CertiK blir «tillitslag»: når revisjonen trekker seg tilbake

Da CertiK gikk på scenen under TOKEN2049 i Singapore 8. oktober 2026, var det ikke et nytt produkt selskapet kunngjorde. Det var et nytt navn på seg selv. Firmaet som i snart ti år har kalt seg kryptobransjens revisor, omdøpte seg til «tillitslaget for digitale verdier» (på engelsk «The Trust Layer for Digital Value»). Et navnebytte er i utgangspunktet markedsføring. Men akkurat dette navnebyttet leser mer som en innrømmelse: kartet over hvor kryptopengene forsvinner, følger ikke lenger kartet over hva en revisjon faktisk ser på.

Tallene gir navnebyttet tyngde. Etter ni måneder av 2026 har kryptosektoren tapt rundt 2,68 milliarder dollar (nær kr 26 milliarder) fordelt på 656 registrerte hendelser, ifølge CertiKs eget Skynet-datagrunnlag gjengitt av Atlas21. September ble årets verste måned med rundt 766 millioner dollar (kr 7,4 milliarder), ifølge The Crypto Times. Og en smartkontraktrevisjon, selve produktet CertiK ble bygget på, ville ha fanget nesten ingenting av det. Denne artikkelen ser på hva CertiK faktisk kunngjorde, hvorfor det skjer akkurat nå, og hva et «sikret av CertiK»-stempel er verdt i en bransje der tapene har flyttet seg bort fra koden.

Hva CertiK faktisk kunngjorde i Singapore

Kunngjøringen kom på den asiatiske utgaven av TOKEN2049, som gikk av stabelen på Marina Bay Sands 7. og 8. oktober. CertiK presenterte en ny posisjonering, «The Trust Layer for Digital Value» (tillitslaget for digitale verdier), og et nytt oppdrag: «Building the Trust Infrastructure for the Digital Economy» (å bygge tillitsinfrastrukturen for den digitale økonomien). Budskapet var at selskapet ikke lenger vil være en Web3-sikkerhetsspesialist alene, men en leverandør av sikkerhet, etterlevelse og risikooversikt til finansinstitusjoner, tilsynsmyndigheter og store virksomheter. Det er et betydelig steg bort fra bildet av et firma som leser smartkontrakter for DeFi-prosjekter.

Forretningsdirektør (Chief Business Officer) Jason Jiang formulerte skiftet slik, gjengitt av mpost.io og nyhetstråden til TradingView: «Digitale verdier endrer måten verdi flytter seg på. Institusjoner som tilbyr tjenester for digitale verdier, og tilsynsmyndighetene som fører tilsyn med dem, trenger at sikkerhet, etterlevelse og risikooversikt virker sammen. Merkevareløftet vårt gjenspeiler hvordan CertiK har utviklet seg for å møte de behovene, og ambisjonen vår om å være tillitslaget for digitale verdier.»

Bak den nye logoen ligger en tydeligere oppdeling av hva selskapet selger. Tilbudet er nå delt i produkter (programvare som kjører kontinuerlig, som overvåkingsmotoren Skynet og den KI-baserte AI Auditor) og tjenester (menneskedrevet arbeid på oppdrag). Tabellen under viser porteføljen slik den ble lagt fram i Singapore.

Hvem er CertiK?

CertiK ble grunnlagt i 2018 i New York av to akademikere: Ronghui Gu, førsteamanuensis i informatikk ved Columbia University, og Zhong Shao, professor og instituttleder i informatikk ved Yale. Opphavet er uvanlig for et kryptofirma. I 2016 bygde de to CertiKOS, den første fullstendig formelt verifiserte flerkjerne-operativsystemkjernen; navnet CertiK kommer fra «Certified Kernel». Tanken var å ta matematisk bevisførsel fra operativsystemverdenen og rette den mot smartkontrakter, der én enkelt feil kan tømme brukerne på sekunder. Det er dette som gjør formell verifikasjon til selskapets faglige ryggrad, et verktøy som ikke bare leter etter kjente feiltyper, men beviser at en kontrakt oppfører seg nøyaktig som spesifisert.

I dag er CertiK blant de største aktørene i bransjen. Ifølge selskapets egne tall ved merkevareløftet har det mer enn 5.500 kunder i over 150 land og regioner, har avdekket over 119.000 kodesårbarheter og har «sikret» digitale verdier for mer enn 600 milliarder dollar (over kr 5.700 milliarder). Ved siden av revisjoner driver selskapet Skynet, en overvåkingsmotor som følger prosjekter kontinuerlig og gir dem en løpende risikoscore. Firmaet har hentet inn kapital fra blant andre Binance, Coinbase og SoftBank, og ble i en finansieringsrunde i 2022 verdsatt til rundt 2 milliarder dollar (kr 19 milliarder), ifølge The Block. Det er dette apparatet som nå skifter etikett.

Veien fra 2018 til i dag forklarer mye av navnebyttet. CertiK startet som et rent revisjonshus, la så til Skynet for å overvåke prosjekter etter lansering, og bygde deretter ut etterlevelses- og tilsynsverktøy da institusjonene begynte å banke på. «Tillitslag» er navnet selskapet nå setter på hele den stabelen. Spørsmålet er om kundene opplever det som ett sammenhengende sikkerhetsnett, eller som en samling tjenester som selges hver for seg under en felles logo.

Hvorfor «tillitslag» og ikke «revisor»?

Forskjellen mellom de to ordene er ikke bare språklig. En revisor gjør en punktvis vurdering: koden gjennomgås én gang før lansering, får en godkjenning, og så går prosjektet videre. Problemet er at faren ikke forsvinner når lanseringen er over. Et prosjekt kan bestå en plettfri revisjon og likevel miste millioner måneder senere, fordi en nøkkel ble stjålet, en administratorrolle misbrukt eller et backend-system forfalsket. Revisjonen svarer på spørsmålet «er koden riktig skrevet?», men de dyreste tapene i 2026 svarer på et annet spørsmål: «hvem kontrollerer nøklene, serverne og rutinene etterpå?»

Et «tillitslag» lover noe annet enn en attest: kontinuerlig innsikt. Skynet-overvåking som følger prosjektet etter lansering, etterlevelsesverktøy som sjekker hvem som står bak pengene, og risikoscore som institusjoner kan lene seg på. Skiftet fra «revisor» til «tillitsinfrastruktur» er dermed et forsøk på å selge noe som løper hele tiden, i stedet for en engangsattest som fort blir utdatert. Det er en kommersielt fornuftig manøver, og den peker mot et reelt problem. Men den reiser samtidig et ubehagelig spørsmål: hvis revisjonen var nok, hvorfor trenger bransjen plutselig et helt lag med tillit oppå?

Revisjonsparadokset: kartet over tap følger ikke kartet over revisjoner

Kjernen i hele navnebyttet er det CertiKs egne tall har pekt mot i over et år: pengene forsvinner ikke lenger først og fremst gjennom feil i koden. De forsvinner gjennom nøkler, signeringsrutiner, administratorroller og tredjepartssystemer, altså i driften rundt koden. Medgrunnlegger og toppsjef Ronghui Gu sa det rett ut i en gjennomgang av halvårstallene, gjengitt av Forbes: «Angriperne får mer igjen for å gå etter nøkkelhåndtering, multisig-styring og operasjonell infrastruktur enn for å jakte på feil i kode.»

Forklaringen på skiftet er dels at kodegransking har modnet. Standardbiblioteker, bedre verktøy og et tiår med kjente feiltyper gjør at en kompetent revisjon i dag fanger det meste av den klassiske smartkontraktrisikoen. Dels har angriperne blitt mer profesjonelle og flyttet innsatsen dit pengene og de svakeste leddene er: menneskene, nøklene og driftssystemene. Når selve koden er blitt vanskeligere å knekke, går de rundt den.

Den samme rapporten viste hvordan tapene fordeler seg. I første halvår 2026 sto kompromitterte lommebøker for rundt 444 millioner dollar fordelt på bare 33 hendelser, den dyreste kategorien per angrep. Phishing tok rundt 366 millioner dollar over 63 hendelser. Rene kodesårbarheter sto for rundt 152 millioner dollar, men fordelt på 204 hendelser; det er den vanligste typen og samtidig den billigste per angrep. Med andre ord: det revisjoner er aller best til å fange, er det som koster minst. De store summene ligger andre steder.

September 2026 er den reneste illustrasjonen man kan tenke seg. Bryter man månedens tap ned på sårbarhetstype, havner reentrancy, selve skrekkeksempelet enhver smartkontraktrevisjon leter etter, helt nederst. Den klassiske kodefeilen er blitt en avrundingspost, mens tredjepartssystemer og signaturfeil dominerer. Dette er grunnen til at kartet over tap ikke lenger følger kartet over revisjoner.

Tapene flytter seg til og med helt ut av det digitale. CertiKs trusseletterretning har dokumentert en kraftig økning i fysiske angrep mot kryptoeiere, såkalte skiftenøkkelangrep, der ran, kidnapping og tvang brukes til å presse fram private nøkler. Vi har sett nærmere på det fenomenet i gjennomgangen vår av fysisk tvang mot kryptoeiere. Poenget er det samme: ingen smartkontraktrevisjon stopper en angriper som går etter mennesket i stedet for koden.

Hackene stopper ikke: 79thVault, Base Vault og Bitget

Samme uke som CertiK byttet navn, fortsatte hendelsene å rulle inn, og nesten ingen av dem handlet om feil i koden. 4. oktober ble en ikke navngitt DeFi-hvelvprotokoll på Base tappet for rundt 1.783 wstETH (omtrent 6 millioner dollar, kr 58 millioner). Angriperen fikk en ondsinnet kontrakt lagt inn på hvelvets hviteliste via en Safe-multisig, og løste så ut posisjonen gjennom Aave V3. Sikkerhetsfirmaet Blockaid oppdaget uttakene, og The Crypto Times beskriver dette som en svikt i multisig-styringen og tilgangskontrollen, ikke i selve kontraktkoden. Nettopp den typen angrep, der selve tillatelsen er målet, har vi gått grundig gjennom i analysen vår av multisig i 2026.

Tre dager senere, 7. oktober, mistet prosjektet 79thVault rundt 12,5 millioner dollar (kr 120 millioner) på BNB Chain. Her ble operatørens private nøkkel kompromittert; en OPERATOR_ROLE-funksjon flyttet 79AU-tokener ut av likviditetspoolen på PancakeSwap og solgte dem for BNB. CertiK flagget hendelsen som et mistenkt angrep, og teamet har foreslått en white-hat-avtale med angriperen, ifølge The Crypto Times. Igjen: en nøkkel, ikke en kodefeil.

Det største eksempelet er likevel fra september. 24. september ble børsen Bitget tappet for rundt 351,6 millioner dollar (kr 3,4 milliarder), årets største enkelttyveri fra en sentralisert børs. (CertiK fører hendelsen som 387,5 millioner dollar i sin egen kategoritelling, klassifisert som «tredjepartstjeneste»; vi oppgir det faktisk drenerte beløpet som hovedtall og CertiKs telling ved siden av.) Toppsjef Gracy Chen forklarte mekanismen til CoinDesk: «Angriperen kompromitterte et kritisk backend-system i lommebokinfrastrukturen vår, brukte det til å forfalske transaksjonsdata, og utløste vår egen godkjenningsprosess for å flytte midler ut. Kompromittering av private nøkler er utelukket.» Koden holdt; husets egen papirmølle ble vendt mot huset. CertiK reviderte ikke Bitget, men kommenterte saken som observatør. Esme Pau, leder for kapitalmarkeder og politikk i CertiK, kalte hendelsen «et av de mest omfattende angrepene mot en sentralisert børs i 2026» og «enda en vekker for digitale verdier-bransjen», ifølge Insurance Journal.

Liquid Network-saken er den lærerike motsatsen. Der var det faktisk en kodefeil, i valideringslogikken til Blockstreams sidekjede, som lot angriperen lage udekket L-BTC. Men fordi en white-hat grep inn, kom rundt 85 prosent av de nærmere 4.000 bitcoinene tilbake, ifølge Halborn. Kontrasten er talende: da koden knakk, kom pengene i stor grad tilbake; da driften sviktet hos Bitget, var de borte for godt. Det er dette mønsteret et «tillitslag» skal fange, og som en ren kodegjennomgang per definisjon ikke kan.

Å betjene både institusjoner og tilsynsmyndigheter

Den mest interessante setningen i Jiangs uttalelse er den om at institusjoner «og tilsynsmyndighetene som fører tilsyn med dem» trenger de samme verktøyene. CertiK posisjonerer seg altså for å selge til begge sider av bordet samtidig: til bankene og børsene som vil inn i digitale verdier, og til myndighetene som skal passe på dem. Det er ikke en teoretisk ambisjon. I september signerte selskapet en langsiktig avtale med sentralbanken i Kirgisistan om å sikre landets planlagte digitale sentralbankvaluta, ifølge en pressemelding via GlobeNewswire. Oppdraget plasserer CertiK midt i selve pengeinfrastrukturen til en stat, ikke i utkanten av et DeFi-eksperiment.

For en bransje som vokser inn i institusjonell kapital, er dette logisk. Store forvaltere, banker og børser trenger noen som kan dokumentere at systemene deres tåler et tilsyn, og myndigheter trenger teknisk kompetanse de ofte ikke har internt. Men det dobbelte kundeforholdet har en innebygd spenning. Når den samme leverandøren både skal hjelpe en aktør å bestå og gi myndigheten verktøyene til å vurdere den aktøren, blir uavhengigheten satt under press. Til sammenligning er Norges Bank forsiktig: banken konkluderte i desember 2025 med at en digital krone ikke er nødvendig nå, men at den holder seg forberedt, ifølge Norges Bank. Der en stat som Kirgisistan skynder seg og hyrer inn en kryptonær leverandør, holder norske myndigheter en armlengdes avstand.

Timingen er ingen tilfeldighet. 2026 er året da institusjonell kapital for alvor har beveget seg inn i digitale verdier, gjennom børshandlede fond, regulerte stablecoins og banker som bygger forvaringstjenester. Disse aktørene kjøper ikke et PDF-stempel; de kjøper kontinuerlig risikostyring, etterlevelsesdokumentasjon og noen å holde ansvarlig når noe går galt. Det er dette markedet CertiK sikter mot med «tillitslag», og det er et langt større marked enn revisjon av DeFi-kontrakter alene.

Proof of Reserves og validatortjenester: når revisoren blir operatør

To punkter i den nye tjenestelisten fortjener ekstra oppmerksomhet, fordi de flytter CertiK fra å vurdere andres systemer til å drive dem. «Proof of Reserves» (reservebevis) er en attest på at en børs faktisk har de midlene den sier den har. «Validator Services» (validatordrift) betyr at CertiK kan kjøre noder som er med på å bekrefte transaksjoner på en blokkjede. Begge deler er nyttige i seg selv, og begge svarer på reelle behov etter kollapser som FTX. Men begge deler gjør også at den som skal granske, selv blir en aktør i systemet den gransker.

Det er den samme typen interessekonflikt som finansbransjen kjenner fra før: en revisor som også selger lukrative konsulenttjenester til klienten, mister noe av sin uavhengighet. Når tillitslaget både utsteder attester, driver validatorer og selger overvåking til de samme kundene, blir det vanskeligere å vite hvem som vokter hvem. Det er ikke et argument mot tjenestene i seg selv; markedet trenger dem. Men det er en god grunn til å lese et «sikret av CertiK»-merke som en begynnelse på en vurdering, ikke som en konklusjon.

Reservebevis illustrerer poenget godt. En vanlig Merkle-tre-basert attest viser at en børs kontrollerer visse eiendeler på et gitt tidspunkt, men sier lite om gjelden på den andre siden av balansen, om eiendelene er lånt inn for anledningen, eller om de fortsatt er der dagen etter. Et øyeblikksbilde av reservene er bedre enn ingenting, men det er ikke det samme som en løpende, revisorbekreftet soliditet. Også her er attesten en begynnelse, ikke en garanti.

«Utsteder betaler»: konflikten som overlever navnebyttet

Under alt dette ligger en konflikt som ingen merkevareøvelse fjerner: det er kunden som velger og betaler revisoren. En smartkontraktrevisjon bestilles og betales av prosjektet som skal revideres, akkurat som kredittvurderingsbyråene (Moody’s, S&P, Fitch) i sin tid ble betalt av dem som utstedte gjelden de skulle vurdere. Det var denne «utsteder betaler»-modellen som ga AAA-stempler på subprime-lån før finanskrisen i 2008. Forskjellen er at kredittbyråene er registrert og under tilsyn av myndigheter som SEC og ESMA; for smartkontraktrevisorer finnes det ingen slik myndighet, verken i USA eller i Norge.

CertiK har samtidig uttalt ambisjon om å bli det første børsnoterte Web3-sikkerhetsselskapet. Toppsjef Gu sa til The Block: «Vi har fortsatt ingen veldig konkret børsplan. Men dette er definitivt målet vi forfølger.» Selskapet har knyttet merkevareløftet til nettopp den børsreisen, og CoinDesk har beskrevet hvordan firmaet har forsøkt å gjenoppbygge tillit før en notering. En børsnotering kan skjerpe disiplinen gjennom åpenhet, revisjonsplikt og juridisk ansvar. Men den legger også press på vekst og aksjekurs oppå en modell der den reviderte kunden betaler, og det presset trekker mot volum, ikke nødvendigvis mot strenghet. Navnebyttet til «tillitslag» løser ikke dette; det utvider snarere kundelisten konflikten gjelder for.

Nord-Korea og statsaktørene

En viktig grunn til at tapene har flyttet seg bort fra koden, er hvem som nå står bak de største angrepene. Dette er ikke lenger bare opportunistiske utviklere som utnytter en glipp i en kontrakt. Det er organiserte, til dels statsstøttede grupper som går etter nøkler, ansatte og driftssystemer. Analysefirmaet Elliptic anslår at nordkoreanskknyttede aktører har stjålet over 1 milliard dollar (kr 9,6 milliarder) på tvers av mer enn 50 hendelser i 2026, gjengitt av Atlas21. Bitget-tyveriet knyttes «høyst sannsynlig» til Nord-Korea, og rundt 286 millioner dollar av Drift-angrepet tidligere i år skal være koblet til samme miljø.

Mønsteret er ikke nytt. Det største kryptotyveriet noensinne, Bybit-hacket i februar 2025 på rundt 1,46 milliarder dollar (kr 14 milliarder), ble utført av Lazarus-gruppen ved at en utviklermaskin knyttet til Safe{Wallet} ble kompromittert, slik at signererne godkjente en ondsinnet transaksjon i god tro, ifølge BleepingComputer. Smartkontrakten var revidert og korrekt; angrepet traff signeringsflyten, akkurat som hos Bitget sju måneder senere. Mot en slik motstander er en engangsrevisjon av koden omtrent like relevant som en brannattest er mot innbrudd. Det er dette terrenget CertiK forsøker å dekke når det kaller seg et tillitslag i stedet for en revisor.

Statsaktørene nøyer seg heller ikke med å angripe utenfra. Gjennom 2026 har etterforskere dokumentert hvordan nordkoreanske IT-arbeidere har sluset seg inn i kryptoselskaper med falske identiteter, for så å stjele midler eller plante bakdører innenfra. Det er en trusseltype ingen kodegjennomgang fanger, fordi angriperen sitter på innsiden av organisasjonen med legitime tilganger. Nettopp derfor legger CertiK vekt på etterlevelse, bakgrunnssjekk og kontinuerlig overvåking i den nye profilen.

Kraken og Huione: arrene CertiK bærer med seg

Et firma som vil selge tillit, må tåle at dets egen historie blir gransket. CertiK har to saker som gjentatt dukker opp. Den første er Kraken-saken fra 2024, der CertiK-forskere utnyttet en feil i børsens innskuddssystem og tok ut rundt 3 millioner dollar i reelle midler, for så, ifølge Kraken, å nøle med å levere dem tilbake uten å forhandle om en belønning. Krakens sikkerhetssjef Nick Percoco var krass overfor CoinDesk: «Dette er ikke white-hat-hacking, det er pengeutpressing.» CertiK avviste beskrivelsen og hevdet på sin side at det var legitim forskning, og at Kraken hadde opptrådt truende.

Den andre er Huione-saken. CertiK hadde revidert smartkontrakten til stablecoinen USDH, som var knyttet til Huione Guarantee, et kambodsjansk nettmarked som senere ble omtalt som det største ulovlige nettmarkedet noensinne. Da koblingen ble kjent, beklaget selskapet til DL News: «Vi beklager oppriktig overfor fellesskapet. Vi erkjenner at det å jobbe med høyrisikoprosjekter kan føre til etiske bekymringer og videre konsekvenser. CertiK støtter ikke og aksepterer ikke noen av aktivitetene Huione har bedrevet.» Selskapet viste samtidig til at det hadde gitt prosjektet lavest mulig Skynet-score og en advarsel. Begge sakene minner om det samme: et stempel fra et sikkerhetsfirma er ikke en garanti, og et tillitslag som vil selge til banker og stater, får mindre rom for den typen episoder, ikke mer.

Hva en revisjon kan og ikke kan love

Det er lett å lese kritikken over som at revisjoner er verdiløse. Det er feil. En god kodegjennomgang fanger reentrancy, feil i tilgangslogikk, heltallsoverflyt og en lang rekke feil som ellers ville blitt stående. Formell verifikasjon, CertiKs faglige ryggrad, kan matematisk bevise at en kontrakt oppfører seg som spesifisert. Et prosjekt uten revisjon er målbart farligere enn et med. Problemet er ikke at revisjonen ikke virker, men at den bare dekker ett lag av en stabel som er blitt mye høyere enn den var for noen år siden.

En revisjon kan si at koden gjør det den skal på det tidspunktet den ble lest. Den kan ikke love at nøklene er trygge, at backend-systemene ikke kan forfalskes, at en ansatt ikke blir lurt, eller at en administratorrolle ikke misbrukes et halvt år senere. CertiK er ikke alene om å prøve å tette det gapet; konkurrenter som Trail of Bits skyver sikkerheten ut mot enheter og mennesker, noe vi har sett på i gjennomgangen av mobiltrusselen. «Tillitslag» er navnet på forsøket på å dekke hele stabelen, fra kode til nøkler til etterlevelse. Om navnet holder, avgjøres av om den kontinuerlige overvåkingen faktisk stopper tap, ikke bare teller dem opp etterpå.

Det er også verdt å være edruelig om KI-verktøyene. CertiKs AI Auditor kan lese mer kode raskere og billigere enn et menneske, og den er nyttig til å luke ut kjente feil tidlig. Men et verktøy som foreslår rettinger, erstatter ikke vurderingen av om rettingene gir mening, og det stopper ikke en angriper som forfalsker et backend-system eller lurer en ansatt. KI gjør gjennomlesningen raskere; den gjør ikke skjønnet overflødig.

Finanstilsynet, MiCA og DORA: å betjene tilsynet uten å være under tilsyn

For norske lesere er det verdt å være presis på hva reguleringen faktisk dekker. MiCA-regelverket er innlemmet i EØS-avtalen og gjennomført i norsk rett gjennom kryptoeiendelsloven. Finanstilsynet gir tillatelse til og fører tilsyn med tilbydere av kryptoeiendelstjenester (CASP-er), som børser og forvaringsforetak; overgangsperioden for eksisterende aktører løp ut 1. juli 2026, og en tjenesteyter må ha fysisk tilstedeværelse i EØS. Men verken MiCA eller noen norsk lov pålegger et kryptoprosjekt å få koden revidert, og ingen myndighet akkrediterer smartkontraktrevisorer. Et «CertiK-revidert»-merke er med andre ord et privat kvalitetsstempel, ikke en offentlig godkjenning. (Hvor MiCA-grensen går mellom selvforvaring og tjeneste, har vi sett nærmere på i gjennomgangen av smartkontoens juss.)

Det regelverket som faktisk treffer hendelser av Bitget-typen, er DORA (Digital Operational Resilience Act), som har gjeldt for MiCA-regulerte aktører siden januar 2025 og stiller krav til IKT-sikkerhet, tredjepartsrisiko og hendelsesrapportering. Som OpenZeppelin oppsummerer det: er du regulert under MiCA, er du også regulert under DORA. Her ligger CertiKs dobbeltrolle tydelig: selskapet vil selge verktøyene som hjelper institusjoner å etterleve slike krav, og samtidig verktøyene tilsynsmyndighetene bruker, uten selv å være under finanstilsyn. En som vil være tillitslaget for hele systemet, står altså utenfor det systemet som regulerer systemet. For øvrig avgjør Skatteetaten om et krypototyveri kan føres som fradragsberettiget tap; et sikkerhetsstempel endrer ikke den vurderingen for den enkelte.

Slik leser du et «CertiK-stempel» i 2026

Et navnebytte endrer ikke hvordan du bør vurdere et sikkerhetsstempel i praksis. Noen huskeregler før du stoler på en logo:

• Sjekk hva som faktisk ble revidert. En revisjon dekker som regel bestemte smartkontrakter på et bestemt tidspunkt, ikke børsen, nøkkelhåndteringen eller backend-systemene rundt.
• Se etter dato og versjon. Kode som endres etter revisjonen, er ikke lenger dekket av den. «Revidert» uten dato sier lite.
• Les Skynet-scoren, ikke bare logoen. CertiK selv ga Huione-prosjektet lavest score og en advarsel; stempelet var der, nyansen også.
• Husk hvem som betalte. Revisjonen er bestilt av prosjektet selv. Det gjør den ikke verdiløs, men den er ikke en uavhengig offentlig godkjenning.
• Spør etter kontinuerlig overvåking. Et engangsstempel sier ingenting om hva som skjer måneden etter lansering, som er når de fleste store tapene i 2026 faktisk inntraff.

Bunnlinjen er at navnebyttet beskriver en reell endring, ikke bare en markedsføringsidé. Tapene har flyttet seg fra koden til alt rundt den, og et firma som bare tilbød engangsrevisjoner, ville solgt et stadig mindre relevant produkt. Om «tillitslaget for digitale verdier» blir noe mer enn en etikett, avhenger av to ting: om den kontinuerlige overvåkingen faktisk stopper tap før de skjer, og om et selskap som selger tillit til både de regulerte og dem som regulerer, klarer å bevare sin egen uavhengighet. Foreløpig er stempelet en begynnelse på en vurdering, ikke slutten på den.

Ofte stilte spørsmål

Hva betyr CertiKs «Trust Layer for Digital Value»?

Det er CertiKs nye merkevareposisjonering, lansert på TOKEN2049 i Singapore 8. oktober 2026. I stedet for å kalle seg en ren kryptorevisor, kaller selskapet seg nå «tillitslaget for digitale verdier» og tilbyr sikkerhet, etterlevelse og risikooversikt til institusjoner, tilsynsmyndigheter og virksomheter. Skiftet gjenspeiler at de fleste kryptotapene i 2026 skjer utenfor koden, der en tradisjonell revisjon ikke ser.

Reviderte CertiK Bitget før hacket i september 2026?

Nei. CertiK var ikke revisor for Bitget. Selskapet kommenterte hendelsen som observatør gjennom Skynet-overvåkingen sin, der Esme Pau kalte angrepet et av de mest omfattende mot en sentralisert børs i 2026. Selve tyveriet på rundt 351,6 millioner dollar skjedde ved at et backend-system ble forfalsket, ikke ved en feil i en revidert smartkontrakt.

Betyr «CertiK-revidert» at et kryptoprosjekt er trygt?

Nei. En revisjon vurderer bestemt kode på et bestemt tidspunkt og fanger kodefeil, men den dekker ikke nøkkelhåndtering, backend-systemer, administratorroller eller menneskelige feil, som sto bak de fleste store tapene i 2026. Et stempel er en begynnelse på vurderingen, ikke en garanti. Sjekk alltid hva som ble revidert, når, og hvem som betalte.

Hvor mye tapte kryptosektoren i 2026?

Etter ni måneder av 2026 var tapene på rundt 2,68 milliarder dollar (nær kr 26 milliarder) fordelt på 656 hendelser, ifølge CertiKs tall. September var årets verste måned med rundt 766 millioner dollar (kr 7,4 milliarder), drevet av Bitget- og Liquid Network-hendelsene, som alene sto for over 92 prosent av månedens bekreftede tap.

Regulerer Finanstilsynet kryptorevisorer som CertiK?

Nei. Finanstilsynet gir tillatelse til og fører tilsyn med tilbydere av kryptoeiendelstjenester (CASP-er) under MiCA, som er innlemmet i EØS-avtalen, men ingen norsk myndighet akkrediterer eller fører tilsyn med smartkontraktrevisorer. Verken MiCA eller DORA pålegger et prosjekt å få koden revidert. Et revisjonsstempel er dermed et privat kvalitetsstempel, ikke en offentlig godkjenning.

Av Anneke de Vries, sikkerhetsredaktør i HOGE Wire. Tap- og kurstall er omregnet til norske kroner med en dollarkurs på rundt 9,6 og var korrekte da artikkelen ble skrevet 9. oktober 2026.