godt over 230 milliarder kroner, potensielt utsatt.

Funnet, senere tildelt CVE-koden CVE-2023-30769, besto av tre distinkte svakheter: to tjenestenekt-angrep (denial of service) og én mulighet for fjernkjøring av kode (remote code execution). Den farligste lot en angriper sende en spesiallaget konsensusmelding som kunne krasje noder, noe som i verste fall åpnet en vei mot et 51 %-angrep. Halborn holdt de tekniske detaljene tilbake til de berørte nettverkene hadde rukket å oppdatere. Dogecoin ble lappet i versjon 1.14.6, og den offentlige disclosuren kom først i mars 2023.

Rab13s er lærerikt av to grunner. For det første viste den at en enkelt revisjon av ett prosjekt kan avdekke systemisk risiko i en hel familie av kjeder som deler kodebase. For det andre etablerte den en mal Halborn siden har fulgt: finn noe stort, håndter det ansvarlig, og fortell historien offentlig når faren er over. Vi har tidligere gått gjennom Rab13s-funnet i Dogecoin i detalj for lesere som vil ha hele den tekniske gjennomgangen.

Obduksjonsmaskinen: hvorfor Halborn skriver om andres hack

En av de mest karakteristiske tingene ved moderne sikkerhetsfirmaer er at de skriver om hack de ikke nødvendigvis var involvert i. Halborns blogg er full av grundige gjennomganger med titler som forklarer Cetus-hacket og Balancer-hacket steg for steg. Disse obduksjonene er ikke veldedighet; de er markedsføring av den mest overbevisende sorten. Ved å vise at man forstår nøyaktig hvordan pengene forsvant, demonstrerer firmaet den kompetansen det selger.

For bransjen som helhet fyller obduksjonene en viktig funksjon. Det finnes ingen sentral tilsynsmyndighet som tvinger fram en granskingsrapport etter et kryptohack, slik det finnes for flyulykker eller børsskandaler. Kunnskapen om hva som gikk galt sprer seg i stedet gjennom nettopp slike offentlige gjennomganger, skrevet av firmaer som Halborn, Trail of Bits og OpenZeppelin. En godt skrevet obduksjon lar hundre andre team unngå den samme feilen.

Å lese en slik rapport er en ferdighet i seg selv, og det er lett å la seg imponere av teknisk sjargong som egentlig skjuler en triviell feil. Vi har laget en egen guide til hvordan du leser obduksjonen av et hack, for lesere som vil skille de reelle lærdommene fra ren ansvarsfraskrivelse. Kjernen er enkel: still alltid spørsmålet om hva revisjonen faktisk dekket, og hva den aldri var ment å se på.

Cetus og Balancer: grensen for hva en revisjon fanger

De to mest lærerike sakene fra det siste året er Cetus og Balancer. Begge var revidert, begge ble likevel hacket.

Cetus, den største desentraliserte børsen på Sui-kjeden, mistet rundt 223 millioner dollar (vel 2,1 milliarder kroner) den 22. mai 2025. Rotårsaken var en subtil feil i en funksjon kalt checked_shlw, som skulle avgjøre om en tallverdi ville renne over ved en bit-forskyvning. Implementasjonen sammenliknet med feil terskel, og lot dermed enkelte verdier passere som skulle vært avvist. Ved å låne stort via et flash loan og åpne en posisjon i et bittelite prisintervall kunne angriperen mynte urimelig mye likviditet ved å tilføre så lite som én enhet av det ene tokenet. Sui-validatorene rakk å fryse rundt 162 millioner dollar av byttet.

Det ubehagelige ved Cetus er ikke at koden hadde en feil. Det er at den samme funksjonen hadde vært gjennom flere separate revisjoner, fra ulike hus, uten at noen fanget den. En snapshot-revisjon leser koden slik den er på ett tidspunkt, mot en sjekkliste av kjente feilkategorier. En genuint ny feil i et tredjeparts matematikkbibliotek er nettopp den typen ting en tidsavgrenset gjennomgang lett bommer på.

Balancer, en av de eldste og mest reviderte protokollene i DeFi, fortalte den samme historien i enda tydeligere form. Den 3. november 2025 tappet en angriper rundt 128 millioner dollar (rundt 1,2 milliarder kroner) fra protokollens Composable Stable Pools på under en halvtime, spredt over åtte kjeder med Ethereum hardest rammet. Metoden var en avrundingsfeil: hver byttehandel rundet av et pyttelite beløp, og ved å kjede sammen mange bytter via funksjonen batchSwap forsterket angriperen disse ørsmå avvikene til en massiv prisforvrengning. Balancer var etter eget utsagn revidert mer enn ti ganger av flere av de tyngste husene i bransjen. Protokollens samlede verdi falt fra rundt 443 til 186 millioner dollar i etterkant.

Lærdommen er ikke at revisjoner er verdiløse. Den er at en revisjon er nødvendig, men langt fra tilstrekkelig. Feil som lever i samspillet mellom økonomisk design, avrunding og komposabilitet, altså hvordan protokoller bygger oppå hverandre, glipper lettere enn folk tror. Det samme gjelder angrep som ikke retter seg mot koden i det hele tatt, for eksempel når selve styringen av en protokoll blir våpenet. Vi har sett nærmere på den vektoren i vår gjennomgang av styringsangrep i 2026.

KelpDAO og Drift: da 2026 flyttet tapene ut av koden

Hvis 2025 handlet om feil i koden, handlet 2026 om alt som ligger rundt den. To saker definerer året.

KelpDAO, en protokoll for liquid restaking, mistet rundt 292 millioner dollar (rundt 2,7 milliarder kroner) i april 2026, da angripere fikk ut 116 500 rsETH, om lag 18 % av tokenets sirkulerende beholdning. Det avgjørende er at ingen smartkontrakt hadde en feil. Protokollen brukte et krysskjede-oppsett der én enkelt verifikator (en 1-av-1-konfigurasjon) skulle bekrefte meldinger mellom kjeder. Angriperne, tilskrevet den nordkoreanske Lazarus-gruppen, kompromitterte RPC-nodene og kjørte samtidig et tjenestenekt-angrep for å slå ut de ærlige nodene som ellers ville motsagt dem, slik at systemet endte med å stole utelukkende på angripernes forfalskede LayerZero-meldinger.

Nettopp denne saken ga en av de klareste formuleringene av revisjonens grenser. I obduksjonen fra OpenZeppelin, et av de ledende revisjonshusene, het det rett ut: «The contracts performed exactly as written.» Firmaet listet fire ting en smartkontrakt-revisjon normalt ikke undersøker: hvordan tredjeparts-integrasjoner er konfigurert ved utrulling, om infrastrukturkomponenter som RPC-noder og relayere utgjør et enkelt feilpunkt, om anbefalte standardinnstillinger faktisk er fulgt, og hvordan systemet oppfører seg når eksterne avhengigheter blir kompromittert. KelpDAO-hacket falt, med OpenZeppelins ord, rett inn i alle fire kategoriene.

Drift-saken fra samme måned fortalte en variant av det samme. Rundt 285 millioner dollar (rundt 2,7 milliarder kroner) forsvant gjennom det som beskrives som operasjonell kompromittering, ikke en sårbarhet i selve smartkontrakten. Begge sakene er tilskrevet nordkoreanske aktører, og begge understreker at krysskjede-broer og signeringsinfrastruktur ofte er den svakeste lenken. Den som vil forstå hvorfor broer er så sårbare, finner en systematisk gjennomgang i vår anatomi over bro-hackene og tillitsmodellene som brister.

Tallene bak 2025 og 2026: hvor pengene faktisk forsvinner

For å forstå hvorfor bransjen har flyttet fokus fra ren koderevisjon til infrastruktur, er det nok å se på tallene.

2025 ble et rekordår for kryptotyveri. Ifølge Chainalysis ble det stjålet over 3,4 milliarder dollar gjennom året, altså rundt 32 milliarder kroner, og minst 2,02 milliarder dollar av dette tilskrives nordkoreanske aktører. Ett enkelt hack dominerer statistikken: tyveriet av rundt 1,5 milliarder dollar fra børsen Bybit i februar 2025, det største enkelttyveriet i kryptohistorien. Angrepet rammet ikke en smartkontrakt, men signeringsprosessen; et manipulert grensesnitt lurte dem som skulle godkjenne en transaksjon.

Halborns egen årsoppsummering for 2025 noterer at bare seks hack oversteg 50 millioner dollar det året, mot åtte året før, men at totalen likevel langt overgikk 2024 på grunn av Bybit alene (Halborn oppgir Bybit-tapet til 1,4 milliarder dollar i sin egen oversikt). Blant de øvrige store var Cetus, Balancer, samt tap hos Nobitex, Phemex og UPCX, flere av dem knyttet til kompromitterte private nøkler snarere enn kodefeil.

2026 gjorde mønsteret enda tydeligere. TRM Labs registrerte 207 separate hendelser i første halvår, mer enn en dobling fra 83 i samme periode året før, men samlet tap falt til rundt 972 millioner dollar (rundt 9,1 milliarder kroner), ned 57 %. Det viktigste tallet er fordelingen: infrastruktur-angrep utgjorde bare 15 % av hendelsene, men rundt 76 % av verdien. Eller som TRM oppsummerte: tre firedeler av alle stjålne verdier kom fra kompromittering av nøkler, forvaring og signeringsinfrastruktur, ikke fra feil i smartkontrakter.

Signeringssteget er også der vanlige brukere er mest utsatt. Hvordan private nøkler beskyttes i praksis, har vi testet gjennom hele eierskapet i vår gjennomgang av maskinvarelommebøker, og lærdommen er den samme på liten skala som på stor: den svakeste lenken er sjelden selve koden.

Revisjon, bug bounty eller forsikring: hva beskytter egentlig?

Gitt at en revisjon ikke er nok, hva mer finnes? Moderne kryptosikkerhet hviler på flere lag som utfyller hverandre.

• Revisjon: en grundig, men tidsavgrenset gjennomgang før lansering. Fanger kjente feilkategorier, men ser koden på ett tidspunkt.
• Bug bounty: en stående belønning til hvite hatter som melder inn feil etter lansering. Dekker den løpende risikoen en engangsrevisjon ikke kan.
• Konkurranserevisjon: mange uavhengige øyne som konkurrerer om å finne feil i en avgrenset periode.
• Forsikring og dekningspooler: produkter som betaler ut til protokollen eller brukerne når et dekket hull utnyttes.
• Overvåkning: sanntidsverktøy som prøver å oppdage et angrep mens det pågår, ikke bare i etterkant.

Økonomien i dette er verdt å forstå. En revisjon er en fast kostnad du betaler uansett utfall; en bug bounty er en betinget kostnad du bare betaler hvis noen faktisk finner noe. De to er komplementære, ikke konkurrerende. Vi har sett nærmere på hvordan selve prislappen på en bug bounty settes, og hvorfor taket sjelden matcher det en kritisk feil egentlig er verdt, i vår gjennomgang av hvordan en bug bounty prises.

Poenget for et prosjekt som skal beskytte brukernes penger, er at ingen av lagene er nok alene. En protokoll som kun har en revisjon, men ingen løpende bounty, ingen overvåkning og ingen plan for hendelseshåndtering, har i praksis kjøpt seg et øyeblikksbilde og kalt det trygghet. Det er nettopp derfor hus som Halborn selger en stabel av tjenester, ikke ett stempel.

Hva koster en Halborn-revisjon?

Prisen på en revisjon avhenger av hvor stor og komplisert koden er, hvilket språk den er skrevet i, og hvor fort kunden trenger svar. Halborn oppgir ikke offentlige prislister, men bransjeoversikter for 2026 gir et brukbart bilde. Sherlock, som selv opererer i dette markedet, plasserer smartkontrakt-revisjoner i et spenn fra rundt 5 000 til godt over 250 000 dollar, der de fleste DeFi-revisjoner lander mellom 25 000 og 100 000 dollar.

Kostnadsdriverne er verdt å kjenne. Antall kodelinjer avgjør varigheten nesten mekanisk: rundt 500 linjer tar noen dagers gjennomgang, 3 000 linjer nærmere tre uker, og 6 000 linjer godt over en måned. Språk utenfor Solidity koster mer fordi færre ingeniører behersker dem; Sherlock anslår et påslag på 25 til 40 % for Rust og Solana, 30 til 45 % for Move (Sui og Aptos), og hele 80 til 120 % for ZK-kretser. Haster det, legges det gjerne på ytterligere 20 til 40 %.

For et prosjekt betyr dette at et topphus som Halborn er en betydelig, men ikke umulig, kostnad. En seriøs DeFi-lansering kan fort legge en halv til en hel million kroner på bordet for en full gjennomgang med minst én ny sjekk etter at feilene er rettet. For institusjonene Boschung sikter mot, er det småpenger; for et lite team er det en reell terskel, og en av grunnene til at billigere, dårligere revisjoner fortsatt frister mange prosjekter.

Regulering: ingen krever at koden revideres

Her ligger en overraskelse for mange: ingen myndighet i verken USA eller EU krever at en smartkontrakt skal revideres, og ingen offentlig instans akkrediterer eller godkjenner dem som utfører revisjonene. Det finnes ikke noe motstykke til den autorisasjonen en statsautorisert regnskapsrevisor må ha. Kvaliteten på en kryptorevisjon holdes oppe av omdømme alene, ikke av lov.

For norske lesere er det verdt å presisere hvordan bildet ser ut hjemme. Finanstilsynet fører tilsyn med tilbydere av kryptoaktivatjenester (CASP-er) under MiCA-regelverket, som er innlemmet i EØS-avtalen og dermed gjelder i Norge. Men MiCA regulerer tjenestetilbyderne, altså børser, vekslere og forvarere, ikke selve protokollkoden. Fullt desentralisert DeFi faller i stor grad utenfor. DORA, EUs regelverk for digital operasjonell motstandsdyktighet, har siden 17. januar 2025 stilt krav til IKT-sikkerhet hos finansforetak og CASP-er, men heller ikke DORA pålegger noen å få Solidity-koden sin gjennomgått av et sikkerhetsfirma.

Konsekvensen er at ansvaret i praksis ligger hos prosjektene selv, og at en revisjon er en frivillig kvalitetsmarkør snarere enn et lovkrav. Det gjør omdømmet til firmaer som Halborn til selve valutaen i markedet: uten en tilsynsmyndighet som deler ut lisenser, er en revisors rykte det eneste som skiller en grundig gjennomgang fra et gummistempel. Skatteetaten er for øvrig den relevante instansen for hvordan norske brukere skal føre gevinst og tap på kryptoaktiva, men det er en annen del av bildet.

Slik vurderer du hva en revisjon egentlig forteller

For en vanlig investor eller bruker er det ett spørsmål som betyr noe: hva forteller en revisjon meg egentlig om risikoen? Her er noen praktiske knagger.

• Sjekk omfanget, ikke bare stempelet: en rapport sier hvilke filer og hvilken versjon (commit) som ble gjennomgått. Kode som er endret etterpå, er ikke dekket.
• Se etter hva som ble funnet og rettet: en god rapport lister funnene og hvordan de ble håndtert. En rapport uten et eneste funn er ofte et rødt flagg, ikke et grønt.
• Forstå at revisjonen er et øyeblikksbilde: den sier lite om nøkkelhåndtering, multisig-oppsett, oracle-avhengigheter eller infrastruktur, altså der de fleste dyre hackene faktisk skjer.
• Se om det finnes flere lag: en løpende bug bounty, overvåkning og en klar plan for hendelseshåndtering betyr mer enn ett enkelt revisjonsstempel fra et par år tilbake.
• Vær skeptisk til logoer uten lenke: et ekte engasjement kommer med en publisert rapport, ikke bare en revisor-logo på nettsiden.

Kort sagt: en revisjon fra Halborn eller et likestilt hus er et sterkt signal, men det er et signal om at koden ble lest på et tidspunkt, ikke en garanti om at pengene er trygge for alltid. Den som husker det, leser markedet langt klarere enn den som ser et revisjonsstempel og slutter å tenke.

Hva Halborn forteller oss om kryptosikkerhet i 2026

Halborn er interessant ikke bare som selskap, men som et speil for hvordan hele bransjen har modnet. Firmaet begynte som et lite team som kunne lese kode ingen andre forsto, vokste på DeFi-bølgen, hentet nesten en milliard kroner, og posisjonerer seg nå mot banker og tokeniserte verdier. Den reisen følger kryptosikkerhetens egen bane: fra en nisje for entusiaster til en institusjonell disiplin.

Den viktigste lærdommen er likevel den ubehagelige: revisjonene blir bedre, husene blir større, og pengene forsvinner likevel, bare gjennom andre dører. I 2025 forsvant de gjennom subtile kodefeil hos Cetus og Balancer; i 2026 gjennom nøkler og infrastruktur hos KelpDAO og Drift. Et firma som Halborn kan lese koden din, angripe infrastrukturen din og skrive obduksjonen når det går galt, men det kan ikke fjerne risikoen. Det kan bare flytte den, gjøre den synlig, og gjøre den dyrere for angriperen.

For leseren er konklusjonen enkel nok til å ta med seg: en revisjon er nødvendig, men aldri tilstrekkelig. Spør alltid hva som ble sjekket, hva som ikke ble det, og hva som beskytter pengene den dagen koden oppfører seg akkurat slik den var skrevet, og pengene forsvinner likevel.

Ofte stilte spørsmål (FAQ)

Hva er Halborn?

Halborn er et sikkerhetsselskap for blokkjede- og Web3-teknologi, grunnlagt i 2019 og med base i Miami. Selskapet reviderer smartkontrakter, utfører penetrasjonstesting og red team-øvelser, og bistår med hendelseshåndtering når prosjekter blir angrepet. Blant kundene selskapet selv nevner er Coinbase, Polygon og Solana.

Hva var Rab13s-sårbarheten?

Rab13s er en serie sårbarheter Halborn oppdaget i Dogecoins kodebase i mars 2022, senere registrert som CVE-2023-30769. Feilene rammet over 280 nettverk som delte liknende kode, inkludert Litecoin og Zcash, med verdier tilsvarende rundt 25 milliarder dollar potensielt utsatt. Dogecoin ble oppdatert i versjon 1.14.6 før den offentlige disclosuren i mars 2023.

Betyr en revisjon at et kryptoprosjekt er trygt?

Nei. En revisjon er en tidsavgrenset gjennomgang av koden slik den er på ett tidspunkt, og den fanger ikke feil i nøkkelhåndtering, infrastruktur eller krysskjede-oppsett. Både Cetus og Balancer var revidert flere ganger før de ble hacket, og hos KelpDAO fungerte koden helt korrekt mens angriperne forfalsket meldinger utenfor kontraktene. En revisjon er nødvendig, men ikke tilstrekkelig.

Hva koster en smartkontrakt-revisjon i 2026?

Prisen avhenger av kodens størrelse, språk og hastegrad. Bransjeoversikter for 2026 anslår et spenn fra rundt 5 000 til over 250 000 dollar, der de fleste DeFi-revisjoner lander mellom 25 000 og 100 000 dollar (rundt 235 000 til 940 000 kroner). Kode i Rust, Move eller ZK-kretser koster mer fordi færre ingeniører behersker den.

Regulerer Finanstilsynet kryptorevisjoner i Norge?

Nei. Finanstilsynet fører tilsyn med tilbydere av kryptoaktivatjenester (CASP-er) under MiCA, som gjelder i Norge via EØS-avtalen, men verken MiCA eller DORA krever at protokollkode skal revideres, og ingen myndighet akkrediterer dem som utfører revisjonene. Kvaliteten holdes oppe av firmaenes omdømme, ikke av en lovpålagt lisens.

Av Anneke de Vries, redaktør for sikkerhet og exploits i HOGE Wire.