Den eldste orakel-feilen: derfor funker samme DeFi-angrep i 2026

Den 30. august 2026 brukte en angriper rundt 600 000 dollar (om lag 5,5 millioner kroner) på å kjøpe opp en tynt omsatt token kalt TONIC. På tjue minutter presset angrepet prisen nesten hundre ganger oppover. Deretter ble de kunstig oppblåste tokenene levert inn som sikkerhet i Tectonic, den største utlånsprotokollen på Cronos-kjeden, og angriperen lånte ut eiendeler verdt rundt 75 millioner dollar (nær 690 millioner kroner). Tre dager tidligere hadde noen gjort nesten nøyaktig det samme mot Moonwell på Base: pumpet en illikvid token opp fra noen få øre, brukt den som oppblåst sikkerhet, og lånt ut rundt 8,7 millioner dollar i cbBTC, WETH og stablecoins.

Dette var ikke et raffinert null-dagsangrep, og ikke en skjult feil i koden. Det var den eldste oppskriften i DeFi-sikkerhetsboka, beskrevet i detalj helt siden februar 2020, da den første flash-lån-drevne orakelmanipulasjonen tappet bZx for et par hundre tusen dollar. Seks år, tusenvis av revisjoner og en hel industri av profesjonelle orakelleverandører senere funker akkurat det samme trikset fortsatt, og det funker i stor skala.

Spørsmålet denne artikkelen stiller er ikke hvordan orakelmanipulasjon fungerer, men hvorfor den fortsatt fungerer. Hvorfor bygger utviklere i 2026 protokoller som stoler på en pris hvem som helst kan flytte? Hvorfor gjentar selv protokoller som allerede er blitt tappet den samme feilen bare måneder senere? Og hva betyr det, helt konkret, for en norsk bruker som setter pengene sine inn i en utlånsprotokoll, når selv en stor blokkjede måtte spole tilbake tiden for å gi pengene tilbake?

Angrepet som ikke vil dø

En utlånsprotokoll lar deg sette inn en eiendel som sikkerhet og låne mot den. For å vite hvor mye du får låne, må protokollen vite hva sikkerheten er verdt, og den spør et prisorakel. Nettopp utlånsprotokoller er det fristende målet, fordi de sitter på ekte, lånbare eiendeler: stablecoins, innpakket Bitcoin og Ether som en angriper faktisk kan stikke av med. Hele angrepet hviler på ett enkelt premiss: hvis orakelet leser spotprisen fra ett enkelt, grunt marked, kan hvem som helst med nok kapital (eller et flash loan) flytte den prisen, få sikkerheten til å se langt mer verdt ut enn den er, og låne ut ekte eiendeler som aldri betales tilbake. Protokollen sitter igjen med verdiløse tokens og et hull i balansen.

Et forenklet regnestykke viser hvor billig dette er. Anta at en token handles til én krone i en pool med tynn likviditet. En angriper med nok kapital kjøper aggressivt til prisen står i hundre kroner, deponerer beholdningen som sikkerhet verdt hundre ganger mer enn den faktisk kostet, og låner ut stablecoins mot den oppblåste verdien. Når lånet først er tatt opp, spiller det ingen rolle at prisen kollapser tilbake til én krone; angriperen sitter på ekte stablecoins, og protokollen sitter på en sikkerhet ingen vil kjøpe. Hele sekvensen kan skje i én eneste transaksjon.

Mønsteret er like gammelt som moderne DeFi. I februar 2020 ble bZx tappet i det som regnes som det første flash-lån-drevne orakelangrepet, et par hundre tusen dollar den gangen (CertiK har dokumentert hele rekken). Samme høst mistet Harvest Finance rundt 24 millioner dollar (om lag 220 millioner kroner) da en angriper skjevfordelte en Curve-pool protokollen brukte til prising. Siden fulgte Cheese Bank, Value DeFi, Cream Finance, PancakeBunny og en lang rekke andre. Oppskriften endret seg aldri: orakelet stolte på en pris som kunne flyttes billig.

Dette er ingen obskur feil. Prismanipulasjon av orakler står oppført som SC03 på OWASPs Smart Contract Top 10 for 2026, blant de ti vanligste og mest kostbare feilene i smartkontrakter. Den er katalogisert, undervist i, og det finnes ferdige verktøy for å unngå den. Likevel gjentas den, år etter år.

Tectonic: 75 millioner dollar på 20 minutter

Tectonic var den største utlånsplattformen på Cronos, en EVM-kjede tett knyttet til Crypto.com. Angrepet 30. august 2026 fulgte oppskriften til punkt og prikke. Angriperen brukte rundt 600 000 dollar på å kjøpe TONIC, protokollens egen, tynt omsatte token, og presset prisen nesten hundre ganger oppover på cirka tjue minutter. Deretter ble 364,6 billioner oppblåste TONIC-tokens levert inn som sikkerhet, og angriperen lånte ut eiendeler verdt rundt 75 millioner dollar (CoinDesk).

Den avgjørende detaljen er at angriperen nesten ikke trengte lånt kapital i det hele tatt. Et par hundre tusen dollar i egne penger holdt, rett og slett fordi markedet for TONIC var så grunt at det kostet nesten ingenting å flytte prisen hundre ganger. Tectonics samlede verdi i protokollen (TVL) falt fra rundt 121,7 millioner dollar (om lag 1,1 milliard kroner) 26. august til cirka 3 millioner få dager senere.

TONIC var ikke en tilfeldig token, men Tectonics eget styrings- og belønningstoken, tett vevd inn i protokollens egen økonomi. Nettopp derfor var det listet som sikkerhet i utgangspunktet: å la brukere låne mot husets egen token føles som en tjeneste til fellesskapet, helt til noen oppdager hvor lite det koster å flytte prisen på den. Kombinasjonen av et illikvid marked og en raus sikkerhetsfaktor gjorde TONIC til en åpen dør.

Og dette er poenget: ingen kodegransking ville ha fanget det opp, fordi koden gjorde nøyaktig det den var bedt om. Kjernefeilen var ikke en bug i utlånskontraktene, men en beslutning. Å godta en lavlikvid token som sikkerhet og prise den fra en kilde som kunne manipuleres for småpenger, er et designvalg, ikke en programmeringsfeil. Av de 75 millionene rakk for øvrig bare en liten del å forlate kjeden, og nettopp det gjorde Tectonic-saken til noe langt mer kontroversielt enn et vanlig utlånshack.

Da Cronos spolte tilbake tiden

Av de 75 millionene rakk bare rundt 6 millioner dollar (om lag 55 millioner kroner) å forsvinne til Ethereum før Cronos-validatorene grep inn. De resterende cirka 69 millionene lå fortsatt på Cronos-adresser. Validatorene koordinerte en nødstans, ble enige om å forkaste mer enn 10 000 blokker med kjedehistorikk, og startet kjeden på nytt fra et øyeblikksbilde tatt før angrepet, fra blokk 90 896 189 (crypto.news). Crypto.com-sjef Kris Marszalek forsikret at «alle midler er trygge», med henvisning til børsens egne beholdninger.

Tilbakespolingen reddet pengene, men åpnet et ubehagelig spørsmål. Sammenligningen med Ethereums DAO-fork i 2016 kom raskt, men forskjellen var slående: DAO-forken tok uker med offentlig debatt og endte i en varig kjedesplitt. Cronos gjorde noe tilsvarende på timer, med en håndfull validatorer, uten folkeavstemning og uten splitt. Kjeden vedlikeholdes av relativt få validatorer, mange av dem knyttet til Crypto.com, så det krever enighet fra langt færre uavhengige parter.

Kritikerne pekte på den glatte skråningen: hvis 75 millioner dollar rettferdiggjør en tilbakespoling, hva med 50 millioner? 10 millioner? Og hvilke andre hendelser enn hacking kan være nok til at validatorene trykker på omstart-knappen? Som en kommentator oppsummerte: hvis en liten gruppe validatorer kan skrive om en kjedes historikk for å reversere et tyveri, hva skiller da egentlig kjeden fra en database med noen ekstra steg? For tesen i denne artikkelen er ironien åpenbar. Tectonic-brukerne fikk pengene tilbake ikke fordi orakelet ble fikset, men fordi kjeden var sentralisert nok til å kunne angre. En virkelig desentralisert kjede kunne ikke ha gjort det, og det betyr også at neste gang feilen gjentas på en kjede uten en slik nødbrems, finnes det ingen tilbakespoling å håpe på.

Moonwell: samme feil for tredje gang på under et år

Tre dager før Tectonic falt, gikk Moonwell på Base i den samme fella. 27. august 2026 pumpet en angriper protokollens egen token MAMO fra rundt én øre til flere titalls øre, en oppgang i størrelsesorden førti ganger, ved å handle mot en grunn ordrebok. Den oppblåste MAMO-en ble brukt som sikkerhet til å låne rundt 11 millioner dollar i cbBTC, WETH, USDC og wstETH før prisen kollapset. Sikkerhetsselskapene PeckShield og CertiK anslo nettotapet til rundt 8,7 millioner dollar (om lag 80 millioner kroner), mens Blockaid tidlig sporet 50,6 cbBTC verdt over 4 millioner dollar ut av ett enkelt marked (KuCoin).

Det oppsiktsvekkende er ikke beløpet, men gjentakelsen. Dette var Moonwells tredje sikkerhetshendelse i 2026. I februar feilpriset et orakel Wrapped Ether til 1,12 dollar i stedet for rundt 2 200 dollar og skapte cirka 1,78 millioner dollar i tapt gjeld. I mars truet et styringsangrep protokollen, der en innsats på rundt 1 800 dollar i MFAM-tokens kunne nå eiendeler verdt cirka 1,08 millioner dollar. Og i august kom MAMO-angrepet. Tre forskjellige feilmoduser, samme protokoll, samme år.

Moonwell er dermed selve sinnbildet på problemet. Selv det å bli tappet, gjentatte ganger, er ikke nok til å få et team til å slutte å stole på priser som kan manipuleres. Kunnskap om sårbarheten er åpenbart ikke flaskehalsen, for ingen kjente feilen bedre enn Moonwell selv.

«Orakelet tok ikke feil»: pris er ikke det samme som verdi

Marcin Kazmierczak, medgrunnlegger av orakelleverandøren RedStone, satte fingeren på kjernen etter Tectonic-angrepet. «Orakelet tok ikke feil. Det rapporterte nøyaktig prisen på TONIC i den poolen det leste fra, der og da», sa han til crypto.news. Det er akkurat dette som gjør feilen så seiglivet: den er usynlig for et orakel som gjør jobben sin perfekt.

Orakelet rapporterte den ekte, gjeldende markedsprisen. Feilen var begrepsmessig. Protokollen behandlet «den siste prisen noen betalte i en grunn pool» som om det var «hva denne eiendelen er verdt som sikkerhet». I et dypt marked ligger de to tett opp til hverandre. I et tynt marked er prisen rett og slett det den siste kjøperen dyttet den til, og hvem som helst kan være den kjøperen. En pris er et øyeblikksbilde av siste handel; verdi er noe du kan realisere i marked uten å flytte prisen selv. Å forveksle de to er hele angrepet.

Det er også her myten om flash loans bør avlives. Mange skylder på flash loans, men Tectonic-angriperen trengte ikke noe stort flash loan, bare rundt 600 000 dollar i egen kapital. Flash loans er en forsterker, ikke årsaken: de lar en angriper leie millioner for én blokk, risikofritt, men de skaper ikke sårbarheten. Grunnfeilen er en protokoll som setter likhetstegn mellom en manipulerbar spotpris og verdi. Fjern flash loans, og en velkapitalisert angriper gjør akkurat det samme med egne penger, slik Tectonic beviste.

Hvorfor funker det fortsatt?

Hvis feilen er kjent, katalogisert og løsbar, hvorfor gjentas den? Svaret handler mindre om teknologi og mer om insentiver.

• Spotpris er lett, robust prising er vanskelig. Å lese prisen fra en DEX-pool er nesten en enlinjes oppgave. TWAP, median over flere noder, konfidensintervaller og vekst-tak krever mer arbeid, mer gass og mer integrasjon.
• Forking av ødelagt kode. Mange utlånsprotokoller er forker av forker i Compound- og Aave-slekten. En fork arver den originale protokollens antakelser om sikkerhet uten å revidere dem på nytt for den nye kjedens tynnere markeder.
• Press for å liste sikkerhet. Protokoller lister long-tail-tokens som sikkerhet for å tiltrekke seg TVL og tokenens fellesskap. Hver illikvide listing er en ny manipulasjonsflate. Både TONIC og MAMO var protokollenes egne ecosystem-tokens.
• Tid til marked. Å lansere raskt og farme TVL belønnes; å herde oraklene dukker ikke opp på dashbordet før det er for sent.

Og revisjoner har blindsoner. CertiK-medgrunnlegger Ronghui Gu har formulert det slik: «En protokoll kan bestå en feilfri kodegransking og likevel tape millioner, på grunn av en kompromittert admin-nøkkel.» Økonomisk manipulasjon er ikke en kodefeil en revisor kan streke under linje for linje; den er en emergent egenskap av parametere ganget med markedsdybde. Sikkerhetsfirmaet CredShields oppsummerte trenden med at angrepsflaten har flyttet seg «oppover i stakken, til styring, til signatører, og til menneskene som bygger protokollene selv» (crypto.news). Kunnskapen finnes, verktøyene finnes; det som mangler er insentivet til å bruke dem før lansering i stedet for etter hacket.

Det finnes også en ubehagelig økonomisk logikk under det hele. Så lenge kostnaden ved et hack kan skyves over på andre, en tilbakespoling betalt av kjeden, et kompensasjonsfond, långivere som sitter igjen med tapt gjeld, eller en forsikring, bærer ikke teamet som valgte det billige orakelet den fulle regningen selv. Da blir et robust orakeloppsett en utgift man kan utsette, og utsatt risiko er akkurat den typen beslutning et marked i kappløp om TVL tar igjen og igjen.

Feilen flytter oppover: avledede priser og RWA

Selv om spotpris-versjonen fortsatt funker på bunnen av stakken, har grunnfeilen begynt å klatre oppover. Den nyere varianten manipulerer ikke en markedspris, men en avledet verdi protokollen forveksler med en pris.

Andelsprisen i et ERC-4626-hvelv og vekslingsforholdet i en wrapped token er regnskapstall, ikke markedspriser, og de kan påvirkes med såkalte innskuddsangrep: doner eiendeler for å blåse opp andelsprisen, og innløs deretter mot den. Sommeren 2026 priset et utlånsmarked en wrapped, tokenisert Google-aksje ut fra sitt interne wrap-forhold; en angriper blåste opp det forholdet mange titalls ganger ved gjentatt donering og innløsning med et flash loan, selv om Chainlinks underliggende aksjekurs-feed var korrekt hele tiden. Orakelet hadde rett; det avledede forholdet var det svake leddet.

Dette blir bare viktigere etter hvert som virkelige eiendeler, tokeniserte aksjer, eiendom og statsobligasjoner, kommer på kjeden som sikkerhet. Hvert innpakkingslag legger til et nytt tall som kan manipuleres. Spørsmålet om hva et tokenisert aktivum egentlig er, en NFT eller et verdipapir, er ikke bare juridisk flisespikkeri: selve innpakkingen kan bli det manipulerbare laget i en utlånsprotokoll. Den grunnleggende feilen, å stole på et tall hvem som helst kan flytte som om det var verdi, vandrer oppover i stakken samtidig som spotpris-versjonen fortsetter å tappe protokoller på bunnen.

2026 i tabellform: samme mønster, nye navn

Ser man de største orakelrelaterte hendelsene i 2026 samlet, trer mønsteret tydelig frem. Flertallet av de store tapene er fortsatt den gamle spotpris-oppskriften; de nyere variantene viser feilen i utvikling, men den klassiske versjonen er fortsatt den største posten.

Til sammenligning tapte DeFi rundt 1,3 milliarder dollar (om lag 12 milliarder kroner) til hacking i første halvår 2026 alene, ifølge CertiKs Hack3d-rapport (crypto.news). Orakel- og prismanipulasjon utgjør en stor og påfallende stabil andel av det, år etter år, og august 2026 ble et av de verste enkeltmånedene så langt nettopp på grunn av denne typen angrep.

Tabellen er dessuten bare 2026. Trekker man linjen bakover, gjentar mønsteret seg: UwU Lend tapte rundt 19 millioner dollar i juni 2024 da en angriper manipulerte prisen i en Curve-pool, og Polter Finance mistet flere millioner senere samme høst etter at BOO-tokenens pris ble blåst opp på SpookySwap. Ulike kjeder, ulike år, samme grunnfeil. Det er nettopp denne forutsigbarheten som gjør orakelmanipulasjon til kryptosikkerhetens mest tilbakevendende problem.

Forsvaret som finnes, og hvorfor det ikke tas i bruk

Det frustrerende er at forsvaret finnes og stort sett virker. Problemet er ikke mangel på løsninger, men mangel på vilje til å betale prisen de koster.

Chainlink alene sikrer i dag storparten av all orakel-sikret verdi på kjeden, og sammen med Pyth, RedStone og API3 finnes det profesjonelle alternativer til den rå spotprisen for nesten enhver token som er verdt å liste. Hvorfor hopper protokoller likevel over dem? Fordi robust prising koster gass, integrasjonstid og kapitaleffektivitet, og fordi det å liste en illikvid ecosystem-token som sikkerhet er en vekstbeslutning, ikke en sikkerhetsbeslutning.

En del av bransjen har profesjonalisert nettopp dette. Spesialiserte risikoforvaltere som Chaos Labs og Gauntlet setter og overvåker sikkerhetsfaktorer, tak og orakelvalg på vegne av de store utlånsprotokollene, og flere av de rammede protokollene i 2026 manglet et slikt lag. Verdt å merke seg er dessuten at ikke all påvirkning av et orakels utfall er ulovlig: den lovlige fetteren, såkalt oracle extractable value (OEV), lar tredjeparter by på retten til å utføre likvidasjoner når en feed oppdateres, og kanaliserer verdien tilbake til protokollen i stedet for til tilfeldige boter. Skillet mellom et angrep og OEV ligger ikke i mekanikken, men i hvem som ender opp med å få betalt.

Deteksjon blir bedre, Blockaid flagget Moonwell-uttakene i sanntid, og AI-drevet overvåking er et voksende kappløp i kryptosikkerhet. Men en alarm som går av etter at lånet er tatt opp, er en brannalarm, ikke en lås. Den virkelige jobben gjøres før lansering, i valget av orakel og parametere.

Slik sjekker du om en protokoll kan prismanipuleres

For en bruker som vurderer å sette penger inn i en utlånsprotokoll, finnes det en kort sjekkliste som skiller de fleste bZx-repriser fra de forsvarlige oppleggene. Som lærdommen fra Radiant-tyveriet viste, er det langt billigere å stille spørsmålene før innskuddet enn etterpå.

• Hvilke tokens godtas som sikkerhet? Hvis protokollen godtar sin egen, tynt omsatte ecosystem-token (som TONIC eller MAMO), er det et rødt flagg.
• Hvor hentes prisen fra? Én DEX-pool betyr fare. Se etter Chainlink eller Pyth med median eller konfidensbånd, ikke en rå spotpris.
• Finnes det borrow caps og supply caps per marked? Tak begrenser skaden selv om prisen flyttes.
• Prises avledede verdier (hvelv-andeler, wrapped-forhold) med et vekst-tak av CAPO-typen?
• Hvor dypt er markedet for sikkerheten? Sjekk 24-timers volum og likviditet på en kilde som CoinGecko; en token som kan flyttes hundre ganger for 600 000 dollar egner seg ikke som sikkerhet.
• Hvem satte parameterne? En profesjonell risikoforvalter, eller teamet selv på følelsen?
• Har protokollen blitt tappet før? Gjentakelse, som hos Moonwell, er et mønster, ikke uflaks.
• Hvem kan gripe inn? Finnes en pause-funksjon, og hvem kontrollerer den?

Mango-presedensen: når det ikke er en forbrytelse å tappe DeFi

Hvorfor stopper ikke trusselen om straff gjentakelsen? Fordi det juridiske bildet er langt mer uavklart enn man skulle tro, og Mango Markets er lærebok-eksempelet. I oktober 2022 tappet Avraham Eisenberg Mango for rundt 110 millioner dollar (om lag 1 milliard kroner) ved å manipulere prisen på MNGO-perpetualer. CFTC skrev at orakelprisen mer enn trettedoblet seg i løpet av et 30-minutters vindu (CFTC). Eisenberg omtalte det selv offentlig som å ha vært «involvert med et team som drev en svært lønnsom handelsstrategi» (CoinDesk).

Det juridiske etterspillet er det virkelig interessante. Eisenberg ble dømt i april 2024, men en føderal dommer opphevet alle straffedommene i mai 2025, blant annet fordi en tillatelsesløs protokoll uten brukervilkår, uten regler mot manipulasjon og uten krav om tilbakebetaling ikke ga påtalemyndigheten noen klar «løgn» å peke på (TRM Labs). Påtalemyndigheten anket i desember 2025, og saken er fortsatt ikke endelig avgjort.

Konsekvensen for tesen er ubehagelig: hvis det å manipulere et orakel i et tynt marked ikke klart er en forbrytelse, når protokollen selv inviterer hvem som helst til å «låne» mot hvilken som helst pris, er avskrekkingen svak, og det økonomiske insentivet til å gjenta angrepet står igjen intakt. Dette skiller orakelmanipulasjon fra en klassisk rug pull, der det er teamet selv som tømmer kassa; her er det en utenforstående som utnytter et design alle kunne se. Allerede i 2020 advarte Chainlink-medgrunnlegger Sergey Nazarov om at «den eneste grunnen til at disse svært farlige mønstrene ikke diskuteres mer, er at tapene ennå ikke har vært på Mt. Gox-nivå» (The Defiant). Seks år senere er mønsteret det samme; bare tallene har vokst.

Norske brukere: Finanstilsynet, MiCA via EØS og Skatteetaten

Hva betyr alt dette for en norsk bruker? MiCA er innlemmet i EØS-avtalen og gjelder i Norge, og Finanstilsynet fører tilsyn med tilbydere av kryptoeiendelstjenester (CASP-er), altså børser og forvaringstjenester. Men MiCA og Finanstilsynet regulerer tilbyderne og utstederne, ikke de tillatelsesløse DeFi-protokollene selv. Setter du penger inn i en Tectonic eller en Moonwell, og den tappes av orakelmanipulasjon, finnes det ingen norsk CASP i bildet og ingen tilsynsmyndighet å rette et krav mot.

Den ubehagelige kontrasten er at Tectonic-brukerne fikk mye tilbake bare fordi Cronos-validatorene valgte å spole tilbake kjeden, en sentralisert nådehandling, ikke en juridisk rettighet. En mer desentralisert kjede kunne ikke ha gjort det. Beskyttelsen din var altså en håndfull validatorers skjønn. Og de rundt 6 millioner dollarene som rakk å forsvinne til Ethereum, følger den velkjente ruten videre gjennom broer og miksere; vi har tidligere sett hvor de stjålne kryptomilliardene faktisk tar veien.

På skattesiden er det heller ingen enkel trøst. Et tap etter et hack eller en exploit er ikke automatisk fradragsberettiget på samme måte som et realisert tap ved salg, og behandlingen avhenger av de konkrete omstendighetene. Den som rammes bør dokumentere alt og sjekke Skatteetatens veiledning om kryptovaluta før skattemeldingen, i stedet for å anta at tapet uten videre kan føres til fradrag.

Konklusjon: en feil vi velger å gjenta

Orakelmanipulasjon i 2026 er verken et kunnskapsproblem eller et verktøyproblem. bZx lærte oss leksa i 2020, OWASP katalogiserte den, og Chainlink, Pyth og Aave CAPO løste store deler av den. Tectonic og Moonwell falt likevel, og Moonwell falt for tredje gang på ett år. Feilen overlever fordi insentivene belønner å lansere raskt, liste illikvid sikkerhet og farme TVL, mens kostnaden ved et hack ofte sosialiseres gjennom en tilbakespoling, et løfte om kompensasjon eller en white-hat-retur, eller slipper unna helt.

Helt til det å herde et orakel belønnes like godt som å vokse TVL, vil det eldste angrepet i boka fortsette å funke. For brukeren er det praktiske forsvaret verken å stole på en tilsynsmyndighet eller på en tilbakespoling, men å lese orakeloppsettet før innskuddet, og å behandle enhver protokoll som priser illikvid sikkerhet fra ett enkelt marked for akkurat det den er: en bZx-reprise som venter på å skje.

Spørsmål og svar

Hva er orakelmanipulasjon i DeFi?

En utlånsprotokoll spør et prisorakel hva sikkerheten er verdt. Orakelmanipulasjon er når en angriper flytter prisen orakelet leser, ofte en tynt omsatt markedspris, slik at egen sikkerhet ser mer verdt ut enn den er, og låner ut ekte eiendeler mot den oppblåste verdien. Det er ofte ikke en kodefeil; koden gjør nøyaktig det den er bedt om.

Hva skjedde med Tectonic i august 2026?

Den 30. august 2026 pumpet en angriper Cronos-tokenen TONIC nesten hundre ganger med rundt 600 000 dollar, brukte de oppblåste tokenene som sikkerhet og lånte ut rundt 75 millioner dollar. Cronos-validatorene stanset kjeden og spolte tilbake over 10 000 blokker, slik at rundt 69 millioner dollar ble reversert, mens rundt 6 millioner rakk å forsvinne til Ethereum.

Er flash loans årsaken til orakelangrep?

Nei. Flash loans forsterker angrep ved å la en angriper låne store summer for én blokk uten risiko, men de er ikke grunnårsaken. Tectonic-angriperen brukte bare rundt 600 000 dollar i egen kapital. Grunnfeilen er at protokollen stoler på en pris som kan flyttes billig.

Hvordan sjekker jeg om en DeFi-protokoll kan prismanipuleres?

Se på hvilke tokens som godtas som sikkerhet, der egne, illikvide tokens er et rødt flagg, hvor prisen hentes fra, der én DEX-pool er farlig og Chainlink eller Pyth med median eller konfidens er tryggere, om det finnes borrow caps og supply caps, hvor dypt markedet for sikkerheten er, og om protokollen er blitt tappet før.

Har jeg rettigheter i Norge hvis en DeFi-protokoll tappes?

I praksis lite. MiCA gjelder i Norge via EØS-avtalen, og Finanstilsynet fører tilsyn med kryptotilbydere som børser og forvaring, men ikke med de desentraliserte protokollene selv. Blir en tillatelsesløs protokoll tappet, finnes det ingen norsk tilbyder å rette et krav mot. Tectonic-brukerne fikk mye tilbake bare fordi Cronos valgte å spole tilbake kjeden, ikke på grunn av en juridisk rettighet.

Av Anneke de Vries, senredaktør for sikkerhet og DeFi i HOGE Wire.