Verken kode eller nøkkel: Halborn og Bitget-hacket i 2026

September 2026 ble den dyreste måneden i kryptoens korte historie, av alle de gale grunnene. Mens prisene holdt seg rolige, med Bitcoin rundt 83.400 dollar (i underkant av 790.000 kroner), forsvant det mer verdier til hackere på fire uker enn i noen annen måned i 2026. To angrep sto for brorparten, og det største av dem rammet en av verdens travleste kryptobørser: Bitget.

Det bemerkelsesverdige er ikke bare beløpet, rundt 387,5 millioner dollar eller cirka 3,7 milliarder kroner, men måten pengene forsvant på. Ingen privatnøkkel ble stjålet. Ingen smartkontrakt hadde en feil. Angriperne brøt seg ikke gjennom kryptografien som beskytter en blokkjede. De fikk børsens egne systemer til å godkjenne utbetalinger som så helt rutinemessige ut.

Sikkerhetsfirmaet Halborn, som de siste årene har gjort seg til kryptoens fremste likskuer, publiserte kort tid etter en detaljert obduksjon av hendelsen. Konklusjonen er ubehagelig for en bransje som har brukt år på å overbevise seg selv om at en grundig koderevisjon er veien til trygghet: angrepet traff verken koden eller nøklene. Det traff infrastrukturen rundt dem. Denne artikkelen tar for seg hva som faktisk skjedde, hvorfor en revisjon aldri ville fanget det, og hva det betyr for nordmenn som lar en børs holde myntene sine.

Måneden krypto helst vil glemme

Tallene for september 2026 er dystre nesten uansett hvem som teller. Analyseselskapet PeckShield registrerte rundt 766,5 millioner dollar tapt i 55 større hendelser, mens CertiK kom til 768,4 millioner dollar fordelt på 97 hendelser. Begge er enige om at det var den verste måneden i hele 2026, en økning på rundt 3,5 ganger fra august, da tapene lå på cirka 215 millioner dollar.

To hendelser står for omtrent 92 prosent av september-regnskapet. Bitget mistet rundt 387,5 millioner dollar, og Liquid Network, en Bitcoin-sidekjede som brukes av flere børser, mistet rundt 320 millioner dollar i et separat angrep tidlig i måneden (her ble riktignok rundt 285 millioner dollar senere tilbakeført, en sjeldenhet). Legger man september oppå resten av året, hadde CertiK talt 656 hendelser og rundt 2,68 milliarder dollar (cirka 25 milliarder kroner) i samlede tap så langt i 2026. Til sammenligning gjør den enkelthendelsen hos Bitget den til årets største tyveri og blant de ti største noensinne.

Mønsteret i tabellen er verdt å merke seg. Fire av de største tyveriene i 2026 rammet helt ulike deler av kryptostabelen: en sentralisert børs, en Bitcoin-sidekjede, en tverrkjede-bro og en desentralisert derivatbørs. Tre av fire peker mot den samme gruppen. Og i de fleste tilfellene var ikke selve den reviderte koden problemet.

Hvem er Halborn, og hvorfor obduserer de hacket?

Halborn er et blokkjede-sikkerhetsselskap grunnlagt i 2019 av Steven Walbroehl og Rob Behnke, opprinnelig i Miami, nå med en fjernarbeidende stab. Firmaet startet med å drive offensiv sikkerhet, altså å bryte seg inn i kundenes systemer før kriminelle rekker det, og bygget seg opp uten ekstern kapital i omtrent tre år før en runde på 90 millioner dollar ledet av Summit Partners i juli 2022. I dag ledes det av Jacques Boschung som konsernsjef, med Behnke som styreleder og president og Walbroehl som teknologidirektør. Tjenestene spenner fra revisjon av smartkontrakter og penetrasjonstesting til red teaming og rådgivning for banker og tokeniserte verdier, og kundelisten omfatter navn som Coinbase, Polygon og Solana.

Det Halborn er mest kjent for i offentligheten, er likevel noe annet: obduksjonene. Når et stort angrep inntreffer, skriver firmaet ofte en grundig forklaring i serien sin kalt «Explained», uavhengig av om de reviderte prosjektet eller ikke. Dette er delvis kunnskapsdeling og delvis omdømmebygging i en bransje uten offentlig tilsyn med kodekvalitet. Katalogen deres for 2026 leser som en kriminalkrønike: Drift, KelpDAO, Humanity Protocol, Syscoin, og nå Bitget. Poenget med å lese disse obduksjonene er ikke å henge ut ett offer, men å se mønsteret som går igjen fra sak til sak.

Anatomien: da systemet signerte sitt eget ran

For å forstå hvor uvanlig Bitget-hacket er, må man vite hvordan en børs flytter penger. Når en kunde tar ut krypto, lager børsens systemer en usignert transaksjon, altså et utkast som sier «send så mye av denne mynten til denne adressen». Deretter går utkastet gjennom en godkjenningskjede: automatiske kontroller, risikoregler og til slutt en signering med de private nøklene som faktisk autoriserer flyttingen på blokkjeden. Det er signaturen, ikke utkastet, som har verdi. Alt sikkerhetsarbeid i bransjen har tradisjonelt handlet om å beskytte de nøklene.

Lazarus-gruppen gikk ikke etter nøklene. Ifølge Halborns gjennomgang utnyttet de i stedet en sårbarhet i et tredjeparts sikkerhetsprodukt som Bitget brukte, og skaffet seg høynivå tilgang til det interne nettverket. Med den tilgangen kunne de forfalske selve transaksjonsdataene før signering, slik at falske utkast ble ført inn i den normale godkjenningskjeden. Systemet behandlet dem som rutine og godkjente dem automatisk, uten å slå alarm. Halborn formulerer det slik at angriperne, i stedet for å forsøke å stjele de private nøklene som brukes til å signere transaksjoner, utnyttet selve lommebok-infrastrukturen som håndterte de usignerte transaksjonene.

Bitgets konsernsjef Gracy Chen beskrev angrepet i nøkterne ordelag: «Angriperen kompromitterte et kritisk backend-system i lommebok-infrastrukturen vår, brukte det til å forfalske transaksjonsdata og utløste godkjenningsprosessen vår for å flytte midler ut», skrev hun ifølge The Hacker News. Med andre ord: børsen betalte ut pengene selv, i den tro at den fulgte sine egne regler. De varme og halvvarme lommebøkene ble tømt, mens de kalde lommebøkene og det store flertallet av kundemidlene ifølge Bitget forble urørt.

Her ligger kjernen i hele saken. Det var ingen smartkontrakt involvert som en revisor kunne lese linje for linje. Det var ingen stjålet privatnøkkel som en maskinvarelommebok kunne beskyttet. Det var ingen phishing-lenke en ansatt klikket på. Det var et stykke betrodd programvare dypt inne i børsens egen rørlegging som ble vridd til å lyve for alt rundt seg.

Forsyningskjedeangrep, forklart

Det Bitget ble utsatt for, kalles et forsyningskjedeangrep. I stedet for å angripe målet direkte, kompromitterer angriperen noe målet stoler på og slipper inn: en leverandør, en programvarekomponent, en oppdatering, et verktøy. Logikken er brutalt effektiv. En moderne kryptobørs kjører dusinvis av tredjepartssystemer for overvåking, risikostyring og signering, og hvert av dem har privilegert tilgang. Klarer du å forgifte ett av dem, arver du den tilliten uten å måtte knekke noe som helst hos selve målet.

Ironien er at verktøyet i Bitgets tilfelle etter alt å dømme var et sikkerhetsprodukt. Nettopp programvaren som skulle redusere risiko, ble inngangen. Det er ikke første gang. Da Bybit mistet rundt 1,5 milliarder dollar i februar 2025, i det som fortsatt er tidenes største kryptotyveri, skjedde det heller ikke ved at nøkler ble stjålet. Angriperne kompromitterte utviklingsmiljøet til signeringsgrensesnittet Safe, slik at operatørene så en ufarlig transaksjon på skjermen mens de i virkeligheten signerte noe helt annet. FBI tilskrev det angrepet til den nordkoreanske TraderTraitor-gruppen, en undergruppe av Lazarus, den samme signaturen etterforskerne nå ser hos Bitget.

Lærdommen er at angrepsflaten til en børs er mye større enn koden den publiserer på kjeden. Den omfatter hver eneste leverandør, hvert bibliotek, hver maskin og hvert menneske med tilgang til produksjonsmiljøet. En revisjon av smartkontrakter ser ingenting av dette, rett og slett fordi det ligger utenfor det en revisjon er laget for å undersøke.

Tidslinjen for 24. september

Angrepet ble oppdaget 24. september 2026, med de siste uautoriserte uttakene registrert rundt klokken 18:31 UTC. Det som fulgte, er en ganske standard kriseøvelse for en stor børs: stans uttakene, hent inn ekstern etterforskning og forsøk å begrense skaden mens tyvene allerede er i gang med å flytte byttet. Bitget hentet inn de forensiske miljøene Mandiant og SlowMist, og tallet ble oppjustert underveis fra de første bekreftede 351,6 millioner dollar til et forensisk estimat på rundt 387,5 millioner dollar som nådde angriperens adresser.

Responsen var rask, men det spiller mindre rolle enn man skulle tro. Som vi kommer tilbake til, er det gullvinduet for å stanse tyvegods målt i minutter, ikke timer, og en gruppe som Lazarus planlegger utgangen like nøye som inngangen. Innen Bitget hadde stengt kranene, var en betydelig del av verdiene allerede på vei gjennom et hvitvaskingsapparat bygget nettopp for å gjøre frysing umulig.

Hot, warm og cold: derfor ble bare noen lommebøker tømt

En av de viktigste detaljene i Bitget-saken er at de kalde lommebøkene overlevde. For å skjønne hvorfor, må man forstå hvordan en børs fordeler kundenes krypto. Midlene ligger ikke i én bøtte, men i flere lag etter hvor raskt de må være tilgjengelige.

• Hot wallets er koblet til nettet og brukes til å betjene løpende uttak øyeblikkelig. De holder en liten andel av totalen, men er alltid innen rekkevidde for børsens systemer, og dermed også for alt som kompromitterer de systemene.
• Warm wallets ligger et sted imellom, delvis tilkoblet og brukt til å etterfylle de varme lommebøkene etter hvert som de tømmes.
• Cold wallets er holdt offline, ofte fysisk adskilt (air-gapped) og med signering som krever flere mennesker og manuelle steg. Her ligger brorparten av verdiene, utilgjengelig for et automatisert angrep mot produksjonsmiljøet.

Fordi Lazarus kompromitterte signeringskjeden i det tilkoblede miljøet, kunne de bare nå det det miljøet kunne nå: de varme og halvvarme lommebøkene. De kalde midlene lå utenfor rekkevidde. Det er ikke flaks, men design, og det er grunnen til at en seriøs børs holder minst mulig på nett. Avveiningen er evig: jo mer du legger kaldt, desto tryggere er det, men desto tregere blir uttakene når kundene vil ha pengene sine nå. Spørsmålet om hvem som egentlig holder nøklene, og hvor konsentrert den forvaringen er blitt, er like gammelt som kryptobørsene selv, og noe vi har gått grundig gjennom tidligere.

Hvorfor en revisjon aldri ville fanget Bitget

Kryptobransjen har brukt enorme summer på revisjon av smartkontrakter, og med god grunn: en enkelt feil i noen få linjer Solidity kan koste hundrevis av millioner. Men en revisjon er per definisjon en gjennomgang av kode. I Bitget-saken fantes det ingen relevant kontraktskode å gå gjennom. Transaksjonene som tømte lommebøkene var gyldige på blokkjeden; de var bare aldri ment å skje. Ingen revisor i verden ville oppdaget det, fordi svikten lå i driftsmiljøet, ikke i en kontrakt.

Ronghui Gu, medgrunnlegger av revisjonsselskapet CertiK, oppsummerte problemet godt i et intervju med Forbes: «En protokoll kan bestå en feilfri koderevisjon og likevel tape millioner på grunn av en kompromittert administratornøkkel.» Bitget tar poenget et skritt videre: her var det verken koden eller en nøkkel, men systemet som matet signeringen, som ble vridd. Ser man Halborns saksmappe for 2026 under ett, blir mønsteret tydelig.

Tallene fra forensiske miljøer bekrefter mønsteret. TRM Labs fant at smartkontrakt-utnyttelser utgjorde flertallet av antallet hendelser i første halvår 2026, men at infrastruktur- og driftskompromisser, altså nøkler, backend og mennesker, sto for rundt 76 prosent av verdien som forsvant, til tross for at de bare utgjorde omtrent 15 prosent av hendelsene. CertiK og flere peker på det samme: i 2026 ble stjålne nøkler og kompromittert kontroll for første gang en større tapskilde enn feil i selve kontraktene. Revisjonen dekker den vanligste angrepsvektoren, ikke den dyreste.

Børs mot DeFi: to helt ulike angrepsflater

En viktig grunn til at Bitget-hacket føles annerledes enn mange av fjorårets DeFi-katastrofer, er at en sentralisert børs og en desentralisert protokoll har helt forskjellige svake punkter. I DeFi ligger logikken åpent på kjeden. Angrepsflaten er kontrakten selv, pluss det den er avhengig av: prisorakler, broer, styringsmekanismer. Du stoler i siste instans på kode og konfigurasjon, og alle kan lese den.

På en børs som Bitget stoler du på et selskap. Selskapet holder nøklene dine, kjører de interne systemene og bestemmer hvordan en utbetaling blir godkjent. Angrepsflaten er ikke en offentlig kontrakt, men bedriftens egen infrastruktur: servere, leverandører, ansatte og rutiner som ingen utenforstående kan granske. Når den infrastrukturen svikter, er det kundenes penger som forsvinner, uten at kunden hadde noen mulighet til å se faren komme. Dette er det harde innholdet i det gamle slagordet om at det ikke er dine mynter hvis det ikke er dine nøkler.

Mange børser har forsøkt å herde nettopp denne flaten med såkalt MPC, der signeringsmyndigheten deles opp kryptografisk mellom flere parter slik at ingen enkelt maskin kan autorisere en flytting alene. Det er en reell forbedring, og vi har sett nærmere på matematikken bak den slags nøkkelhåndtering. Men Bitget viser grensen: selv perfekt nøkkeldeling hjelper lite hvis systemet som bestemmer hva som skal signeres, er blitt forgiftet. Da signerer de ærlige partene lydig en ordre som aldri burde eksistert.

Nord-Korea passerer én milliard dollar

Ingen enkeltstående bevisbit peker på Nord-Korea, men summen gjør det. Etterforskere hos Elliptic, TRM Labs og Chainalysis tilskrev raskt angrepet Lazarus-gruppen, nærmere bestemt undergruppen TraderTraitor, basert på IP-mønstre, måten verdiene ble flyttet og vasket på, og at byttet havnet i lommebøker knyttet til tidligere nordkoreanske operasjoner, blant annet Bybit-tyveriet i 2025 og AFX-broen. Dette er samme fingeravtrykk som i flere av årets andre store saker.

Konsekvensen var en dyster milepæl. Med Bitget passerte Nord-Koreas samlede kryptotyveri i 2026 én milliard dollar (rundt 9,5 milliarder kroner), ifølge analysebyråene som følger pengestrømmene. Dette er ikke en hobbyhacker på et gutterom, men en statlig finansieringsoperasjon. Chainalysis har tidligere anslått at nordkoreanske aktører sto bak rundt 2,02 milliarder dollar av alt som ble stjålet i 2025, og at andelen har klatret jevnt år for år. Krypto er blitt en inntektskilde for et sanksjonert regime, og børsene er der pengene ligger samlet.

Ari Redbord, policysjef i TRM Labs, har beskrevet hvordan de nordkoreanske operasjonene er blitt raskere og mer forseggjorte, og at det ikke lenger bare handler om tastatur og fjernangrep, men om langsiktig planlegging, infiltrasjon og utnyttelse av tilliten i hele økosystemet. Bitget er en lærebok i det: angrepet krevde tålmodighet, kjennskap til en spesifikk leverandør og evnen til å bevege seg stille i et produksjonsmiljø helt til øyeblikket var inne.

Jakten på pengene: hvitvasking og frysing

Det som skjedde i timene etter tyveriet, forklarer hvorfor så lite av byttet noensinne kommer tilbake. Lazarus vet at stablecoins som USDT og USDC kan fryses. Utstederne Tether og Circle har en innebygd funksjon i tokenene sine som lar dem svarteliste en adresse, slik at verdiene på den blir verdiløse. Derfor var det første grepet til angriperne å komme seg ut av stablecoins: rundt 100 millioner dollar ble raskt vekslet til ETH, omtrent 85 millioner dollar lå allerede i ETH, mens cirka 157,5 millioner dollar i XRP og 7 millioner dollar i TRX ble liggende. Resultatet taler for seg: av hele byttet klarte Circle og Tether til sammen bare å fryse rundt 339.000 dollar (om lag 3,2 millioner kroner), en forsvinnende liten brøkdel.

Svartelisting er likevel den mest effektive nødbremsen kryptoøkonomien har, så lenge byttet fortsatt ligger i en stablecoin. Tether har frosset milliarder i samarbeid med amerikansk politi og OFAC, og konsernsjef Paolo Ardoino har vært tydelig på linjen: «USDT er ikke et fristed for ulovlig aktivitet. Når vi finner troverdige koblinger til sanksjonerte enheter eller kriminelle nettverk, handler vi umiddelbart og bestemt», uttalte han i forbindelse med en stor frysing tidligere i 2026. Problemet er at nødbremsen bare virker i det smale vinduet før tyven bytter til en mynt ingen privat utsteder kan røre, som ETH, XRP eller Bitcoin. Lazarus bruker nettopp de minuttene til å flykte fra stablecoins.

Bitget svarte med et dusørprogram som tilbyr 5 prosent for å fryse angriperens midler og 5 prosent for gjenvinning, i tillegg til den vanlige etterforskningen. Historisk gir slike jakter sjelden mye tilbake når motparten er en statlig gruppe som ikke kan forhandle og ikke bryr seg om et hvithatt-tilbud. Pengene er som regel på vei gjennom miksere og mellomledd lenge før noen rekker å stramme nettet.

Da forsikringsfondet ble redningen

For kundene hos Bitget endte historien bedre enn tallet skulle tilsi. Børsen erklærte at tapet var dekket av dens eget brukerbeskyttelsesfond på rundt 464 millioner dollar (cirka 4,4 milliarder kroner), et oppspart reservelager ment nettopp for slike kriser. Ingen vanlig bruker skulle miste innskuddet sitt. Det er en vesentlig forskjell fra mange DeFi-katastrofer, der det ikke finnes noen bakvegg: dreneres en protokoll, er pengene som regel borte med mindre et prosjekts egen kasse eller en hvithatt velger å dekke tapet.

Men legg merke til hva det egentlig var som reddet kundene. Det var ikke kryptografi, ikke en smartkontrakt, ikke en regulator og ikke blokkjedens uforanderlighet. Det var balansen til et privat selskap. Et slikt fond er bare så godt som pengene det faktisk inneholder, og her kommer spørsmålet om bevis på reserver inn: kan børsen vise, kryptografisk, at reservene finnes og dekker forpliktelsene? De børsene som tar dette på alvor, publiserer jevnlige attesteringer. For brukeren er dette den egentlige lærdommen fra Bitget: velger du å la noen andre holde myntene, bytter du bort selvråderett mot et løfte, og løftets verdi avhenger av selskapets soliditet og ærlighet.

Det er verdt å si rett ut at et beskyttelsesfond er en sentralisert løsning på et sentralisert problem. Den som har myntene i egen forvaring, er ikke eksponert for at en børs sin backend blir forgiftet, men bærer til gjengjeld hele ansvaret for egne nøkler selv. Det finnes ingen gratis lunsj i forvaring, bare ulike fordelinger av hvem som sitter med risikoen.

Hva Halborn anbefaler for alt som ikke er en smartkontrakt

Halborns gjennomgående budskap gjennom hele 2026 er at sikkerhetsarbeidet må flytte seg oppover i stabelen, bort fra bare å stirre på kontraktskode og over mot alt som omgir den. For en børs i Bitgets situasjon peker firmaet og bransjen for øvrig på en rekke tiltak som ligger utenfor en vanlig revisjons rekkevidde.

• Gjennomgang av forsyningskjeden: hver tredjepartsleverandør og programvarekomponent med tilgang til produksjonsmiljøet må vurderes som en mulig inngang, inkludert sikkerhetsverktøyene selv.
• Nettverkssegmentering og nulltillit: et kompromittert verktøy bør ikke kunne nå signeringskjeden. Interne systemer må ikke stole blindt på hverandre bare fordi de er innenfor brannmuren.
• Uavhengig verifisering av transaksjoner: det som skal signeres, bør kontrolleres mot en uavhengig kilde, slik at et forfalsket utkast ikke glir gjennom som rutine.
• Red teaming av infrastrukturen: angrip egne backend-systemer og leverandørkjeder på samme måte som en motstander ville gjort, ikke bare kontraktene.
• Kontinuerlig overvåking av uttak: uvanlige mønstre i utbetalinger må utløse alarm i sanntid, ikke oppdages i etterkant.

Dette er nettopp den offensive, infrastrukturtunge disiplinen Halborn ble bygget på, og som firmaet i dag selger som rådgivning og red team-øvelser i tillegg til ren kodegjennomgang. Poenget er ikke at revisjon er bortkastet, men at den er nødvendig og langt fra tilstrekkelig. Spørsmålet om hvem som vokter vokterne, altså hvem som kontrollerer dem som har de høyeste rettighetene i et system, er like påtrengende for en børs som for et desentralisert sikkerhetsråd. Bitget-hacket er et argument for at den mest privilegerte delen av stabelen fortjener den hardeste prøvingen.

Norsk kontekst: Finanstilsynet, MiCA og DORA

For norske lesere er det nærliggende å spørre hva tilsynet gjør med slikt. Svaret er mer nyansert enn mange tror. Finanstilsynet fører tilsyn med kryptoeiendelstjenesteytere (CASP-er) etter den norske kryptoeiendelsloven, som trådte i kraft 1. juli 2025 og innlemmer EUs MiCA-regelverk i norsk rett via EØS-avtalen. Overgangsordningen for eksisterende aktører løp ut 1. juli 2026. Men MiCA regulerer hvem som får tilby tjenester og hvordan de skal opptre, ikke kvaliteten på koden eller backend-systemene deres. Ingen norsk eller europeisk regulator sertifiserer smartkontrakt-revisorer eller stiller krav om at en bestemt kodegjennomgang er utført.

Det regelverket som faktisk treffer et angrep som Bitget-hacket, er et annet: DORA, forordningen om digital operasjonell motstandsdyktighet. DORA stiller krav til finansforetaks IKT-sikkerhet, og en vesentlig del handler nettopp om risiko fra tredjepartsleverandører, altså akkurat den svakheten Lazarus utnyttet. Regelverket krever blant annet styring av leverandørkjeden og, for de mest kritiske aktørene, etterretningsledet inntrengningstesting. Her kommer TIBER-NO inn, det norske rammeverket Norges Bank og Finanstilsynet etablerte for kontrollerte red team-angrep mot finansforetak. Under DORA går slik testing fra å være frivillig til å bli påbudt for de viktigste aktørene, og den retter seg mot nettopp det laget som sviktet hos Bitget: den levende produksjonsinfrastrukturen, ikke en kontrakt på en testnett.

Praktisk sett betyr dette at en global børs som vil betjene norske kunder lovlig, må være autorisert og underlagt disse kravene. Bruker du en plattform som opererer utenfor dette, har du i realiteten verken Finanstilsynets tilsyn eller DORAs motstandskrav i ryggen, bare selskapets eget løfte. Det er en vurdering hver enkelt bør gjøre bevisst.

Hva kan du gjøre som vanlig bruker?

Et angrep som Bitget-hacket kan føles som noe helt utenfor en vanlig brukers kontroll, og på selve angrepsflaten er det jo det: ingen kunde kunne hindret at en leverandørs programvare ble forgiftet. Men det finnes fornuftige grep som flytter risikoen i din favør.

• Hold bare det du handler aktivt med på en børs. Langsiktige beholdninger hører hjemme i egen forvaring, der ingen børs sin backend kan nå dem. En maskinvarelommebok eller en god selvforvarende lommebok gjør deg til din egen bank, med alt det innebærer av både frihet og ansvar.
• Velg børser som kan dokumentere soliditet. Se etter et reelt beskyttelsesfond, jevnlige bevis på reserver og publiserte sikkerhetsvurderinger fra uavhengige miljøer. Fravær av slikt er et rødt flagg.
• Spre risikoen. Ikke la én enkelt plattform holde alt. Børsrisiko handler ikke bare om hacking, men også om plattformens egne valg, slik vi så da en stor børs stanset handelen i et token og låste mange ute.
• Vær skeptisk til det som haster. De fleste tap rammer brukere som flytter fort under press. Ro og rutine er undervurderte sikkerhetstiltak.

Ingen av disse grepene er gratis, og ingen av dem fjerner all risiko. Men til sammen reduserer de sjansen for at én enkelt svikt, hos deg eller hos en motpart, tar alt du eier.

Bitget-hacket blir stående som en av de reneste illustrasjonene på hvor kryptoens trusselbilde har beveget seg. Angriperne trengte verken å knekke en krypteringsalgoritme, finne en feil i en revidert kontrakt eller lure en ansatt til å gi fra seg en nøkkel. De gikk inn gjennom et betrodd stykke programvare og fikk maskineriet til å lyve for seg selv. Så lenge bransjen måler sikkerhet først og fremst i antall reviderte kodelinjer, vil de dyreste angrepene fortsette å komme fra kanten nesten ingen holder øye med. Halborns obduksjon er ubehagelig lesning, men den peker i det minste i riktig retning: sikre alt som ikke er en smartkontrakt, like hardt som kontrakten selv.

Ofte stilte spørsmål

Hvor mye ble stjålet i Bitget-hacket i 2026?

Bitget bekreftet først et tap på rundt 351,6 millioner dollar fra de varme og halvvarme lommebøkene sine, mens senere forensiske anslag satte beløpet som nådde angriperens adresser til rundt 387,5 millioner dollar, om lag 3,7 milliarder kroner. Det gjør hendelsen til det største kryptotyveriet i 2026 og en av de ti største noensinne. De kalde lommebøkene og flertallet av kundemidlene var ikke berørt.

Hvordan klarte hackerne å stjele fra Bitget uten å knekke nøklene?

Angriperne stjal ingen privatnøkler og utnyttet ingen smartkontrakt. De kompromitterte et tredjeparts sikkerhetsprodukt i børsens backend gjennom et forsyningskjedeangrep, fikk høynivå tilgang til det interne nettverket og forfalsket usignerte transaksjonsdata. De falske utkastene gikk gjennom den normale godkjenningskjeden, som behandlet dem som rutine og signerte dem automatisk.

Hvem står bak Bitget-hacket?

Etterforskere hos Elliptic, TRM Labs og Chainalysis tilskrev angrepet den nordkoreanske Lazarus-gruppen, nærmere bestemt undergruppen TraderTraitor. Attribusjonen bygger på IP-mønstre, måten byttet ble vasket på og koblinger til lommebøker fra tidligere nordkoreanske operasjoner. Med Bitget passerte Nord-Koreas samlede kryptotyveri i 2026 én milliard dollar.

Får Bitget-kundene pengene sine tilbake?

Ja. Bitget erklærte at tapet var dekket av børsens eget brukerbeskyttelsesfond på rundt 464 millioner dollar, slik at vanlige kunder ikke skulle miste innskuddene sine. Det som reddet brukerne var ikke kryptografi eller en regulator, men balansen til et privat selskap, noe som understreker forskjellen mellom å forvare selv og å stole på en tredjepart.

Hva er Halborn, og hvorfor obduserer de kryptohack?

Halborn er et blokkjede-sikkerhetsselskap grunnlagt i 2019, kjent for offensiv sikkerhet, revisjon og red teaming. Firmaet publiserer grundige obduksjoner av store angrep i serien «Explained», uavhengig av om de reviderte prosjektet, som en blanding av kunnskapsdeling og omdømmebygging i en bransje uten offentlig tilsyn med kodekvalitet.

Anneke de Vries er sikkerhetsredaktør i HOGE Wire og dekker exploits, revisjon og kryptoforensikk.