Audit, bug bounty og forsikring: hvem betaler etter hacket?

Første halvår av 2026 forsvant rundt 972 millioner dollar, i overkant av 9 milliarder kroner, ut av kryptoprosjekter fordelt på 207 separate hendelser. Det er det høyeste antallet angrep som noen gang er registrert i løpet av et halvår, selv om det samlede tapet for første gang på lenge falt under én milliard dollar, ifølge Immunefis halvårsrapport. Ved åttemånedersmerket hadde kompromitterte private nøkler for første gang gått forbi rene kodefeil som den angrepsvektoren som koster mest, skriver crypto.news. Og mens tapene hopet seg opp, var under to prosent av alle verdiene i DeFi dekket av noen erstatningsordning, ifølge CoinDesk.

Det etterlater et ubehagelig spørsmål som nesten ingen stiller før det er for sent: når revisjonen er bestått, koden er stemplet som trygg og lommeboken din likevel tømmes på tolv sekunder, hvem betaler deg tilbake? Tre ulike bransjer selger noe som ligner en garanti, revisjonsselskapet, bug bounty-plattformen og cover-markedet. Denne gjennomgangen rangerer dem ikke etter hvor kjent firmaet er eller hvor forseggjort rapporten ser ut, men etter ett eneste mål: hvor mange kroner som faktisk når frem til offeret etter et angrep. Konklusjonen er ikke betryggende. To av de tre lagene var aldri konstruert for å betale deg i det hele tatt.

De tre lagene, og hva hvert av dem faktisk leverer

Sikkerhet i DeFi selges som et stablet forsvar, men lagene gjør helt forskjellige jobber, og de fleste brukere oppdager forskjellen først når pengene er borte. Revisjonen er en inspeksjon: et team leser koden i noen uker og leverer en rapport. Bug bounty-programmet er en dusør: en ekstern forsker som finner en feil før angriperen, får betalt for å melde fra. Cover, det bransjen bevisst unngår å kalle forsikring, er en erstatningsordning: en pott med kapital som betaler ut til den som led tapet, hvis tapet faller innenfor vilkårene.

Legg merke til hvem hvert lag betaler. Revisoren betaler ingen; den selger en tjeneste og fraskriver seg ansvaret for utfallet. Dusøren betaler forskeren, ikke offeret, og bare hvis noen rekker å finne feilen i tide. Cover-potten er den eneste som er innrettet mot å betale deg, kunden som ble drenert. Tabellen under oppsummerer forskjellen.

Lag 1: revisjonsselskapet leverer en rapport, ikke en refusjon

Revisjonsselskapene er navnene alle kjenner: Trail of Bits, OpenZeppelin, CertiK, Halborn, Certora, Zellic. En seriøs revisjon er verdt pengene, den fanger en stor andel av de vanlige feilene før de når produksjon. Men den er en øyeblikksinspeksjon, ikke en forsikring, og kontraktene sier det rett ut. Standardavtalen leveres som den er, kunden holder revisoren skadesløs, og ethvert erstatningsansvar er i praksis begrenset oppad til det honoraret som ble betalt. Du kjøper en gjennomlesning, ikke en garanti for at pengene dine er trygge.

Tallene viser hvor stort dette gapet er. Sikkerhetshuset Ack3 sporet 135 angrep i første halvår 2026 med et samlet tap på 939,86 millioner dollar. Av pengene som ble stjålet fra prosjekter som faktisk var revidert, forsvant 94,4 prosent gjennom kode eller infrastruktur som revisoren aldri hadde sett på, ifølge Ack3s rapport. Sytten av de tjue nærmeste revisjonene ved rammede protokoller var seks måneder gamle eller eldre da angrepet kom. Revisjonen dekket, med andre ord, sjelden den delen av systemet som faktisk brast.

Suhail Kakar, utviklingssjef i TAC Blockchain, sa det uten omsvøp etter et av årets største angrep: «revidert av X betyr nesten ingenting. Kode er vanskelig, DeFi er vanskeligere», uttalte han til Cointelegraph. Poenget er ikke at revisjon er verdiløst, men at et revisjonsstempel ikke er en kvittering du kan løse inn.

Hvorfor «revidert av X» ikke betyr «dekket av X»

Den vanligste misforståelsen er at en revidert protokoll er en trygg protokoll. Fellen ligger i omfanget. En revisjon dekker bare den koden som fantes den dagen den kjørte, i den konfigurasjonen som ble avtalt. Da Kelp DAO mistet rundt 291 millioner dollar i april 2026, konkluderte OpenZeppelins obduksjon med at «kontraktene oppførte seg nøyaktig slik de var skrevet», og listet opp hva en revisjon ikke undersøker: konfigurasjonen av tredjepartsintegrasjoner, enkeltpunkter for svikt i infrastrukturen og oppførselen til avhengigheter utenfor kjeden. Angrepet gikk gjennom en enkelt kompromittert verifikator, ikke gjennom en kodefeil.

Balancer er det andre lærestykket: protokollen var revidert elleve ganger av fire forskjellige firmaer og ble likevel tømt for over 100 millioner dollar i november 2025 gjennom en avrundingsfeil som hadde ligget i koden siden 2021. Mønsteret gjentar seg fordi pengene har flyttet seg bort fra koden. Mange av de dyreste bruddene skjer nå på det menneskelige laget, ofte på signeringsskjermen der en tilsynelatende harmløs transaksjon skjuler noe annet, et tema vi gikk grundig inn i da vi så på kampen om signeringsskjermen. Ronghui Gu, medgrunnlegger og sjef i CertiK, oppsummerte skiftet slik: «angriperne får mer igjen for å gå etter nøkkelhåndtering, multisig-styring og driftsinfrastruktur enn for å lete etter feil i koden», sa han til Forbes.

CertiKs egen halvårsrapport bekrefter formen: kompromitterte lommebøker kostet mer enn 444 millioner dollar fordelt på 33 hendelser, mens 204 rene kodefeil til sammen sto for rundt 152 millioner dollar, den vanligste, men billigste kategorien, ifølge Hack3d-rapporten. Revisjonen er god på det vanligste angrepet, ikke på det dyreste. Det gjør et revisjonsstempel til et svakt signal om hvorvidt du får igjen pengene om noe går galt.

Lag 2: bug bounty betaler varsleren, ikke offeret

Det andre laget snur logikken. I stedet for å lese koden på forhånd, betaler bug bounty-programmet en hær av eksterne forskere for å lete etter feil kontinuerlig, og belønner den som melder først. Immunefi er den største plattformen. I første halvår 2026 betalte den ut rundt 13,45 millioner dollar (i overkant av 125 millioner kroner) for 837 gyldige feil, og passerte 140 millioner dollar i samlede utbetalinger til forskere i juni, ifølge The Block. Plattformen oppgir over 92 000 registrerte forskere, beskytter mer enn 180 milliarder dollar i verdier på tvers av over 650 protokoller, og hevder å ha forhindret over 25 milliarder dollar i tap.

Mitchell Amador, grunnlegger og sjef i Immunefi, leser tallene optimistisk: «kryptosikkerhet er en kamp mot en motstander, og den slutter aldri å utvikle seg. Den ærlige lesningen av tallene er enkel: bransjen lærer», sier han til The Block. Men legg merke til hvem som får pengene. En dusør betaler forskeren som fanget feilen før angriperen, ikke brukeren som ble tømt etterpå. Det er forebygging, ikke erstatning. Rekker angriperen først, finnes det ingen dusør å hente for offeret. Den største enkeltutbetalingen i Immunefis historie, 10 millioner dollar til forskeren satya0x for en feil i Wormhole i 2022, gikk nettopp til en som stoppet et tap, ikke til noen som led det.

Konkurranserevisjon og oppkjøpsbølgen: hvor prisen på en advarsel settes

Mellom den faste revisjonen og den åpne dusøren ligger konkurranserevisjonen, der hundrevis av forskere kappes om en premiepott for en avgrenset kodebase. Modellen konsoliderte seg kraftig i 2026. Code4rena, som var med på å finne opp formatet, annonserte nedleggelse i mai 2026, og Immunefi tok over kundene, forskerne og regelverket, meldte The Block. Cantina, den offentlige armen til Spearbit, hadde allerede slått seg sammen året før. Uansett merkelapp betaler også dette laget for en advarsel som kommer før angrepet. Det gjør porteføljen av forebyggende tjenester bredere, men det flytter ikke risikoen for tap over på noen andre enn deg selv.

Lag 3: on-chain cover er det eneste laget som er bygget for å erstatte deg

Det tredje laget er det eneste som betaler offeret. On-chain cover, det bransjen bevisst kaller «cover» og ikke «forsikring», er en pott med kapital som medlemmer bidrar til, og som betaler ut til den som led et dekket tap. Nexus Mutual dominerer kategorien fullstendig, med rundt 85 prosent av all on-chain-dekning og en kapitalpott på 81,56 millioner dollar (i overkant av 750 millioner kroner), ifølge The Token Dispatch. Siden 2019 har fellesskapet tegnet cover for mer enn 7 milliarder dollar (rundt 65 milliarder kroner) til sammen og betalt ut alle gyldige krav, opplyser Nexus Mutual selv.

Det høres solid ut, og innenfor sine grenser er det det. Nexus har betalt reelle krav gjennom flere av tiårets største hendelser, fra TribeDAO til Euler til kundekrav etter FTX-kollapsen. Tabellen under viser noen av de bekreftede utbetalingene.

Men se på summen. Over sju år har Nexus betalt ut i overkant av 18 millioner dollar (rundt 170 millioner kroner) i krav til sammen, ifølge samme oversikt. Det er mindre enn hva ett eneste middels stort angrep koster i 2026. Den aktive dekningen fordeler seg i dag på rundt 26,6 millioner dollar i enkeltprotokolldekning, 16 millioner i generell kryptodekning og mindre poster for fond og likvidasjon, oppgir Nexus. Laget som faktisk er bygget for å betale deg, er også det desidert minste.

«Cover», ikke «forsikring»: hvorfor ordvalget betyr noe for norske brukere

Ordet «cover» er ikke markedsføringspynt, det er en juridisk presisering. Nexus Mutual er en diskresjonær gjensidig ordning: medlemmene, ikke et regulert forsikringsselskap, vurderer og stemmer over krav. Det gir ingen kontraktsfestet rett til utbetaling slik en forsikringspolise gjør. Under norsk rett er forsikring en konsesjonspliktig virksomhet under tilsyn av Finanstilsynet, med krav til kapital, klagerett og, for mange skadeforsikringer, en garantiordning i bunn. En on-chain cover-pott har ingen av delene. Faller den, eller stemmer medlemmene ned kravet ditt, finnes det ingen tilsynsmyndighet å klage til og ingen garantifond som trår inn.

Regelverket som ellers rammer inn kryptobransjen, hjelper ikke her. MiCA gjelder i Norge gjennom EØS, og kryptoeiendelsloven trådte i kraft 1. juli 2025 med Finanstilsynet som tilsynsmyndighet for tilbydere av kryptotjenester. Men MiCA regulerer tjenestetilbydere og utstedere, ikke smartkontraktkoden, og fullt desentralisert DeFi faller utenfor helt. DORA, som har gjeldt for kryptoforetak siden 17. januar 2025, stiller krav til driftsstabilitet og IT-sikkerhet hos den sentrale tilbyderen, men når ikke inn i koden og pålegger ingen å erstatte et tap. Verken tilsyn eller lovverk står bak on-chain cover; det gjør bare kapitalpotten selv.

Markedet som krymper: da Sherlock falt fra 60 millioner til en halv million dollar

Det mest urovekkende med erstatningslaget er ikke at det er lite, men at det skrumper. Sherlocks dekningspott falt fra rundt 60 millioner dollar til 505 000 dollar på ett år. InsurAce, som på topp hadde 150 millioner dollar, står igjen med rundt 132 000. Unslashed Finance kjører på kode som ikke er oppdatert siden slutten av 2024, ifølge The Token Dispatch. Til sammen er under to prosent av DeFis verdier dekket, skriver CoinDesk.

Hugh Karp, som grunnla Nexus Mutual, kaller mangelen på dekning «en av de største barrierene for reell DeFi-bruk», og har beskrevet det bransjen klarer å betale ut som «en brøkdel av det markedet trenger», overfor CoinDesk. Problemet er ikke at ingen har bygget produktet. Problemet er at nesten ingen kjøper det.

Regnestykket som dreper etterspørselen: avkastning mot premie

Grunnen er kald matematikk. En cover-premie koster typisk et par prosent av beløpet du dekker per år. Men avkastningen i DeFi har falt, og når premien spiser store deler av rentene, forsvinner hele poenget med å ta risikoen. Tabellen under, basert på tall fra The Token Dispatch, viser hvorfor.

For en Maple-posisjon kan full dekning gjøre nettoavkastningen negativ: du betaler for privilegiet av å låne ut. Bare der premien er uvanlig lav, som hos Sky, overlever regnestykket. Resultatet er at rasjonelle brukere jager avkastning og dropper beskyttelse, akkurat slik CoinDesks overskrift beskrev det. Erstatningslaget krymper ikke fordi det svikter når det testes, men fordi markedet har priset det ut.

Når ingen av lagene betaler: kjeden som ble stoppet

Hva skjer da når alle tre lagene svikter samtidig? Se på Tectonic. Den 30. august 2026 ble långiverprotokollen på Cronos tømt for rundt 75 millioner dollar (i overkant av 700 millioner kroner) etter at en angriper pumpet prisen på et tynt omsatt token og lånte mot den oppblåste verdien. Revisjonen stoppet det ikke, ingen dusør ble utløst, og det fantes ingen cover. Det eneste som hentet penger tilbake, var et ekstraordinært grep: Cronos-validatorene stanset hele kjeden og rullet den tilbake, noe som reverserte rundt 68,7 millioner dollar som fortsatt lå på Cronos, meldte CoinDesk. Men de rundt 6 millioner dollar som allerede var brodd over til Ethereum, var tapt for godt.

En kjede-tilbakerulling er ikke et sikkerhetsnett du kan regne med. Den krever et fåtall validatorer villige til å bryte med prinsippet om at kjeden er uforanderlig, og den fungerer bare så lenge pengene ikke har rukket å forlate kjeden. Den andre måten ofre av og til gjøres hele på, er at en sentralisert aktør dekker tapet av egen lomme, slik Bybit gjorde med frisk kapital etter tyveriet på 1,5 milliarder dollar i februar 2025. Men det er en forretningsbeslutning fra en børs med balanse til å bære det, ikke en rettighet, og nettopp den typen mellomledd er desentralisert DeFi bygget for å fjerne, slik vi skrev om da børsen ble lommeboken din. Spørsmålet om hvem som til slutt sitter igjen med regningen, tok vi også opp i gjennomgangen av oppgjøret etter et styringsangrep.

Sporing er ikke tilbakebetaling: sju prosent kommer hjem

Etter angrepet kommer etterforskningen, og her er kryptobransjen faktisk blitt god. Adresser klynges, midler følges gjennom miksere og broer, og gjerningsmenn navngis ofte innen timer. Men å spore penger er ikke det samme som å få dem tilbake. I første halvår 2026 endte bare 16 av 224 hendelser med at noe ble gjenvunnet eller frosset, 7,1 prosent, og verdien som kom tilbake var 143,38 millioner dollar av 1,32 milliarder, altså under elleve prosent, ifølge Global Ledgers analyse. Tyvene har typisk et vindu på rundt 45 dager til å vaske midlene gjennom desentraliserte børser, miksere og broer før sporet blir kaldt. For offeret betyr det at selv en perfekt attribuering som regel ender som en rapport, ikke en refusjon, det samme mønsteret som på revisjonslaget.

Bug Bounty Cover og hybridene: når lagene smelter sammen

Bransjen har begynt å reparere gapet ved å sy lagene sammen. Sherlock selger en pakke der en revisjon leveres sammen med inntil én million dollar i dekning og et bug bounty-program oppå. Nexus Mutual har lansert Bug Bounty Cover i samarbeid med Immunefi, Cantina og Sherlock: protokollen betaler bare 20 prosent av en kritisk dusør selv, og potten dekker resten opp til grensen, opplyser Nexus. Presedensen finnes: Euler-tapet i 2023 utløste én million dollar i Sherlock Excess Cover, betalt gjennom nettopp en slik hybrid.

Nexus har også utvidet kapasiteten ved å integrere restaking-spesialisten Symbiotic mot slutten av 2025, ifølge CoinDesk, og lansert Bitcoin-denominert dekning slik at BTC-eksponering kan beskyttes uten å ta valutarisiko. Retningen er riktig, men skalaen forblir liten. Så lenge avkastningsmatematikken taler mot å kjøpe, kommer hybridene til å beskytte protokollteam og profesjonelle aktører mer enn vanlige brukere.

Slik vurderer du hvem som faktisk betaler: en sjekkliste for 2026

Hvordan bruker du dette som innskyter? Ikke les stempelet, les vilkårene. En rask sjekkliste for 2026:

• Les revisjonens omfang og innsatsnivå, ikke bare navnet på firmaet. En rapport som dekker fire uker på én modul, sier lite om resten av systemet.
• Sjekk om det finnes et aktivt bug bounty-program, og hvor høyt taket er. Et lavt tak signaliserer at prosjektet selv priser risikoen lavt.
• Finn ut om det finnes cover i det hele tatt, og om den er diskresjonær eller kontraktsfestet. Spør hvor dyp potten er sammenlignet med din egen eksponering.
• Se på utbetalingshistorikken, ikke løftene. Har ordningen faktisk betalt gyldige krav før?
• For norske brukere: husk at on-chain cover ikke er forsikring under Finanstilsynets tilsyn, og at ingen garantiordning står bak. Behandle den som et supplement, ikke et sikkerhetsnett.

Den nøkterne konklusjonen er at de tre lagene løser tre forskjellige problemer, og bare ett av dem handler om å gjøre deg hel igjen. Revisjonen reduserer sjansen for at noe går galt. Dusøren betaler noen for å fange feilen først. Cover er det eneste som er bygget for å erstatte deg, og det dekker under to prosent av markedet. Inntil den matematikken endrer seg, er den beste beskyttelsen fortsatt å unngå tapet i utgangspunktet, enten det handler om å oppdage en rug pull i tide eller å stoppe et styringsangrep før det treffer. For når pengene først er ute av kjeden, er sannsynligheten for å se dem igjen omtrent sju prosent.

Frequently Asked Questions

Dekker en revisjon tapet mitt hvis protokollen blir hacket?

Nei. En revisjon er en inspeksjon av koden på et gitt tidspunkt, ikke en forsikring. Standardavtaler leveres som de er, og erstatningsansvaret er som regel begrenset til honoraret som ble betalt. Får du et tap, gir revisjonen deg i beste fall en obduksjon, ikke pengene tilbake. Sikkerhetshuset Ack3 fant at 94,4 prosent av tapene hos reviderte prosjekter i første halvår 2026 falt utenfor det revisoren hadde undersøkt.

Hva er forskjellen på bug bounty og cover?

Et bug bounty-program betaler en ekstern forsker for å melde en feil før en angriper utnytter den; det er forebygging, og pengene går til forskeren. Cover er en erstatningsordning som betaler ut til den som led tapet, hvis tapet faller innenfor vilkårene. Kort sagt: dusøren belønner den som stopper angrepet, mens cover kompenserer den som rammes av det.

Er Nexus Mutual det samme som forsikring?

Ikke juridisk. Nexus Mutual markedsfører seg selv som «cover», ikke forsikring, og er en diskresjonær gjensidig ordning der medlemmene stemmer over krav. Under norsk rett er forsikring konsesjonspliktig og underlagt Finanstilsynets tilsyn, med klagerett og ofte en garantiordning i bunn. On-chain cover har ingen av disse beskyttelsene, selv om Nexus opplyser at ordningen har betalt alle gyldige krav siden 2019.

Hvor mye av DeFi er egentlig forsikret?

Under to prosent av verdiene i DeFi er dekket av noen erstatningsordning, ifølge CoinDesk. Nexus Mutual står alene for rundt 85 prosent av den lille dekningen som finnes, mens konkurrenter som Sherlock og InsurAce har krympet kraftig. Hovedgrunnen er at cover-premien ofte spiser opp mesteparten av avkastningen, så de fleste brukere velger avkastning fremfor beskyttelse.

Får jeg pengene tilbake hvis en hacker tømmer protokollen jeg bruker?

Sannsynligvis ikke. I første halvår 2026 endte bare rundt 7 prosent av hendelsene med at noe ble gjenvunnet eller frosset, og under elleve prosent av den stjålne verdien kom tilbake, ifølge Global Ledger. Av og til redder en kjede-tilbakerulling eller en velvillig børs situasjonen, slik Cronos og Bybit viste, men det er unntak, ikke rettigheter. Uten cover er du i praksis usikret.

Anneke de Vries dekker sikkerhet, revisjon og exploits for HOGE Wire.