Bug bounty i 2026: rekordutbetalinger som ikke stopper tyveriene

Da dusøren satte sin egen pris

6. september 2026 forsvant rundt 4 000 bitcoin, verdt omtrent 320 millioner dollar (nær 3 milliarder kroner), ut av Liquid-federasjonens lommebok. Årsaken var ikke en stjålet nøkkel, men en feil i Elements, den åpne kildekoden som driver Liquid: en cache-feil lot angriperen lage L-BTC uten dekning og pegge dem ut som ekte bitcoin gjennom SideSwap. Personen bak omtalte seg selv som white-hat, ba Blockstream «fix the bug first», og sendte tilbake 3 400 bitcoin (rundt 268 millioner dollar) da nodene var lappet.

Så stoppet det opp. Angriperen holdt igjen 598,5 bitcoin, omtrent 47 millioner dollar eller 437 millioner kroner, og krevde ti prosent i dusør betalt fra Blockstreams egne midler. Selskapet sa nei. I en uttalelse 11. september slo Blockstream fast at det å ta eiendeler uten tillatelse og nekte å levere dem tilbake er «a crime, not responsible disclosure. It is not white-hat activity. It is theft», og la til at det ikke ville være med på å skape presedens for at åpen kildekode utviklet for Bitcoin-fellesskapet skal tvinge utviklere til å betale løsepenger. Saken skal etter planen forfølges gjennom politi, børser og etterforskere.

Liquid-striden fanger spørsmålet som ligger under hele bug bounty-økonomien i 2026: hva er egentlig en dusørutbetaling når det er finneren, ikke prosjektet, som setter prisen? Og bak det et større spørsmål: hvis 2026 blir året med de høyeste dusørutbetalingene noensinne og samtidig det høyeste antallet hackangrep noensinne, virker modellen da? Denne artikkelen ser på hva en bug bounty faktisk betaler ut, hvorfor takst og kvittering nesten aldri er samme tall, og på de tre strukturelle sprekkene, pluss insentivproblemet, som gjør at rekordår for dusører og rekordår for tyveri kan skje i samme kalenderår.

Paradokset i tall

Tallene for første halvår 2026 forteller to historier på én gang. Immunefi, den største dedikerte bug bounty-plattformen i krypto, betalte ut rundt 13,45 millioner dollar (om lag 125 millioner kroner) for 837 gyldige feilrapporter, og passerte 140 millioner dollar i samlede utbetalinger til forskere siden starten. Plattformen har over 92 000 registrerte sikkerhetsforskere. Dette er belønningssiden i god form: mer penger til flere hoder enn noen gang.

Den andre historien står i samme rapport. I løpet av det samme halvåret ble det stjålet rundt 972 millioner dollar (nær 9 milliarder kroner) fordelt på 207 hendelser, det høyeste antallet angrep som noen gang er registrert i en seksmånedersperiode, selv om det samlede tapet var mindre enn halvparten av første halvår 2025. Immunefi-sjef Mitchell Amador oppsummerer det tørt: «Crypto security is adversarial, and it never stops evolving. The honest read on the numbers is simple: the industry is learning.»

Rekordutbetalinger og rekordmange angrep i samme periode er ikke en selvmotsigelse. Det er to forskjellige regnestykker. Dusørene måler hvor mye bransjen betaler for å hindre skade før den skjer. Tapstallene måler skaden som likevel skjer, og en stor del av den kommer fra angrep en dusør aldri kunne ha stoppet.

Den enkleste måten å forstå balansen på er å tenke på en dusør som forsikring, ikke som et gjerde. En billig premie som fanger de feilene den kan nå, er fornuftig selv om den aldri dekker alt; faren oppstår først når noen forveksler premien med full dekning og tror at et høyt tak i seg selv betyr at protokollen er trygg.

For å forstå gapet må man først forstå at annonsert tak og faktisk kvittering nesten aldri er det samme beløpet, og deretter hvorfor de dyreste angrepene i 2026 ligger utenfor rekkevidden til en dusør uansett hvor stort taket er. Vi tar det i den rekkefølgen.

Hva en bug bounty faktisk er, og ikke er

En bug bounty er et stående tilbud: finn en sårbarhet i koden vår, rapporter den ansvarlig, så betaler vi deg. Prisen skal i teorien gjøre det mer lønnsomt å levere feilen til prosjektet enn å selge den på svartebørsen eller utnytte den selv. Det er noe annet enn en revisjon (audit), der et firma betales for å lete gjennom koden i en avgrenset periode; en dusør er kontinuerlig og betaler bare for treff. De to lagene utfyller hverandre, og ingen av dem er en garanti: et prosjekt kan bestå en plettfri revisjon og likevel bli tømt, noe lesere som har fulgt hvordan et revidert stempel ikke alltid er til å stole på allerede vet.

I praksis sorteres rapporter etter alvorlighetsgrad, fra lav til kritisk, og det er nesten alltid de kritiske funnene som utløser de store beløpene. En triager hos plattformen avgjør både om rapporten er ekte og hvilken kategori den havner i, og nettopp den vurderingen er der de fleste utbetalingstvistene oppstår: en forsker mener funnet er kritisk, prosjektet mener det er høyt, og forskjellen kan være mange hundre tusen kroner. Denne mekanikken blir viktig igjen når vi ser på hvordan AI-generert støy overbelaster nettopp triage-leddet.

Reward-siden har minst fire aktører med ulike interesser. Prosjektet vil ha billig sikkerhet og forutsigbarhet. Plattformen (Immunefi, Sherlock, Cantina, HackenProof) står for triage, alvorlighetsgrad og utbetaling mot en avgift. Forskeren vil ha betalt for arbeidet og risikoen. Og angriperen dukker noen ganger opp som en femte, uinvitert part som utnevner seg selv til dusørmottaker, slik vi så på Liquid.

Det er også nyttig å skille mellom to typer dusør. Den forebyggende dusøren betaler for en feil som ennå ikke er utnyttet. Recovery-dusøren er derimot et tilbud etter at pengene allerede er ute: returner det stjålne, behold en andel, slipp rettsforfølgning. Grensen mellom en recovery-dusør og ren utpressing er akkurat så tynn som Liquid-saken antyder, og vi kommer tilbake til den.

Taket mot kvitteringen

Det mest misforståtte tallet i bransjen er det annonserte taket. Da stablecoin-protokollen Usual la ut en bug bounty på 16 millioner dollar via Sherlock, ble den omtalt som den største i teknologihistorien. Uniswap v4 ligger på 15,5 millioner, LayerZero på 15, Wormhole og Sky (MakerDAO) på 10 hver. Til sammen overstiger det annonserte markedet 162 millioner dollar. Det ser ut som en formue som venter på å bli hentet.

Kvitteringen ser helt annerledes ut. Immunefis egen gjennomgang av 593 programmer fra januar 2021 til februar 2026 viser en median kritisk utbetaling på 20 000 dollar (rundt 186 000 kroner) og et gjennomsnitt på 114 355 dollar, dratt kraftig opp av noen få enorme utbetalinger. Til sammen er 107,3 millioner dollar utbetalt i kritiske dusører over hele perioden, og bare rundt én av fem bekreftede rapporter regnes som kritisk.

Hvorfor er gapet mellom 16 millioner og 20 000 så stort? Fordi taket er dimensjonert etter verst tenkelige tap, mens utbetalingen dimensjoneres etter faktisk påvist skade. De fleste programmer bruker en logikk kalt «primacy of impact»: du får betalt for hva feilen faktisk kunne ha kostet, ofte rundt ti prosent av verdiene som stod i fare, opp til taket. Et tak på 16 millioner er derfor mer et signal (vi tar sikkerhet på alvor, kom til oss) enn et løfte om hva neste forsker faktisk får.

Poenget her er ikke prisformelen, som vi har brutt ned tidligere, men at takst og kvittering er to forskjellige størrelser, og at det er kvitteringen, ikke taket, som avgjør om en forsker blir værende på den hvite siden. Den innsikten blir viktig igjen når vi kommer til Arbitrum lenger ned.

Rekordutbetalingene: hva toppen faktisk fikk

Systemet leverer noen ganger tall som matcher taket. Rekorden for én enkelt dusør er fortsatt Wormholes 10 millioner dollar (rundt 93 millioner kroner), utbetalt til forskeren satya0x i februar 2022 gjennom Immunefi. Feilen lå i maskineriet for kontraktsoppgraderinger og kunne gitt en angriper kontroll over broens kontrakter. Verdt å merke seg: den samme broen hadde uker tidligere tapt over 320 millioner dollar (rundt 120 000 wETH) til en helt annen feil i signaturverifiseringen, et tap Jump Crypto måtte dekke. Dusøren gikk til den som fant neste hull før noen rakk å bruke det.

På toppen av yrket finnes det forskere som lever godt. Immunefis eliteprogram, All Stars, ble toppet av forskeren LonelySloth med rundt 3,6 millioner dollar i samlede utbetalinger, og plattformen talte over 160 eliteforskere med et samlet livstidsbeløp på over 130 millioner dollar tidlig i 2026. Poenget med de store tallene er ikke at de er typiske, for det er de ikke; poenget er at de er synlige nok til å trekke talent inn i forsvaret i stedet for angrepet.

Det er her dusørlogikken virker som best. En median på 20 000 dollar høres beskjedent ut helt til man leser den mot hva feilen ville ha kostet. Immunefis «Hack Impact»-anslag setter det gjennomsnittlige direkte tyveriet i et vellykket angrep til 24,5 millioner dollar, medianen til 2,2 millioner, og finner at en token typisk faller 61 prosent i verdi i løpet av det påfølgende halvåret. En dusør på noen hundre tusen kroner som stopper et tap på hundrevis av millioner er, rent økonomisk, en av de beste handlene i krypto. Problemet er at de dyreste tapene i 2026 ikke er den typen feil en dusør fanger.

Første sprekk: dusøren priser kode, tapene kommer fra nøkler

En bug bounty belønner den som finner en feil i koden. Men de største tapene i 2026 kom ikke fra kode. De kom fra kompromitterte nøkler, infrastruktur og mennesker. Da Bybit mistet rundt 1,5 milliarder dollar i februar 2025, det største krypto-tyveriet noensinne, var det ikke en smartkontraktfeil, men en manipulert signeringsprosess. Angrep som Drift (rundt 285 millioner dollar i april 2026) startet med måneder med sosial manipulasjon som endte i en blindsignert transaksjon, ikke en linje sårbar Solidity.

Dette er et strukturelt problem for dusørmodellen. Det finnes ingen feil å rapportere når en ansatt blir lurt, en administratornøkkel lekker, eller en nordkoreansk IT-arbeider blir ansatt under falsk identitet og får tilgang fra dag én. HOGE Wire har dokumentert hvordan falsk jobb ble til ekte tyveri da privatnøkler forsvant ut bakdøren, og hvordan nye kontostandarder som EIP-7702 flytter angrepsflaten vekk fra kontrakten og over på signeringen. En dusør kan ikke prise det som ikke er en kodefeil.

Et prosjekt kan bestå en plettfri kodeaudit og likevel tape millioner på grunn av en kompromittert administratornøkkel, et poeng sikkerhetsfirmaene har gjentatt gjennom hele 2026. Det samme gjelder dusøren. Jo mer angriperne flytter seg fra kontrakten til nøkkelen og mennesket, jo mindre av det samlede tapet ligger innenfor det en bug bounty i det hele tatt kan røre.

Andre sprekk: du kan ikke lovlig betale angriperen som betyr mest

Selv når pengene er ute og angriperen er villig til å forhandle, finnes det en gruppe man ikke har lov til å betale: sanksjonerte aktører og nasjonalstater. Og det er akkurat der de store pengene havner. TRM Labs anslår at nordkoreanske grupper stod for rundt 643 millioner dollar (nær 6 milliarder kroner), omtrent to tredjedeler av all krypto som ble stjålet i angrep i første halvår 2026, der mesteparten kom fra bare to DeFi-angrep i april. Chainalysis anslår at Nord-Korea stjal rundt 2 milliarder dollar i 2025 alene, over halvparten av alt som ble stjålet det året.

Å tilby en dusør, eller en recovery-avtale, til en sanksjonert tyv er i praksis ulovlig; selve utbetalingen kan utgjøre et brudd på sanksjonsregelverket. Bybit løste dette ved å snu modellen på hodet: i stedet for å betale tyven betalte børsen uavhengige blokkjede-sporere for å spore og hjelpe til å fryse midlene, og fylte opp reservene gjennom lån og innskudd i stedet for å få pengene tilbake fra angriperen. Dette er en helt annen art enn Poly Network eller Euler, der man forhandlet direkte med finneren.

Recovery-dusøren finnes altså i to varianter: betal tyven for å levere tilbake, eller betal jegerne for å ta det tilbake. Den første er ofte den raskeste veien til pengene, men den er stengt akkurat når tapet er størst, fordi motparten da gjerne er en aktør ingen jurisdiksjon tillater deg å betale. Lesere som lurer på om det i det hele tatt er mulig å få kryptoen tilbake etter et angrep finner det korte svaret her: noen ganger, men nesten aldri fra den som betyr mest.

Tredje sprekk: signalet drukner i AI-slop

Den tredje sprekken er nyere og mer subtil: selve kanalen forskere rapporterer gjennom, holder på å bli tettet av AI-generert støy. I januar 2026 la curl-prosjektet ned hele bug bounty-ordningen sin. Andelen gyldige rapporter hadde falt fra over 15 prosent til under fem, ettersom modellgenererte «sårbarheter» flommet inn. Vedlikeholderen Daniel Stenberg pekte på tre trender: «the mind-numbing AI slop, humans doing worse than ever and the apparent will to poke holes rather than to help.»

Effekten sprer seg til utbetalingene. I juli 2026 halverte GitHub de offentlige dusørsatsene sine og flyttet de høye belønningene til et nytt, invitasjonsbasert VIP-nivå, med begrunnelsen at flommen av AI-rapporter begravde triage-teamet. Google sluttet å ta imot AI-genererte rapporter, og Bugcrowd fant et navn på fenomenet: «sloptimism».

Konsekvensen er en todeling. En liten, betrodd elite får tilgang til de store tallene; massen møter lavere offentlige satser og strengere filtre, som stake-to-submit, der du må låse kapital for å i det hele tatt få levere en rapport. For den enkelte forskeren betyr det at kvitteringen krymper i den nedre enden nettopp mens taket i den øvre enden vokser. Og for prosjektet betyr det at signalkvaliteten, altså sjansen for at en innkommende rapport faktisk er en ekte, kritisk feil, synker. Et dusørprogram som drukner i støy beskytter dårligere, uansett hvor høyt taket er.

For gjennomsnittsforskeren er nettoeffekten nedslående: mer tid brukt på å skille reelle funn fra maskingenerert støy, lavere offentlige satser for det som faktisk er ekte, og en stadig høyere terskel for å nå nivåene der pengene ligger. Det er ikke en oppskrift på å holde flere talenter på den hvite siden, og det er nettopp der neste sprekk, insentivet, kommer inn.

Når dusør blir utpressing

Grensen mellom en white-hat som ber om en dusør og en kriminell som krever løsepenger er ikke alltid teknisk. Den handler om hvem som satte betingelsene, hvor fullstendig og raskt pengene kom tilbake, og om beløpet fulgte en norm eller ble diktert under trussel. Da forskere i 2024 utnyttet en feil hos Kraken til å ta ut rundt 3 millioner dollar og nektet å levere tilbake før de fikk betalt, var Krakens sikkerhetssjef Nick Percoco utvetydig: «This is not white-hat hacking, it is extortion.»

Liquid-saken lever i den samme gråsonen. Angriperen returnerte 85 prosent, kalte seg white-hat og ba om ti prosent, en sats som ligner recovery-normen. Men det var finneren, ikke Blockstream, som bestemte at 15 prosent skulle holdes igjen som pressmiddel, og et selskap som betaler for å få tilbake sin egen eiendom setter en presedens Blockstream eksplisitt nektet å være med på. Forskjellen mellom en legitim recovery-dusør og utpressing er ofte bare dette ene: hvem holder fingeren på avtrekkeren mens forhandlingen pågår.

Dette er ikke akademisk. En bransje som normaliserer at finneren kan sette sin egen pris ved å holde pengene som gissel, oppmuntrer nettopp den atferden dusøren skulle forhindre. Samtidig, hvis prosjektene aldri betaler rimelig, presser de forskere over på den andre siden. Modellen lever i spennet mellom disse to feilene, og det er den siste vi ser nærmere på.

Riptide-problemet: underbetaling avler svarthatt

Ingen sak illustrerer dette bedre enn Arbitrum i september 2022. Forskeren Riptide fant en feil i Nitro-sekvenseren som kunne ha stjålet all innkommende ETH til broen mellom lag 1 og lag 2, verdier på rundt 470 millioner dollar. Arbitrums annonserte maksdusør var 2 millioner dollar. Utbetalingen ble 400 ETH, den gang rundt 540 000 dollar, i overkant av 5 millioner kroner.

Riptides reaksjon ble en slags bransjestandard for hvordan man ikke skal håndtere en dusør: «If you post a $2mm bounty, be prepared to pay it when it’s justified. Otherwise just say the max bounty is 400 ETH and be done with it.» Og, mer illevarslende: «Hackers watch which projects pay out and which do not.» Poenget var at underbetaling ikke er gratis; den kan, med Riptides ord, gi en white-hat grunn til å bli en black-hat neste gang.

Dette er den økonomiske kjernen i hele modellen. En dusør virker bare så lenge den ærlige veien er den mest lønnsomme. Når taket er et signal ingen har tenkt å innfri, når de offentlige satsene halveres, og når den eneste måten å tjene stort på er å holde pengene som gissel, så flytter regnestykket seg. Rekordutbetalingene i toppen skjuler at insentivet i bunnen og midten er under press.

Safe Harbor og taket på én million dollar

Bransjen har forsøkt å bygge et juridisk sikkerhetsnett rundt den ærlige forskeren. Security Alliance (SEAL), grunnlagt av Paradigm-forskeren samczsun, står bak en Whitehat Safe Harbor-avtale som gir forhåndsgodkjenning til å gripe inn under et aktivt angrep: returner innen 72 timer, behold ti prosent av det som reddes, oppad begrenset til én million dollar. Ordningen dekker nå over 33 protokoller og mer enn 60 milliarder dollar i verdier på over ti kjeder, og et eget rettslig forsvarsfond dekker forskeres advokatutgifter.

Problemet er taket. Én million dollar er ti prosent av ti millioner, men bare et halvt prosentpoeng av et tap på 200 millioner. Rammeverket er med andre ord svakest akkurat der pengene er størst: en forsker som redder hele en nisifret sum får en brøkdel av en prosent for bryet, mens en angriper som bare beholder alt står igjen med langt mer. Insentivet peker feil vei nettopp i de sakene som betyr mest.

Og selv med Safe Harbor er den juridiske risikoen reell. samczsun har sagt rett ut at han nøler med å gripe inn i et levende angrep, fordi ansvaret er uklart. Å stoppe en aktiv exploit, selv for å redde midler, er aktiv inntrengning, ikke en rapport. Det leder oss til det norske lovverket, der skillet mellom en dusørmottaker og en lovbryter er skarpere enn mange forskere liker å tro.

Norge: skatt, straffelov og hva som skjer med dusøren din

For en norsk sikkerhetsforsker er en bug bounty først og fremst skattbar inntekt. Skatteetaten behandler kryptobelønning som skattepliktig fordel, verdsatt i kroner på tidspunktet du mottar den. Det har en ubehagelig konsekvens: får du utbetalt en dusør i en volatil token, skylder du skatt av kroneverdien den dagen den lander, selv om tokenen kollapser uken etter. Utbetaling i stablecoin eller kontanter fjerner denne risikoen; utbetaling i prosjektets egen token flytter den over på forskeren.

På den andre siden av loven ligger straffeloven. Uberettiget tilgang til et datasystem rammes av straffeloven § 204, med bot eller fengsel i inntil to år. En invitasjon i et bug bounty-program er nettopp det, en invitasjon, og holder deg innenfor. Men å utnytte en levende kontrakt for å redde midler, slik Liquid-angriperen gjorde, er ikke en rapport; det er inntrengning, og en white-hat-etikett endrer ikke det strafferettslig. Safe Harbor er en privatrettslig avtale mellom protokoll og forsker, ikke et fribrev fra norsk straffelov.

Finanstilsynet, som fører tilsyn med kryptotjenestetilbydere under MiCA slik regelverket er innlemmet i EØS-avtalen, regulerer børsene og forvarerne, ikke selve dusøren eller hackerhandlingen. Med andre ord: den norske forskerens risiko er strafferettslig og skattemessig, ikke noe en markedsregulator rydder opp i. Den som vurderer å delta bør avtale utbetalingsvaluta på forhånd, dokumentere alt skriftlig, og holde seg strengt innenfor programmets rammer.

Virker modellen da?

Svaret er et delt ja. Bug bounties virker i marginen, og beviset er de tapene som aldri ble til nyheter. Immunefis egne tall viser at nesten alle langtkjørende programmer til slutt finner en kritisk feil, og en median utbetaling på 20 000 dollar som stopper et typisk tap på millioner er en av de mest kostnadseffektive forsvarsmekanismene som finnes. Wormhole-dusøren og eliteforskerne er ikke unntak fra at modellen fungerer; de er beviset.

Men en dusør er et gulv, ikke et gjerde. Den fanger kodefeil, ikke stjålne nøkler; den kan ikke lovlig betale de angriperne som står for mesteparten av tapene; og selve rapportkanalen slites ned av AI-støy og todelte satser samtidig. Rekordåret 2026 er ikke et bevis på at dusørene har feilet, men på at de dyreste angrepene rutes rundt dem. De største tallene i tapsstatistikken tilhører en kategori bug bounty-modellen per definisjon ikke kan røre.

Det ærlige svaret er derfor verken at bug bounties er bortkastet eller at de er nok. De er ett lag i et forsvar som må ha flere: revisjon før lansering, dusør etter, streng nøkkelhåndtering rundt det hele, og overvåking som fanger det de andre lagene slipper gjennom. Et prosjekt som behandler et høyt tak som en erstatning for de andre lagene, har misforstått hva det har kjøpt.

Retningen er likevel ikke nattsvart. Immunefi absorberer forskere fra nedlagte konkurrenter, Safe Harbor sprer seg, og forsvar i dybden, med revisjon, dusør, overvåking og bedre nøkkelhåndtering i lag, er i ferd med å bli normen; se hvordan forsvaret mot orakel-manipulasjon faktisk begynte å virke for et parallelt eksempel. Amadors formulering er den ærligste oppsummeringen av 2026: bransjen lærer. Den lærer bare i konkurranse med en motpart som lærer minst like fort, og som i økende grad angriper det en dusør aldri var bygget for å beskytte.

Ofte stilte spørsmål

Hva er forskjellen på en bug bounty og en revisjon?

En revisjon er en tidsavgrenset gjennomgang av koden som betales uansett hva den finner, mens en bug bounty er et stående tilbud som bare betaler for faktiske treff. De to utfyller hverandre, og et prosjekt kan bestå en plettfri revisjon og likevel bli tappet, fordi ingen av dem fanger stjålne nøkler eller sosial manipulasjon.

Hvorfor er den faktiske utbetalingen så mye lavere enn det annonserte taket?

Taket er dimensjonert etter verst tenkelige tap, mens utbetalingen dimensjoneres etter påvist skade, ofte rundt ti prosent av verdiene som stod i fare. Immunefis tall viser en median kritisk utbetaling på rundt 20 000 dollar, mens de høyeste takene ligger på 15 til 16 millioner; taket er mest et signal om at prosjektet tar sikkerhet på alvor.

Er en bug bounty skattepliktig i Norge?

Ja. Skatteetaten behandler en kryptodusør som skattepliktig inntekt, verdsatt i kroner på tidspunktet du mottar den. Får du betalt i en volatil token, skylder du skatt av kroneverdien den dagen den lander, selv om tokenen faller i verdi etterpå.

Når blir en white-hat-dusør til ulovlig utpressing?

Grensen handler om hvem som satte betingelsene og om pengene kom fullstendig tilbake. Å utnytte en levende kontrakt og holde igjen midler som pressmiddel er inntrengning etter straffeloven § 204, ikke ansvarlig rapportering, uansett white-hat-etikett; det var nettopp dette Blockstream avviste i Liquid-saken.

Kan et prosjekt betale en dusør til en sanksjonert angriper for å få pengene tilbake?

Nei. Å betale en sanksjonert aktør kan selv være et lovbrudd, og det er derfor de største tapene sjelden kan løses med en recovery-dusør. Børser som Bybit har i stedet betalt uavhengige sporere for å spore og fryse midlene, i stedet for å betale tyven.

Anneke de Vries dekker sikkerhet og exploits for HOGE Wire.