Hånden på nødbryteren: av-knappen som avgjør hvem som får refusjon

1. oktober 2026 oppdaget NEAR Intents, en protokoll for krysskjede-handel, at noe var galt i samspillet mellom Omni-infrastrukturen for innskudd og uttak og selve kontrakten. Teamet gjorde det eneste som faktisk stoppet blødningen: de skrudde av. Innskudd og uttak ble tatt ned på elleve nettverk samtidig, blant dem BSC, Polygon, TON, Optimism og Avalanche. Tapet ble anslått til rundt 3,8 millioner dollar, i underkant av 40 millioner kroner. Innen 36 timer var alt tilbake. En kombinasjon av kjedeanalyse, sikkerhetsforskere og en forhandling med angriperen endte med at samtlige brukere ble gjort hele, og teamet betalte 300 000 dollar i bug bounty til forskeren som varslet, ifølge Crypto Briefing og CoinDesk.

Åtte dager senere, 9. oktober, oppdaget et ukjent antall Ledger-eiere i Sørøst-Asia at pengene var borte. Enhetene var kjøpt gjennom forhandleren CryptoBilis, og inne i dem lå et skjult maskinvareimplantat som leste gjenopprettingssetningen rett fra skjermen under oppsett og sendte den ut over mobilnettet. Over 86 millioner dollar, godt over 800 millioner kroner, forsvant fra mer enn 300 lommebøker, fordelt på Bitcoin, Ethereum og Tron-baserte USDT, melder CoinDesk og The Hacker News. Her fantes ingen av-knapp. Når du forvalter dine egne nøkler, finnes det ingen sentral bryter noen kan trykke på, ingen vault å pause, ingen validatorer å stanse. Ledger kunne be CryptoBilis stoppe salget. De kunne ikke trekke tilbake en eneste signert transaksjon.

To hendelser, samme måned, med en rotårsak som i begge tilfeller lå utenfor det vi til vanlig kaller en «knust» smartkontrakt. Forskjellen på utfallet var ikke revisjonskvalitet, ikke kodekvalitet, ikke hvor dyktige utviklerne var. Forskjellen var om det fantes en fungerende av-knapp, og om noen rakk å trykke på den i tide. Det er denne mekanismen, nødbryteren, denne artikkelen handler om: hvorfor den stille har blitt den viktigste variabelen i enhver obduksjon, hvorfor den bryter med kryptoens egen drøm om ustoppelig kode, og hvorfor regulatorene nå vil gjøre den obligatorisk.

Tesen: av-knappen slår revisjonen

I 2026 er den beste enkeltprediktoren for om ofrene for et hack får pengene tilbake, ikke hvor mange revisjoner protokollen har vært gjennom. Det er om teamet hadde en fungerende nødmekanisme og brukte den fort. Det er en ubehagelig påstand i en bransje som har solgt inn ideen om kode som verken kan stoppes eller sensureres, men tallene peker i samme retning. Sikkerhetsselskapet CertiK anslo tapene i tredje kvartal 2026 til rundt 1,26 milliarder dollar fordelt på 247 hendelser, altså over tolv milliarder kroner på tre måneder, ifølge en gjennomgang gjengitt av Cointelegraph. Samtidig dokumenterte crypto.news at stjålne nøkler for første gang på rekord gikk forbi kontraktsfeil som den dyreste kategorien: de største tapene traff prosjekter der koden i seg selv var i orden.

Når koden er i orden, men pengene likevel renner ut, flyttes hele spørsmålet om skadebegrensning fra revisjonsrapporten til responsøyeblikket. Det du vil vite om et rammet prosjekt, er ikke lenger bare «hvor var feilen», men «hvor fort klarte de å lukke døra, og hadde de i det hele tatt en dør å lukke». Det er en annen type beredskap enn den en revisor kan selge deg, og det er en av grunnene til at selv grundig gjennomgåtte prosjekter blir hacket; vi har tidligere sett hvordan selv forholdet mellom et ratingbyrå og revisoren det eier ikke fjerner den risikoen. En revisjon forteller deg om koden var riktig i går. Nødbryteren avgjør hva som skjer de neste tolv minuttene etter at noen finner en vei rundt den.

Tidslinjen er obduksjonens viktigste avsnitt

En god obduksjon av et hack har en fast anatomi: en oppsummering, en rotårsaksanalyse, en minutt-for-minutt-tidslinje og en liste over tiltak. De fleste lesere hopper til rotårsaken, fordi det er der dramaet ligger. Men for pengene dine er tidslinjen det avgjørende avsnittet. Den forteller deg to tall: hvor lang tid det tok fra angrepet startet til noen oppdaget det, og hvor lang tid det tok fra oppdagelsen til noen faktisk stanset systemet. Avstanden mellom de to tallene er som regel lik størrelsen på tapet.

Grunnen er at moderne kjedeangrep går fort. Da Coldcard-eiere ble tappet sommeren 2026, skjedde den første bølgen på rundt 594 bitcoin i løpet av 25 minutter, ifølge TRM Labs. En automatisert dreneringsrutine trenger ikke pauser. Det eneste som kan matche den hastigheten, er en bryter som kan slås av raskere enn angriperen rekker å tømme kassen. Derfor er «oppdaget til stans»-tiden den enkeltopplysningen som best skiller en hendelse der brukerne ble gjort hele fra en der de ikke ble det. Resten av obduksjonen er historie. Dette ene tallet er beredskap, og det er det eneste du som bruker får bruk for før neste gang.

Klokken har to visere, og begge teller. Den første er tiden fra angrepet starter til noen oppdager det; den andre er tiden fra oppdagelse til stans. Overvåking har blitt en egen bransje nettopp for å krympe den første viseren, med tjenester som leser hver blokk og slår alarm på unormale utgående strømmer før et menneske rekker å blunke. Men alarmen er verdiløs uten en hånd på bryteren. De raskeste responsene i 2026 kom fra team som hadde øvd på stansen på forhånd, med en ferdig kjøreplan og en kort liste over hvem som har lov til å trykke. Finnes ingen slik plan, kan et prosjekt bruke timer bare på å bli enige om hvem som har lov til å gjøre noe, og i mellomtiden går dreneringen sin gang. For dem uten egen beredskap finnes SEAL 911, en døgnbemannet varsellinje der hvithatt-miljøet kan tilkalles midt i et aktivt angrep, ifølge Security Alliance.

Fem slags av-knapper

«Nødbryter» er ikke én ting. Et hack kan stanses på minst fem nivåer i stabelen, og hvem som holder nøkkelen, varierer helt. Jo lenger ned mot brukeren bryteren sitter, jo mer effektiv er den, men jo mer sentralisert makt krever den også. Det er dette dilemmaet som gjør av-knappen til et så betent tema. Tabellen under viser de fem familiene, hva de faktisk stopper, og hvem som bestemmer når det skjer.

Legg merke til hvem som ikke står i tabellen: den vanlige brukeren med en hardware-lommebok. Selvforvaltning gir deg full kontroll over nøklene og dermed null tilgang til noen bryter. Det er et bevisst bytte, og vi kommer tilbake til hva det koster.

Da bryteren funket: Maya, Term og NEAR Intents

De mest lærerike obduksjonene i 2026 er ikke de med de største tapene, men de der tapet kunne blitt mye større og ikke ble det. Maya Protocol er et godt eksempel. 18. august utløste en enkelt melding med 23 instruksjoner en kjede på seks ulike feil i protokollens handels-, utbetalings- og likviditetslogikk; en falsk tyveri-deteksjon blåste opp en liten likviditetspool med titalls millioner falske CACAO-enheter, og angriperen fikk tak i nesten hele poolen. Det direkte tapet var rundt 1,7 millioner dollar, snaut 16 millioner kroner, men grunnlegger Aaluxx Myth la hele kjeden død mens de seks feilene ble patchet, ifølge crypto.news. Stansen fungerte som en knebel på blødningen. Uten validatorstansen hadde angrepet trolig fortsatt til poolene var tomme.

Term Finance viste en mer kirurgisk variant. Da protokollen ble rammet av et styringsangrep i slutten av august, der angriperen hadde snappet opp nok av en tynt spredt styringstoken til å presse gjennom forslag mot protokollens vaulter, svarte teamet med å stenge innskuddene i den berørte modulen og trekke tilbake DAO-rollene, men de lot uttakene stå åpne, slik at uberørte brukere kunne komme seg ut, melder The Crypto Times. Det er modulsuspensjon i praksis: ikke å slå av alt, men å isolere skaden.

NEAR Intents fra åpningen av denne artikkelen hører til samme kategori, men med den reneste utgangen av alle: elleve nettverk tatt ned på én gang, full tilbakeføring innen 36 timer, og en bug bounty utbetalt til den som varslet. Felles for de tre er at nødbryteren ikke var en ettertanke. Den var bygget inn, den hadde en eier, og den ble brukt raskt. Samme mønster finner vi i den kanskje reneste modell-obduksjonen av dem alle, Gnosis Pay i juni 2026: en feil i signaturvalideringen som hadde ligget latent siden 2023 ble oppdaget 06:17 UTC, rotårsaken var kartlagt på rundt to timer, selskapet dekket hele tapet på rundt 1,5 millioner dollar selv, og 99 prosent av midlene var tilbake på plass innen et døgn, ifølge crypto.news.

Men å stanse blødningen er bare halve jobben. Etterpå må noen dekke tapet, og her skiller de vellykkede sakene lag etter hvem som tar regningen. Hos Gnosis Pay tok selskapet hele tapet selv. Hos NEAR Intents kom pengene tilbake fra angriperen selv, etter forhandling. Hos Term Finance slapp de fleste unna rett og slett fordi uttakene aldri ble stengt. Tre helt ulike kilder til den samme gode slutten, men alle tre forutsatte at bryteren kjøpte tiden som trengtes for å ordne opp. En rask stans uten en plan for hvem som gjør brukerne hele, gir deg bare et fastfryst tap i stedet for et voksende ett.

Når kjeden selv fryser: Cetus, Sui og desentraliserings-debatten

Det kraftigste nødstoppet er også det mest kontroversielle: å stanse hele blokkjeden. Da DEX-en Cetus ble tappet for rundt 223 millioner dollar på Sui i mai 2025, rakk angriperen å bygge bro med rundt 60 millioner dollar til Ethereum før rundt 114 Sui-validatorer, i praksis sammen med Mysten Labs, nektet å behandle angriperens transaksjoner og frøs rundt 162 millioner dollar, altså i størrelsesorden halvannen milliard kroner. Først etterpå kom en formell avstemning som samlet over 90 prosent av innsatsen bak å flytte midlene til en gjenopprettingskonto, ifølge Cointelegraph. Rekkefølgen er verdt å merke seg: validatorene frøs først og stemte etterpå.

Det er nettopp den rekkefølgen som utløste en betent debatt om sensurresistens. Hvis 114 validatorer kan bli enige om å nekte noen transaksjoner på noen minutter, er kjeden da egentlig tillatelsesløs? Forsvaret er at makten ble brukt til å redde brukere fra en tyv, men prinsippet er uforandret: tilliten er ikke fjernet, bare flyttet fra kode til et validatorsett. BNB Chain gjorde noe lignende i oktober 2022, da et forfalsket bevis lot en angriper lage rundt to millioner BNB verdt omtrent 568 millioner dollar; bare rundt 100 millioner dollar rakk å slippe ut før validatorene stanset kjeden og gjennomførte en hard fork, ifølge CoinDesk. I begge tilfeller reddet en kjedestans det meste av verdiene. I begge tilfeller måtte et lite antall aktører bli enige, fort, uten å spørre resten.

Selve frysen var vellykket, men den etterlot et ubesvart spørsmål som en egen avstemning om de 162 millionene bare gjorde tydeligere: hvem avgjør hvilke transaksjoner som er legitime, og hva hindrer det samme validatorsettet i å fryse noe helt annet neste gang? Avstemningen utløste en bred debatt om nettopp sensurresistens, ifølge Cointelegraph. En nødbryter på kjedenivå er en engangsmakt det er lett å rettferdiggjøre når en tyv holder på, og vanskelig å begrense når trusselen er mer tvetydig. Protokollen relanserte senere med støtte fra Sui-økosystemet og gjorde brukerne i stor grad hele, men det prinsipielle spørsmålet om hvem som får lov til å stanse en tillatelsesløs kjede, står fortsatt åpent.

Føderasjonsbryteren: Liquid og den avviste løsepengen

Mellom en enkelt kontraktspause og en full kjedestans ligger føderasjonsmodellen. Bitcoin-sidekjeden Liquid drives av en føderasjon av funksjonærer, og da nettverket ble rammet høsten 2026 og rundt 4 000 bitcoin stod på spill, stanset føderasjonen blokkproduksjonen for å bryte angrepet. Blockstream, det ledende selskapet bak nettverket, avviste et krav om løsepenger og framholdt at toveis-koblingen som holder eiendelene, var dekket, melder Bitcoin.com. Adam Back, Blockstreams administrerende direktør, framstilte stansen som en forsvarshandling og ikke et nederlag for desentraliseringen.

Liquid-saken er lærerik nettopp fordi den ble omstridt. En av partene i det som senere ble en offentlig skyldkrig, hevdet at en advarsel ble ignorert; Blockstream kalte hendelsen tyveri, ikke ansvarlig varsling. Men selve av-knappen virket. Føderasjonsstansen gjorde at angrepet ikke kunne fortsette i det uendelige, og den kjøpte tid til å spore og vurdere. Det er et poeng som ofte forsvinner i kranglingen om hvem som har skylden: uansett hvem som hadde rett i disputten, var det bryteren, ikke revisjonen, som stoppet blødningen. Vi har beskrevet den fulle obduksjonen av Liquid-hacket og de 4 000 bitcoinene i en egen gjennomgang.

Ingen bryter i det hele tatt: selvforvaltningens pris

Alle eksemplene over har én ting felles: en tredjepart satt med en bryter. Men den delen av krypto som flest nordmenn faktisk bruker, hardware-lommeboken i skuffen, har ingen slik bryter overhodet. Det er hele poenget med selvforvaltning. Ingen kan fryse kontoen din, men ingen kan redde den heller. Coldcard-saken sommeren 2026 er det reneste eksempelet: en byggefeil i en gammel fastvareversjon ga svak programvarebasert tilfeldighet i stedet for maskinvarebasert entropi, slik at nøkler laget i en bestemt periode kunne gjettes uten fysisk tilgang til enheten. Rundt 1 816 bitcoin, omtrent 116 millioner dollar, forsvant fra over 5 200 adresser, ifølge TRM Labs. Det fantes ingen å ringe, ingen vault å pause, ingen validatorer å stanse. Ofrene hadde gjort alt riktig etter læreboka, og nettopp derfor var det ingen som kunne gripe inn.

Ledger-saken i oktober bekreftet mønsteret fra en annen vinkel. Angrepet traff ikke protokoller, men forsyningskjeden til selve maskinvaren. Når den hemmelige gjenopprettingssetningen først er lest av et implantat og sendt ut over mobilnettet, er transaksjonene som følger, helt gyldige, signert med riktig nøkkel. Det er dette som gjør selvforvaltning til et tveegget sverd: det samme som fjerner tredjepartens frysemulighet, fjerner også tredjepartens redningsmulighet. Den som vil forstå hvorfor blind signering er så farlig, bør lese vår gjennomgang av fullmaktens UX og lommeboken som bruker penger uten deg; poenget er det samme her: når signaturen er gyldig, finnes det ingen bryter som kan gjøre den ugyldig igjen.

For en norsk sparer som nettopp har flyttet bitcoin fra en børs til en hardware-lommebok «for sikkerhets skyld», er dette en nøktern påminnelse. Selvforvaltning fjerner motpartsrisikoen, altså risikoen for at børsen svindler eller går konkurs, men den flytter hele ansvaret for beredskap over på deg. Det finnes ingen kundeservice, ingen angrefrist og ingen bryter. Kjøper du i tillegg enheten fra en tilfeldig videreforhandler i stedet for direkte fra produsenten, slik Ledger-ofrene gjorde, legger du en forsyningskjederisiko på toppen. Poenget er ikke at selvforvaltning er feil, men at fraværet av en av-knapp er en del av regnestykket som sjelden nevnes i salgsbrosjyren.

Protokollen Nomad viste hva fravær av bryter betyr på kontraktsnivå. Da broen ble tappet i august 2022, var feilen slik at hvem som helst kunne kopiere en vellykket transaksjon, bytte ut adressen og kringkaste den på nytt. Hundrevis av adresser gjorde nettopp det i en kaotisk plyndring, og rundt 190 millioner dollar forsvant uten at noen kunne trykke på en knapp og stoppe strømmen. Bare rundt 37 millioner dollar ble senere gjenvunnet. Det er denne hendelsen som siden skulle gjøre Nomad til regulatorenes yndlingseksempel på hvorfor en av-knapp burde være påbudt, noe vi kommer tilbake til.

Responsklokken: hvor fort må du trykke?

Setter vi hendelsene ved siden av hverandre, trer mønsteret tydelig fram. Det er ikke tapets størrelse som avgjør om brukerne ble gjort hele, og det er ikke om prosjektet var revidert. Det er om en bryter fantes, og hvor fort den ble brukt. Tabellen under rangerer et utvalg av 2026-hendelsene etter nettopp dette.

Bitget er den interessante mellomkategorien. Da børsen mistet rundt 387,5 millioner dollar i årets største hack, der angriperne forfalsket transaksjoner i backend-infrastrukturen uten å røre en eneste privat nøkkel, var det ikke en teknisk bryter som reddet kundene, men et selskapsfinansiert beskyttelsesfond på rundt 464 millioner dollar som dekket hele tapet, ifølge Fortune. En sentralisert børs har altså sin egen type av-knapp: lommeboka til selskapet. Vi har gått i dybden på hvordan Bitget-hacket verken brøt kode eller nøkkel i en egen analyse.

Frysen utenfor kjeden: utstederen som sitter under protokollen

Den femte og minst synlige av-knappen tilhører ikke protokollen i det hele tatt. Den tilhører den som utsteder tokenene som sirkulerer i den. 17. oktober 2026 svartelistet Tether fire av THORChains seks Tron-vaulter og frøs rundt 1,45 millioner dollar i USDT, en liten sum i kroner, men nok til å representere 93 prosent av protokollens Tron-eiendeler. Tron-baserte bytter på THORChain sluttet å fungere på sekundet. Medgrunnlegger Chad Barraford sa at teamet ikke fikk noe forhåndsvarsel fra Tether før frysen, ifølge Crypto Briefing. Svartelisten ble opphevet rundt tre timer senere, og saldoene var intakte.

Ironien er nesten for god. THORChain markedsfører seg som en tillatelsesløs børs som ikke kan fryse noens midler. Likevel ble den stanset på ett nettverk av en enkelt utsteders admin-nøkkel. Forklaringen er strukturell: frysen skjer på token-laget, under protokollen, og THORChains kode kan ikke overstyre en Tether-svarteliste. Hver eneste stablecoin-utsteder som kan fryse en lommebok, er dermed i praksis en admin-nøkkel som sitter utenfor protokollens egen styring. Det samme prinsippet driver T3 Financial Crime Unit, et samarbeid mellom Tether, TRON og analyseselskapet TRM Labs, som siden lanseringen sent i 2024 har frosset over 450 millioner dollar, altså godt over fire milliarder kroner, ofte innen 24 timer, ifølge Tether. For DeFi som liker å kalle seg usensurerbart, er dette en ubehagelig sannhet: den raskeste av-knappen i hele systemet eies av et privat selskap, og den slås av uten å spørre noen.

Den samme makten har en bakside for helt vanlige brukere. En utsteder som kan fryse en tyvs adresse, kan i prinsippet også fryse din, ved en feil, en rettslig ordre eller en liste du havnet på uten å vite det. For stablecoins bygget på en utsteders godvilje er dette prisen for den raske av-knappen: tokenet ditt er bare så fritt som utstederen lar det være. Bitcoin du holder selv står i motsatt ytterkant, umulig å fryse og umulig å redde. De fleste nordmenn befinner seg et sted mellom disse ytterpunktene, ofte uten å ha tenkt gjennom hvor på skalaen de faktisk står.

Paradokset: bryteren er også angrepsflate

Hvis en av-knapp redder brukere, hvorfor har ikke alle en? Fordi den samme bryteren som stopper en tyv, er en mektig funksjon som noen må ha lov til å trykke på. Og alt noen har lov til å trykke på, kan misbrukes, stjeles eller tvinges fram. Term Finance er faktisk et eksempel på begge sider av paradokset samtidig: selve angrepet var et styringsangrep, altså et misbruk av kontrollmekanismene, mens responsen, å trekke DAO-rollene, var de samme mekanismene brukt i forsvar. Ronghui Gu, medgrunnlegger og toppsjef i CertiK, har gjentatte ganger pekt på at kompromitterte nøkler og admin-tilganger er den dyreste kategorien av tap, nettopp fordi den konsentrerte makten en nødmekanisme krever, i seg selv er et mål, noe han utdyper i en gjennomgang hos Forbes.

Tidslåsen er det tydeligste eksempelet på at verktøyet skjærer begge veier. En tidslås som tvinger en forsinkelse på enhver privilegert handling, gjør det vanskeligere for en angriper som har kapret en nøkkel å tømme kassen med én gang. Men den samme forsinkelsen rammer forsvareren: en pause som må vente et helt døgn på å tre i kraft, er ingen nødbryter i det hele tatt. Derfor skiller gode design mellom to slags makt, den som kan stanse fort og den som kan flytte verdier sakte, og gir bare den første lov til å virke umiddelbart. Å blande dem sammen er nettopp hvordan en beskyttelse blir til en bakdør.

Svaret bransjen har landet på, er ikke å droppe bryteren, men å avgrense den. En godt designet nødmekanisme har et snevert mandat (den kan pause, ikke flytte midler), flere nøkkelhavere bak en terskel (ikke én admin), og helst en tidslås som gjør at ingen enkelt handling får varig virkning uten forsinkelse. Aaves nødvakt er et typisk forsøk: en multisig på fire av sju som kan utløse pause uten å gå veien om den vanlige, trege styringsprosessen, der signaturidentitetene bevisst holdes skjult. I september 2026 debatterte Aave-styringen faktisk å utvide disse frysefullmaktene, slik at sårbare markeder kan fryses raskt, ifølge Bitcoinist. Det finnes også et forsøk på å gjøre bryteren automatisk: standarden ERC-7265 foreslår en innebygd «circuit breaker» som satser på utgående verdier per eiendel, slik at en plutselig drenering utløser bryteren av seg selv, forklart av Cointelegraph. Ideen er elegant; adopsjonen har vært nær null, en standard nesten ingen har tatt i bruk. De fleste faller tilbake på en avgrenset menneskestyrt pause. Hvem som bør holde den pausefullmakten, henger tett sammen med hvordan smartkonto-signering utvikler seg, et tema vi har tallfestet i vår gjennomgang av hva adopsjonsdataene for account abstraction skjuler.

For angrep som allerede er i gang, finnes dessuten en halvoffentlig nødlinje. Security Alliance (SEAL) driver en varsellinje bemannet døgnet rundt og en ordning kalt Safe Harbor, som på forhånd gir hvithatt-hackere juridisk rom til å redde midler under et aktivt angrep, mot å levere tilbake innen 72 timer og en dusør på inntil ti prosent, oppad begrenset til én million dollar, ifølge Security Alliance. Det er en slags delt av-knapp for en bransje uten en felles nødetat.

Regulatorene vil ha en av-knapp

Det som startet som et teknisk designvalg, er i ferd med å bli et juridisk krav. I USA inngikk Federal Trade Commission i desember 2025 et forlik med Illusory Systems, selskapet bak Nomad, der klagen slo fast at selskapet manglet det kommisjonen kalte «allment aksepterte bransjenormer» som circuit breakers eller en kill switch som umiddelbart kunne stanse broens funksjon ved mistenkelige transaksjoner, i tillegg til en skriftlig sikkerhetsplan og en prosess for sårbarhetshåndtering, ifølge CyberScoop. For første gang gjorde en amerikansk forbrukermyndighet fravær av en av-knapp til en overtredelse.

Reaksjonen fra bransjen var skarp. Fire kryptobransjeorganisasjoner og selskapet Consensys protesterte i et brev til kommisjonen. Bill Hughes, seniorjurist i Consensys, framholdt at circuit breakers ikke er en bransjestandard i dag og heller ikke var det da Nomad ble hacket, melder DL News. Organisasjonene argumenterte for at en kill switch forutsetter privilegert kontroll eller en annen form for sentralisert myndighet, og i verste fall kan gjøre programvaren mer sårbar, ikke mindre. Det er hele desentraliseringsdebatten komprimert til én regulatorisk setning: en av-knapp redder brukere i dag, men en obligatorisk av-knapp betyr at noen alltid må ha nøkkelen.

I Europa finnes et parallelt spor. EUs dataforordning, Data Act, inneholder en bestemmelse som bredt er blitt omtalt som en kill switch for smartkontrakter, et krav om «sikker avslutning og avbrudd», som ble vedtatt av Europaparlamentet i november 2023, ifølge CoinDesk. Rekkevidden er omstridt og i praksis avgrenset til bestemte avtaler om datadeling, men retningen er den samme som FTCs: en forventning om at et automatisert system skal kunne stoppes. Forordningen er EØS-relevant og ventes innlemmet i EØS-avtalen, slik at den etter hvert også vil angå norske aktører.

For norske lesere er det likevel et viktig forbehold. Finanstilsynet fører tilsyn med kryptoeiendeler gjennom kryptoeiendelsloven, som trådte i kraft 1. juli 2025 og innlemmer MiCA-regelverket i norsk rett via EØS-avtalen. Men regelverket treffer utstedere og tjenesteytere, altså sentraliserte aktører som børser og forvaltere (CASP-er), og ikke fullt ut desentralisert DeFi, slik Finanstilsynet selv beskriver på sine temasider om kryptoeiendeler og MiCA. Konsekvensen er et klagegap: blir du tappet på en norsk, MiCA-registrert børs, finnes det en ansvarlig motpart og et tilsyn å henvende seg til. Blir du tappet i en autonom protokoll, er obduksjonen og en eventuell frivillig refusjon alt du har. Egne DeFi-regler på EU-nivå ventes ikke før rundt 2027 eller 2028. Inntil da er av-knappen, og ikke regelboka, det nærmeste mange brukere kommer en forbrukerbeskyttelse.

Slik leser du responsavsnittet i en obduksjon

Neste gang du leser en obduksjon, hopp ned til tidslinjen og tiltakene før du dømmer prosjektet. Her er flaggene som skiller en beredskap å stole på fra en tom forsikring.

• Grønt: en minutt-for-minutt-tidslinje fra oppdagelse til stans, med tidsstempler i UTC.
• Grønt: en navngitt, avgrenset nødmekanisme (guardian, pause-rolle, tidslås) som faktisk ble brukt, ikke bare beskrevet.
• Grønt: brukerne gjort hele, med tydelig kilde til midlene (fond, skattkammer eller teamets egen lomme).
• Grønt: antall nøkkelhavere og terskel oppgitt, for eksempel fire av sju, ikke en diffus «admin».
• Grønt: koden som ble patchet, sendt til ny, uavhengig revisjon.
• Rødt: «vi gransker fortsatt» uker etterpå, uten en eneste konkret tidsangivelse.
• Rødt: ingen omtale av om en bryter fantes eller ble vurdert i det hele tatt.
• Rødt: en enkelt, udokumentert admin-nøkkel som «ordnet opp».
• Rødt: ikke ett ord om hvem som til slutt dekker tapet.
• Rødt: løfter om «ustoppelig» eller «fullt desentralisert», samtidig som kjeden eller føderasjonen i praksis ble stanset.

Bunnlinjen: en av-knapp er ikke juks

Krypto ble bygget på en drøm om kode som kjører uansett, uten en eier som kan gripe inn. 2026 har vist at nettopp fraværet av en eier som kan gripe inn, ofte er forskjellen mellom en pinlig natt og et permanent tap. Det betyr ikke at desentralisering er feil, eller at enhver protokoll bør få en sentral bryter som overstyrer alt. Det betyr at beredskap er en egen disiplin, atskilt fra kodekvalitet, og at en ærlig obduksjon må behandle den som det. En av-knapp er ikke en innrømmelse av at systemet er sentralisert. Den er incident response, det samme en flyplass, et kraftverk eller en bank ville hatt.

For den norske leseren koker det ned til ett spørsmål du kan stille før du låser inn midler noe sted: hvem kan trykke på av-knappen her, og hvor fort? På en MiCA-registrert børs er svaret selskapet selv, med et tilsyn i ryggen. I en autonom protokoll er svaret kanskje et validatorsett, en guardian-multisig eller ingen. Og holder du dine egne nøkler i en hardware-lommebok, er svaret deg selv, som ikke kan fryse noe, men som til gjengjeld ikke kan fryses av andre. Ingen av delene er gratis. Men etter et år med rekordmange hendelser er det blitt tydelig at spørsmålet om av-knappen fortjener en plass helt øverst i vurderingen, side om side med spørsmålet om hvem som har revidert koden.

Ofte stilte spørsmål

Hva er en kill switch (nødbryter) i krypto?

En kill switch, eller nødbryter, er en mekanisme som lar noen stanse et kryptosystem raskt under et angrep. Den kan pause en smartkontrakt, stenge en modul, stanse en hel blokkjede, fryse en føderasjon eller fryse eiendeler på token-nivå. Felles for dem alle er at de bytter litt desentralisering mot evnen til å begrense skade i sanntid.

Får jeg pengene tilbake hvis en protokoll jeg bruker blir hacket?

Det kommer an på hvem som kunne trykke på av-knappen og hvem som bærer tapet. På en MiCA-registrert børs under Finanstilsynet finnes en ansvarlig motpart, og flere børser dekker tap gjennom egne fond. I autonom DeFi er en frivillig refusjon ofte eneste mulighet, og holder du dine egne nøkler, finnes ingen å ringe. Av-knappens eksistens og hastighet avgjør i praksis utfallet.

Bryter en av-knapp med desentralisering?

Delvis, og det er kjernen i debatten. En nødmekanisme krever at noen har privilegert kontroll, noe som strider mot idealet om kode ingen kan stoppe. Løsningen de fleste lander på, er å avgrense bryteren: et snevert mandat, flere nøkkelhavere bak en terskel og gjerne en tidslås, slik at makten ikke kan misbrukes av én part alene.

Kan Tether eller en børs fryse kryptomidlene mine?

Ja, på token- eller kontonivå. Da Tether svartelistet THORChains Tron-vaulter i oktober 2026, ble en tillatelsesløs børs stanset på ett nettverk uten forvarsel, fordi frysen skjedde på token-laget under protokollen. Bitcoin du holder selv i en hardware-lommebok, kan ikke fryses på samme måte, men kan til gjengjeld stjeles uten at noen kan gripe inn.

Krever regulatorene i Norge en kill switch?

Ikke eksplisitt ennå. I USA har FTC gjort fravær av circuit breakers til en overtredelse i Nomad-saken, og EUs Data Act inneholder et omstridt krav om sikker avslutning av smartkontrakter som er EØS-relevant. Finanstilsynet regulerer kryptoeiendeler via MiCA og kryptoeiendelsloven, men regelverket treffer børser og forvaltere, ikke fullt desentralisert DeFi, der egne regler først ventes rundt 2027 til 2028.

Av Anneke de Vries, sikkerhetsredaktør i HOGE Wire.