Bug bounty-maskineriet i 2026: hvem avgjør utbetalingen

En kritisk feil i en DeFi-protokoll er verdt nøyaktig så mye som noen er villig til å betale for den, ikke ett øre mer. Det høres opplagt ut, men det er akkurat her de fleste misforstår hvordan bug bounties virker. Tallet du ser på programsiden, de $16 millionene eller de $10 millionene, er et løfte om betaling. Et løfte er ikke det samme som en utbetaling. Mellom løftet og bankkontoen står det et maskineri, og det er maskineriet, ikke tallet, som avgjør hva du sitter igjen med.

Hvordan selve summen regnes ut, taket mot kvitteringen, er en historie for seg. Denne artikkelen handler om noe annet: apparatet som gjør et tak om til penger på en lommebok. Det består av minst seks ledd. Plattformen du melder feilen til. Dommeren som gir rapporten en alvorlighetsgrad. Triage-forhandlingen om hvem som faktisk har rett. Beviset for at pengene finnes. Sanksjons- og KYC-sjekken. Og til slutt den juridiske innpakningen som avgjør om du regnes som en helt eller en innbruddstyv. I 2026 blir hvert av disse leddene bygget om mens vi ser på.

For en norsk leser er innsatsen konkret. Med en dollarkurs rundt 9,4 kroner (Norges Banks referansekurs lå nær 9,36 i slutten av august 2026) er et tak på $16 millioner nesten 150 millioner kroner. Men medianen for en bekreftet kritisk feil på Immunefi er $20 000, altså i underkant av 190 000 kroner, ifølge plattformens egen analyse av 593 programmer. Gapet mellom de to tallene er ikke en tilfeldighet. Det er produsert av maskineriet, og maskineriet er tema her.

Taket er ikke prisen: hvorfor maskineriet avgjør

Web3 har aldri budt på mer penger for feil enn nå. Sherlock anslår at det ligger over $162 millioner i tilgjengelige belønninger fordelt på programmer på tvers av plattformene, med Usual sitt tak på $16 millioner som det høyeste enkeltprogrammet. Det er en imponerende markedsføringsflate. Men en tilgjengelig belønning er ikke en utbetalt belønning, og et tak er et lokketall, ikke en pris.

Den virkelige produksjonen fra maskineriet ser helt annerledes ut. I det samme datasettet på 593 programmer er gjennomsnittlig kritisk utbetaling $114 355 (rundt 1,1 millioner kroner), men medianen er $20 000. Når gjennomsnittet er nesten seks ganger medianen, betyr det at noen få rekordutbetalinger drar snittet opp, mens den typiske forskeren lander langt lavere. Omtrent én av fem bekreftede rapporter blir vurdert som kritisk, og et program som har vært aktivt i fem år har rundt 94 prosent sannsynlighet for å ha funnet minst én betalt kritisk feil. Feilene finnes altså. Spørsmålet er hvor mye maskineriet lar deg ta ut for dem.

Resten av denne artikkelen følger de seks leddene i rekkefølge: plattformen, alvorlighetsdommeren, triagen, beviset for pengene, sanksjonssjekken og den juridiske innpakningen. Deretter ser vi på hvordan 2026 priser hele apparatet om, hvordan det ser ut utenfor Ethereum-verdenen, og hva en norsk forsker faktisk sitter igjen med etter Skatteetaten.

Plattformen: hvor du melder avgjør hva du får

Det første leddet er valget av skinner. Den samme feilen kan gi svært ulikt utfall avhengig av hvilken plattform protokollen har lagt programmet sitt på, fordi plattformene har helt forskjellige forretningsmodeller. Immunefi er den største rene bug bounty-plattformen, med over 92 000 registrerte forskere og mer enn $180 milliarder i verdier under beskyttelse, ifølge selskapets halvårsrapport for 2026. Modellen er kontinuerlig: du melder når som helst, plattformen mekler mellom deg og prosjektet, og betalingen skjer én-til-én.

Sherlock kombinerer konkurranserevisjoner med kontinuerlige bounties og legger et forsikringslag oppå, med kapital bak fra blant andre Nexus Mutual. Cantina, plattformen til revisjonskollektivet Spearbit, er vertskap for tunge programmer som Coinbase og Base ($5 millioner) og Morpho ($2,5 millioner). Noen av de største aktørene hopper over spesialistplattformene helt: Crypto.com kjører sitt $2 millioners program på den generelle HackerOne-plattformen, og flere protokoller driver programmene sine i egen regi. Poenget er at rørleggingen bestemmer mye. På en generalistplattform konkurrerer kryptorapporten din med alt fra nettsidefeil til API-lekkasjer i triagekøen; på en kryptospesialisert plattform blir den vurdert av folk som forstår en reentrancy-feil uten forklaring.

Valget går begge veier, og begge sider driver arbitrasje. Et prosjekt velger plattform ut fra rekkevidde (hvor mange dyktige forskere som faktisk ser programmet), triagekvalitet og hva plattformen tar i avgift. En forsker velger ut fra noe annet: hvor raskt det betales, hvor strenge identitetskravene er, og ikke minst om plattformen historisk har stått opp for forskeren når et prosjekt prøver å presse alvorlighetsgraden ned. Den samme feilen kan derfor være verdt mer på én plattform enn en annen, ikke fordi taket er høyere, men fordi maskineriet rundt taket er mer forutsigbart. Erfarne forskere snakker om dette som ren plattform-arbitrasje: du melder der oddsen for en rettferdig kvittering er best.

Alvorlighetsdommeren: primacy of impact

Når rapporten er inne, må noen bestemme hvilken bås den havner i. Kritisk, høy, middels eller lav alvorlighetsgrad avgjør nesten alt, fordi taket i praksis gjelder bare den øverste båsen. Her styrer et regelverk de fleste forskere kjenner utenat: Immunefis Vulnerability Severity Classification System (v2.3). Bærebjelken kalles «primacy of impact», altså at det er konsekvensen av et vellykket angrep som avgjør graden, ikke hvor teknisk elegant feilen er eller hvor sannsynlig den er å utnytte.

To detaljer i regelverket flytter store beløp. Den første er at «midler i fare» beregnes ut fra situasjonen på tidspunktet rapporten leveres, ikke på et gjennomsnitt eller et historisk toppnivå. Den andre er at kategorien for styringsfunksjoner («governance») ofte klassifiseres høyt, fordi en angriper med privilegert tilgang kan tømme protokollkasser eller endre kritiske parametre. Nettopp den mekanismen så vi utnyttet i praksis da tidslåsen sviktet hos Term Finance, der avstemningen selv ble våpenet. For en forsker betyr klassifiseringen at den samme kodefeilen kan være verdt seks sifre eller fire sifre, avhengig av hvilken funksjon den treffer og hvor mye kapital som lå eksponert akkurat da rapporten ble sendt.

Motstykket til «primacy of impact» er «primacy of rules», der en angriper bare belønnes hvis feilen bryter en eksplisitt nedskrevet regel i programmets omfang. Forskjellen er ikke akademisk. Under et impact-regime kan en uventet angrepsvei som tømmer kassa telle fullt ut, selv om ingen hadde skrevet en regel mot akkurat den veien; under et regel-regime kan den samme feilen avvises fordi den falt utenfor det definerte omfanget. Når et program avviker fra impact-standarden, flytter det risiko fra prosjektet til forskeren, og det er et av de første punktene en erfaren jeger sjekker.

Dommeren er altså ikke nøytral matematikk. Det er et regelverk med tolkningsrom, og tolkningen skjer i neste ledd.

Triage: forhandlingen ingen ser

Triage er der taket møter virkeligheten. Plattformens triage-team, ofte sammen med prosjektets egne utviklere, avgjør om rapporten din er gyldig, om den er duplikat, og hvilken alvorlighetsgrad den ender på. Det er en forhandling, og den foregår bak lukkede dører. Utfallet er ikke gitt selv når feilen er ekte og alvorlig.

Det mest lærerike eksempelet er fortsatt Arbitrum-saken fra september 2022. En whitehat med aliaset Riptide fant en feil i Nitro-sekvenseringen som kunne ha stjålet all innkommende ETH til L1-til-L2-broen, med rundt $470 millioner eksponert. Det annonserte taket var $2 millioner. Utbetalingen ble 400 ETH, den gang verdt drøyt en halv million dollar, altså om lag en fjerdedel av taket. Riptide gikk offentlig ut, og reaksjonen er blitt et referansepunkt i bransjen. «If you post a $2mm bounty, be prepared to pay it when it’s justified. Otherwise just say the max bounty is 400 ETH and be done with it», skrev Riptide, og la til at hackere følger nøye med på hvem som betaler og hvem som ikke gjør det.

Poenget er strukturelt, ikke moralsk. Triagen er der prosjektet kan argumentere ned alvorlighetsgraden, hevde at ikke alle midlene egentlig var i fare, eller peke på at et forsvar ville stoppet angrepet. Hver av disse argumentene flytter deg fra kritisk til høy, og fra taket til en brøkdel. Maskineriet gir prosjektet siste ord i denne runden, og det er nettopp derfor et program uten en tydelig tvisteløsning er en risiko for forskeren, ikke bare en formalitet.

Triagen rommer også to andre feller. Den første er duplikater: melder to forskere samme feil, får som regel bare den første betalt, og «først» avgjøres av tidsstempelet på en kryptert innsending, ikke av hvem som forsto feilen best. Den andre er tid. På travle programmer kan det ta uker før en rapport blir vurdert, og i mellomtiden ligger forskeren med en aktiv, uutbetalt sårbarhet hen ikke kan snakke om. Jo tregere triage, desto større er fristelsen for en utålmodig forsker til å søke andre, mindre lovlige utganger, og det er en risiko prosjektet selv skaper ved å la køen vokse.

Beviset for at pengene finnes: vaults og utbetalingsvaluta

Et tak er verdiløst hvis kassa er tom. Derfor har plattformene bygget mekanismer for å bevise betalingsevne på forhånd. Immunefi tilbyr et vault-system der prosjektet låser midler synlig on-chain, slik at forskeren kan se at pengene bak taket faktisk eksisterer før hen bruker uker på et angrep. Det høres teknisk ut, men det løser et reelt tillitsproblem: uten et slikt bevis er programsiden bare et løfte fra en anonym gruppe.

Enda viktigere for kvitteringen er hvilken valuta du får betalt i. Mange programmer betaler helt eller delvis i prosjektets egen token. Det skaper en fælle: en whitehat som melder en alvorlig feil, presser ofte tokenprisen ned ved selve avsløringen, og blir så betalt i den samme fallende tokenen. Immunefis egen skadeanslagsanalyse anslår at en tokenpris i snitt faller 61 prosent i løpet av seks måneder etter et hack, og at 84 prosent av prosjektene aldri henter seg inn igjen. En belønning som ser ut som $200 000 på papiret kan være verdt en brøkdel når vesting-perioden er over, akkurat som obduksjonen av en belønningstoken uten inntekt har vist for hele klassen av tokens som ble delt ut i store mengder og siden kollapset. De mest seriøse programmene betaler derfor i stablecoin eller i USD-ekvivalent låst til kursen på rapporttidspunktet. For forskeren er dette ikke en detalj, men forskjellen på en reell kvittering og en papirbelønning.

Noen programmer legger dessuten inn låseperioder på utbetalingen, slik at forskeren ikke kan selge tokenene med en gang. Argumentet er å hindre at en whitehat presser prisen ytterligere ned rett etter avsløringen. Effekten er at forskeren bærer markedsrisikoen i prosjektets token gjennom hele låseperioden, uten å ha bedt om den eksponeringen. En rasjonell jeger priser derfor inn både utbetalingsvaluta og eventuell låsetid før hen i det hele tatt begynner, på samme måte som en långiver priser inn kredittrisiko.

Kan de betale deg lovlig? KYC, sanksjoner og Bybit-veggen

Neste ledd handler ikke om vilje, men om lov. For å betale ut et større beløp må plattformen som regel kjenne mottakeren: KYC, skjemaer og noen ganger identitetskontroll. For forskere som verdsetter anonymitet er dette et reelt friksjonspunkt, og det er en av grunnene til at noen velger programmer med lavere KYC-terskel selv når taket er lavere.

Sanksjonssjekken kan blokkere en utbetaling helt. Det tydeligste eksempelet er Bybit-hacket i februar 2025, tidenes største med $1,5 milliarder i ETH, tilskrevet den nordkoreanske Lazarus-gruppen. Man kan ikke lovlig betale en dusør til en sanksjonert tyv. Bybit snudde derfor modellen: i stedet for å betale angriperen, betalte børsen tredjeparter, altså sporere og analytikere, for å følge og fryse midlene. Det illustrerer at gjenopprettingsdusøren, recovery bounty, finnes i to arter: «betal tyven for å levere tilbake» og «betal jegerne for å hente hjem». Bare den siste er lovlig når motparten er en sanksjonert eller nasjonalstatlig aktør, og de to artene følger helt ulike regler for utbetaling.

Grensen mot ren utpressing er tynn og omstridt. Da en angriper i 2024 utnyttet en feil hos Kraken og nektet å levere tilbake uten betaling, kalte børsens sikkerhetssjef Nick Percoco det noe helt annet enn et bug bounty: “This is not white-hat hacking, it is extortion”, sa han til CoinDesk. Skillet handler om hvem som satte vilkårene, hvor raskt og fullstendig midlene ble returnert, og om beløpet fulgte en norm (typisk ti prosent) eller ble krevd under trussel. For utbetalingsmaskineriet er dette avgjørende: den samme handlingen kan ende som en legitim dusør eller som en straffbar utpressing, avhengig av hvem som styrte forhandlingen.

Et beslektet poeng er at mange av de store 2026-hendelsene ikke var kodefeil i det hele tatt, men kompromitterte nøkler. Når en bro eller en multisig blir tømt fordi signeringsnøklene lekket, hjelper ingen alvorlighetsklassifisering; da handler forsvaret om hvordan nøklene deles og oppbevares, noe vi har brutt ned i gjennomgangen av MPC mot multisig. For utbetalingsmaskineriet betyr det at et bug bounty aldri dekker hele risikoen; det dekker den delen av risikoen som ligger i koden.

Den juridiske innpakningen: Safe Harbor uten norsk lov

Det siste og mest oversette leddet er juss. Hva skiller en whitehat fra en kriminell når begge har utnyttet den samme feilen? Svaret ligger i den juridiske innpakningen rundt handlingen, og den er langt tynnere enn de fleste tror. Sikkerhetsalliansen SEAL, grunnlagt av Paradigm-forskeren samczsun, har forsøkt å tette hullet med en Whitehat Safe Harbor Agreement: en avtale prosjekter kan vedta på forhånd, som gir en forsker lov til å gripe inn under et aktivt angrep dersom hen returnerer midlene innen 72 timer og tar en dusør på ti prosent av det reddede, opp til et tak på $1 million. Uniswap, Balancer og Polymarket er blant dem som har vedtatt den.

To svakheter er verdt å merke seg. For det første er taket på $1 million uforholdsmessig lavt ved ni-sifrede hack: en forsker som redder $200 millioner får en brøkdel av en prosent. For det andre er avtalen en privat kontrakt, ikke lov. For en norsk forsker finnes det ikke noe tilsvarende «safe harbor» i lovverket. Uautorisert tilgang til et datasystem rammes av straffeloven § 204 om innbrudd i datasystem, med bøter eller fengsel inntil to år, uavhengig av gode hensikter. Finanstilsynet regulerer krypto-tjenestetilbydere (CASP-er) under MiCA slik det er innlemmet i EØS-avtalen, men verken tilsynet eller MiCA regulerer selve hackingen eller dusørutbetalingen. Den norske forskerens risiko er altså strafferettslig, ikke markedsregulatorisk, og «tillatelse på forhånd» fra prosjektet er det eneste som flytter handlingen fra innbrudd til tjeneste.

2026: da maskineriet ble priset om

Alle leddene over har vært stabile i noen år. I 2026 endrer flere av dem seg samtidig, og drivkraften er en flom av lavkvalitets- og AI-genererte rapporter. Da triagekostnaden eksploderte, begynte plattformene å prise om selve tilgangen til belønningene. Det tydeligste signalet kom utenfor krypto: 27. juli 2026 kuttet GitHub de offentlige utbetalingene til faste $250, $2 000, $5 000 og $10 000 for lav, middels, høy og kritisk, og flyttet toppbeløpene til et permanent, invitert VIP-nivå.

Mønsteret er gjenkjennelig i krypto. Immunefi bruker «stake-to-submit» og triagefiltre for å demme opp for støyen, og har bygget et invitert eliteforum, All Stars, der de mest produktive forskerne får bedre vilkår. Ved utgangen av mars 2026 hadde plattformen betalt ut rundt $134 millioner totalt og talte 166 aktive elite-forskere, ifølge en oppdatering for første kvartal. Immunefi-grunnlegger Mitchell Amador har beskrevet målet som å bygge «a long-term community of the absolute best elite researchers», ifølge The Block. Effekten er en todeling: eliten fanger millionene, mens massen sorterer AI-slop for krympende offentlige belønninger.

Bransjen har fått et eget ord for problemet, «sloptimism»: AI-genererte rapporter sendt raskt og håpefullt, der innsenderen stoler mer på modellens tekst enn på bevisene under. Kostnaden faller ikke bare på plattformene, men på de ærlige forskerne. Når triage-teamet drukner i maskingenerert støy, blir køen lengre for alle, også for den reelle kritiske feilen som ligger og venter på vurdering. Omprisingen i 2026 er dermed ikke bare en innsparing; den er et forsøk på å gjøre det dyrere å sende søppel og billigere å belønne det som teller, ved å flytte de virkelige pengene bak en invitasjon som ikke kan automatiseres.

Presset er ikke unikt for krypto. Da curl-skaperen Daniel Stenberg la ned prosjektets bug bounty i januar 2026, pekte han på tre trender: «the mind-numbing AI slop, humans doing worse than ever and the apparent will to poke holes rather than to help». For utbetalingsmaskineriet betyr 2026-omprisingen at det offentlige nivået blir billigere og tregere, mens de reelle pengene i økende grad ligger bak en invitasjon.

Utenfor EVM: Solana, Move og et tynnere sikkerhetsnett

Maskineriet er bygget for Ethereum-verdenen først. Det meste av verktøyene, klassifiseringssystemene og de store takene er skrudd sammen rundt Solidity og EVM-kjeder. Utenfor den verdenen er sikkerhetsnettet tynnere. Solana-programmer og Move-baserte kjeder (Aptos, Sui) har egne bounty-programmer, men taket ligger typisk lavere enn hos de største EVM-programmene, og antallet spesialiserte revisorer og triagere er mindre.

Det har praktiske konsekvenser for kvitteringen. Færre forskere som behersker Rust eller Move betyr færre øyne, lengre triagekøer og større spredning i hvordan alvorlighetsgrad tolkes. Samtidig er verdiene som beskyttes reelle: Solanas DeFi- og NFT-økosystem har vokst kraftig, og konsolideringen i sektoren, som da Coinbase kjøpte Vector og etterlot spørsmål rundt Tensor, viser hvor mye kapital som nå ligger utenfor Ethereum. For en forsker er dette både en mulighet og en risiko: mindre konkurranse om feilene, men et mindre modent maskineri til å betale for dem. Den som spesialiserer seg på ikke-EVM-kjeder i 2026 satser på at takene og triagemodenheten tar igjen kapitalen som allerede har flyttet dit.

Konkurranse mot kontinuerlig: to måter å kjøpe sikkerhet

Maskineriet har to grunnleggende innkjøpsformer, og de betaler forskjellig. Den kontinuerlige bounty-modellen er den de fleste tenker på: taket står ute permanent, og den som først melder en gyldig feil får belønningen. Konkurransemodellen fungerer motsatt: prosjektet legger ut en fast pott for et tidsavgrenset kappløp, og alle deltakerne, ofte kalt «wardens», deler potten etter hvor mange og hvor alvorlige feil de finner. Uniswap v4 illustrerte forskjellen ved å prise den samme koden på to måter: en konkurranse før lansering med en pott i millionklassen, og et kontinuerlig program på $15,5 millioner etterpå.

2026 ble året konkurransemodellen kom under press. Code4rena, en av de mest kjente konkurranseplattformene, annonserte i mai at driften legges ned, og Immunefi overtar kundene og forskerne. Det er en konsolidering av selve skinnene: den kontinuerlige plattformen svelger konkurranseplattformen. Sherlock-medgrunnlegger Jack Sanford har oppsummert hvorfor ingen enkelt form holder alene: «Point-in-time audits are indispensable, but they were never meant to carry the entire burden of security», sa han til Crypto Briefing. Bounties, konkurranser og en tredje form, offensiv testing på oppdrag, dekker ulike hull. Hvordan den tredje formen skiller seg fra crowdsourcede dusører, har vi sett på i gjennomgangen av red teaming hos Halborn.

Rekordene og medianen: hva tallene faktisk sier

Rekordene er maskineriets utstillingsvindu. Den største enkeltutbetalingen i kryptohistorien er fortsatt de $10 millionene Wormhole betalte forskeren satya0x i 2022, for en feil i oppgraderingsmekanismen som kunne gitt en angriper kontroll over bro-kontraktene, via Immunefi. Det høyeste taket noensinne er Usuals $16 millioner, lansert i mars 2026 og omtalt som det største i teknologihistorien. Slike tall selger programmer og signaliserer at et prosjekt tar sikkerhet på alvor.

Den typiske virkeligheten er en annen. Immunefi betalte ut rundt $13,45 millioner (om lag 126 millioner kroner) fordelt på 837 gyldige feil i første halvår 2026, altså i snitt rundt $16 000 per rapport, mens samme periode så $972 millioner stjålet i 207 hendelser, det høyeste antallet angrep som er registrert. Tabellen under viser avstanden mellom utstillingsvinduet og hverdagen.

Gapet mellom $16 millioner og $20 000 er ikke en anomali. Det er hele historien om maskineriet: takene er bygget for å signalisere, medianen for å betale.

Sett fra prosjektets side er selv en median på $20 000 billig. Immunefis skadeanslag setter gjennomsnittlig direkte tyveri ved et hack til rundt $24,5 millioner, med en median på $2,2 millioner, og de fleste prosjekter henter seg aldri helt inn igjen. En kritisk feil som fanges før den utnyttes, koster altså en brøkdel av skaden den forhindrer. Det er denne asymmetrien, en forsikringspremie på noen hundre tusen kroner mot et tap på titalls millioner, som gjør at bug bounties overlever selv når enkeltutbetalinger virker små. Problemet er at premien er synlig og umiddelbar, mens skaden er hypotetisk, og mange prosjekter underbetaler helt til dagen de ikke lenger kan.

Hva en norsk forsker sitter igjen med etter skatt

Kvitteringen er ikke ferdig før Skatteetaten har fått sitt. En bug bounty er skattepliktig inntekt i Norge, uansett om den utbetales i dollar, stablecoin eller en prosjekt-token. To ting er verdt å forstå før pengene kommer. Det første er at en utbetaling i krypto verdsettes til markedsverdien i kroner på mottakstidspunktet, og det er den verdien du skatter av, selv om tokenen deretter faller. Kombinert med vesting og fallende tokenpriser betyr det at en norsk forsker i verste fall kan skatte av en verdi hen aldri fikk realisert. Det er nok et argument for å kreve utbetaling i stablecoin.

Det andre er skillet mellom hobby og virksomhet. En engangsdusør behandles gjerne som annen inntekt, mens systematisk feiljakt over tid kan bli vurdert som virksomhet, med de pliktene og fradragene det medfører. Skatteetaten krever uansett at inntekten føres i skattemeldingen, og at kryptobeholdningen oppgis. For den som lever av dette, er den skattemessige klassifiseringen like viktig for netto kvittering som alvorlighetsgraden var for brutto. Maskineriet slutter altså ikke ved plattformen; det siste leddet sitter i Oslo.

Slik leser du et program før du bruker en time på det

Erfarne forskere leser aldri bare taket. De leser maskineriet bak, og de gjør det før de bruker en eneste time på angrepet. En rask sjekkliste fanger de fleste fellene denne artikkelen har beskrevet:

• Utbetalingsvaluta: stablecoin eller USD-låst er trygt; ren prosjekt-token er en risiko.
• Bevis for midler: finnes det en vault eller annet on-chain-bevis for at pengene bak taket eksisterer?
• Alvorlighetsregelverk: følger programmet «primacy of impact», og hvordan defineres «midler i fare»?
• Tvisteløsning: finnes det en tydelig prosess eller voldgift hvis triagen er uenig med deg?
• Safe Harbor: har prosjektet vedtatt en avtale som gjør inngripen under et aktivt angrep lovlig?
• KYC og sanksjoner: hvilke identitetskrav gjelder, og kan de faktisk betale deg dit du bor?
• Responstid: hvor lang er triagekøen, spesielt på plattformer rammet av AI-slop?

Ingen av disse punktene handler om selve feilen. De handler om maskineriet, og de avgjør hvor mye av taket som faktisk når frem til deg. En forsker som hopper over sjekklisten kan bruke en uke på en kritisk feil og oppdage for sent at programmet betaler i en token som allerede har kollapset, eller at det ikke finnes noen vei til utbetaling for noen med norsk bostedsadresse.

Maskineriet, ikke tallet

Bug bounties fungerer. De omdirigerer talent bort fra svartehatt-siden, de finner feil før angriperne gjør det, og de har betalt ut over én milliard kroner i kritiske belønninger alene. Men de gjør det gjennom et apparat, ikke gjennom et tall. Plattformen velger skinnene, dommeren velger båsen, triagen forhandler summen, vaulten beviser pengene, sanksjonssjekken avgjør lovligheten, og jussen avgjør om du er helt eller tyv. Skatteetaten tar det siste ordet.

I 2026 blir hvert av disse leddene bygget om samtidig: AI-slop presser de offentlige nivåene ned, invitasjoner løfter eliten opp, konkurranseplattformer konsolideres inn i de kontinuerlige, og de virkelig store verdiene flytter delvis utenfor EVM der maskineriet ennå er umodent. For den som vil forstå hva en feil faktisk er verdt, holder det ikke å lese taket. Man må lese maskineriet.

Frequently Asked Questions

Hva er forskjellen på et bug bounty og en recovery bounty?

Et bug bounty er en forebyggende belønning: en forsker melder en feil før den utnyttes, og prosjektet betaler for varselet. En recovery bounty er en belønning etter et hack, betalt for å hente hjem allerede stjålne midler, enten ved å betale angriperen for å levere tilbake eller ved å betale tredjeparter for å spore og fryse. Det siste er den eneste lovlige veien når motparten er en sanksjonert aktør, slik som ved Bybit-hacket.

Hvor mye betaler et kritisk bug bounty egentlig i 2026?

Takene når $16 millioner, men det er lokketall. Medianen for en bekreftet kritisk feil på Immunefi er $20 000 (i underkant av 190 000 kroner), og gjennomsnittet $114 355. Noen få rekordutbetalinger drar snittet opp, mens den typiske forskeren lander langt lavere. Immunefi betalte i snitt rundt $16 000 per gyldig rapport i første halvår 2026.

Kan jeg bli straffet i Norge for å teste en protokoll uten tillatelse?

Ja. Uautorisert tilgang til et datasystem rammes av straffeloven § 204 om innbrudd i datasystem, med bøter eller fengsel inntil to år, uavhengig av gode hensikter. Norge har ingen «safe harbor» i lovverket. Bare forhåndstillatelse fra prosjektet, for eksempel gjennom et program med tydelig omfang eller en Safe Harbor-avtale, flytter handlingen fra innbrudd til godkjent testing.

Hvorfor betalte Arbitrum bare 400 ETH når taket var 2 millioner dollar?

Fordi taket gjelder i triagen, ikke automatisk. Etter at forskeren Riptide fant en feil som eksponerte rundt $470 millioner, endte utbetalingen på 400 ETH, den gang omtrent en fjerdedel av det annonserte taket på $2 millioner. Triage-forhandlingen om alvorlighetsgrad og faktisk risiko avgjorde summen, ikke tallet på programsiden. Saken er blitt et referansepunkt for hvorfor forskere sjekker et prosjekts betalingshistorikk før de melder.

Må jeg skatte av en bug bounty i Norge?

Ja. En bug bounty er skattepliktig inntekt og skal føres i skattemeldingen. Utbetaling i krypto verdsettes til markedsverdien i kroner på mottakstidspunktet, og det er den verdien du skatter av, selv om tokenen senere faller. Systematisk feiljakt kan bli vurdert som virksomhet, mens en engangsdusør gjerne behandles som annen inntekt. Skatteetaten krever også at kryptobeholdningen oppgis.

Anneke de Vries dekker sikkerhet og exploits for HOGE Wire.