Bug bounty på Solana og Move i 2026: en annen prisliste

Den 25. februar 2026 varslet sikkerhetsselskapet Hexens om en feil dypt inne i Move-VM-en som driver Aptos. En såkalt «stale cache»-feil lot en angriper kapre strukturer og autoritetsressurser rett på kjeden. Prisen for å bevæpne den var lav: rundt 3 000 dollar i serveroppsett, noen få hundre dollar per forsøk og nesten 90 prosent treff i simuleringer. Verdien som sto i fare, anslo Hexens til 70 milliarder dollar, i størrelsesorden 640 milliarder kroner, spredt over stablecoins, broer og DeFi bygget på Aptos. Nettverket rullet ut en rettelse på mainnet i løpet av timer og la ut en offentlig pull request 27. februar, ifølge Crypto Briefing.

Forskeren bak funnet kunne solgt feilen på et gråmarked for langt mer enn dusøren Aptos betaler. Valget falt likevel på ansvarlig varsling. Det er hele poenget med en bug bounty: å gjøre den ærlige veien mer lønnsom enn den kriminelle. Men både prislisten, feiltypene og selve redningsmannskapet ser annerledes ut i det du forlater Ethereum og EVM-verdenen og går inn i Solana og Move-kjedene Sui og Aptos.

HOGE Wire har tidligere sett på hvem som egentlig betaler regningen etter et hack. Denne gangen tegner vi kartet utenfor EVM: hva en feil faktisk er verdt på Solana, Sui og Aptos i 2026, hvem som jakter dem, og hvorfor «kvitteringen» sjelden ligner på «taket» som står annonsert. Dollartall er omregnet til kroner med en dollarkurs på rundt 9,2 i september 2026.

Hvorfor en bug bounty ser annerledes ut utenfor EVM

På Ethereum og de andre EVM-kjedene er sikkerhetsverdenen moden og standardisert. Kontrakter skrives i Solidity, verktøykjeden er felles (OpenZeppelin, Slither, Foundry), og den klassiske feilen alle leter etter er reentrancy. Takene er enorme: Uniswap v4 annonserer 15,5 millioner dollar, LayerZero 15 millioner og Sky 10 millioner, ifølge Sherlocks oversikt over de best betalte programmene i 2026. Det samlede bug bounty-markedet passerte 162 millioner dollar i tilgjengelige belønninger, men de tyngste postene på den listen er nesten uten unntak EVM-protokoller. Kartet er med andre ord tegnet av og for Ethereum-verdenen.

Solana er skrevet i Rust og bruker en helt annen kjøremodell, der programmer i utgangspunktet er tilstandsløse og opererer på kontoer som sendes inn i hver transaksjon. Move-kjedene Sui og Aptos bruker et ressursorientert språk der eiendeler er innebygde objekter med regler for hvordan de kan flyttes. Andre språk gir andre feil, andre jegere og andre tak. Immunefi, den største plattformen, betalte ut rundt 13,45 millioner dollar (om lag 124 millioner kroner) for 837 gyldige feil i første halvår 2026, og passerte 140 millioner dollar i samlede utbetalinger, ifølge tall gjengitt av The Block. Men det meste av den infrastrukturen er tegnet for EVM. Utenfor den er terrenget et annet.

Mitchell Amador, grunnlegger og sjef i Immunefi, oppsummerte året slik: «Crypto security is adversarial, and it never stops evolving. The honest read on the numbers is simple: the industry is learning.» Læringen ser bare litt ulik ut avhengig av hvilken kjede du står på.

For en leser som vurderer å begynne med feiljakt, eller bare vil forstå hvorfor sikkerhet koster det den koster, er poenget dette: en dusør er en pris satt i et marked, og markedet utenfor EVM har andre kjøpere, andre selgere og andre varer. Resten av denne gjennomgangen ser på hver del av det markedet i tur og orden, fra feiltypene og prislistene til hvem som faktisk henter ut pengene.

Solanas kontomodell: en helt annen katalog av feil

På Ethereum bærer selve kontrakten sin egen tilstand. På Solana ligger dataene i separate kontoer, og programmet får dem overlevert som argumenter i hver transaksjon. Det betyr at programmet selv må verifisere at hver eneste konto det får, faktisk er den kontoen det tror. Glemmer utvikleren en sjekk, åpner det for en helt egen familie av feil som EVM-utviklere sjelden møter. En utviklerguide fra Cantina og en akademisk kartlegging hos Emergent Mind beskriver de samme kjerneklassene. Et konkret eksempel: skal et program utbetale fra sitt eget hvelv, men glemmer å sjekke at hvelv-kontoen det får inn faktisk eies av programmet, kan en angriper sende inn sitt eget falske hvelv og lede utbetalingen til seg selv. På Ethereum er slikt eierskap implisitt i kontrakten; på Solana må hver kobling verifiseres eksplisitt, og det er nettopp de glemte eksplisitte sjekkene bug bounty-jegerne lever av.

Den viktigste enkeltdetaljen er at Rust bare sjekker heltallsoverflyt i debug-modus, ikke i release-modus, og Solana kjører release som standard. Et rammeverk kalt Anchor, som ligger under godt over 88 prosent av utplasserte Solana-programmer, automatiserer mange av signatur- og eiersjekkene og har dempet de vanligste feilene betraktelig. Men der utviklere skriver rå Rust uten Anchor, eller antar at rammeverket dekker mer enn det gjør, dukker de klassiske hullene fortsatt opp.

Disse feilene er ikke teoretiske. Flere av de dyreste Solana-hendelsene, som vi kommer tilbake til, sporer rett tilbake til én av radene i tabellen under: en glemt eier- eller signatursjekk, en type som ble forvekslet, eller et tall som fikk lov til å renne over. For en bug bounty-jeger er tabellen derfor ikke en ordliste, men en jaktliste.

Poenget for en feiljeger er at ferdighetene fra Solidity ikke oversettes rett over. Å finne en manglende eiersjekk i et Anchor-program krever et annet blikk enn å finne en reentrancy i en Solidity-kontrakt. Det former hvem som jakter, og hvor mye arbeidet er verdt.

Neodyme og feilen som satte 2,6 milliarder dollar i fare

Ingen enkelthistorie illustrerer avstanden mellom tak og kvittering på Solana bedre enn arbeidet til det tyske sikkerhetsselskapet Neodyme, grunnlagt i 2021 av forskere som begynte å pirke i Solana-validatorer året før. I løpet av halvannet til to og et halvt år rapporterte de langt over 80 feil i selve Solana-kjernen, alle gjennom Solanas bug bounty-program. En av dem, en hash-kollisjon mellom Program Derived Addresses og seeded kontoer som kunne latt en angriper endre beskyttede programhvelv, ble meldt inn i juni 2021 og rettet i løpet av én eneste dag. En annen, som selskapet døpte «Nonce Upon a Time», lå i Solanas durable nonces (mekanismen for å signere transaksjoner uten å være på nett) og kunne i verste fall ha ført til totalt tap av midler dersom den hadde blitt utnyttet før den ble rettet.

Den største fangsten kom i desember 2021. Neodyme koordinerte avsløringen av en aritmetisk feil i SPL Token Lending, standardbiblioteket bak en rekke Solana-långivere. Mekanismen var enkel: en bruker som satte inn n andeler, kunne ta ut n pluss én. Feilen kunne latt en angriper tømme flere protokoller for rundt 27 millioner dollar i timen, og den samlede verdien som sto i fare ble anslått til 2,6 milliarder dollar, nesten 24 milliarder kroner, fordelt på blant andre Solend, Tulip og Larix, ifølge Bitcoin.com. Alle teamene rettet koden i arkitekturen sin over noen dager i begynnelsen av desember.

Her ligger den ubehagelige matematikken. Et funn som forhindret et tap på flere milliarder dollar, kunne ikke belønnes med en tilsvarende dusør, rett og slett fordi ingen enkelt Solana-bounty i 2021 var i nærheten av den størrelsen. Neodyme bygde i stedet en langsiktig kontrakt som fast granskingspartner for stiftelsen og driver i dag en åpen Solana-sikkerhetsverksted for nye forskere. Kvitteringen ble en karriere, ikke en engangssjekk. Det er et gjennomgangstema utenfor EVM: taket forteller sjelden hele historien.

Prislisten på Solana: fra «slå av Solana» til Kamino

Selve Solana-protokollen prises av Solana Foundation. Programmet deres tilbyr til sammen 2 millioner dollar i låst SOL (med tolv måneders bindingstid), med opptil 1 million dollar for konsensusbrudd og sikkerhetsfeil og 400 000 dollar for feil som kan partisjonere nettverket. Da beløpet ble annonsert, formulerte Jacob Creech, den gang ansvarlig for utviklerrelasjoner, det uformelt på X: «Fyi there’s a $400k reward for anyone that can find code that can turn off Solana.» Kategoriene omfatter tyveri uten brukersignatur, uautoriserte overføringer, angrep på stemmeprogrammet som tapper delegert stake, og fjernangrep som deler nettverket, ifølge CryptoPotato. At belønningen utbetales i SOL med tolv måneders binding er ikke tilfeldig: det knytter forskerens interesse til at nettverket forblir sunt også etter at feilen er rettet, framfor en ren engangsutbetaling i kontanter.

På applikasjonsnivå kom det store hoppet i oktober 2025, da långiveren Kamino lanserte det som ble kalt Solanas største bug bounty: opptil 1,5 millioner dollar, nesten 14 millioner kroner. Strukturen er verdt å merke seg. En kritisk feil betaler 10 prosent av midlene som direkte står i fare, opp til 1,5 millioner dollar, men med et uvanlig høyt gulv på 150 000 dollar (rundt 1,4 millioner kroner) for å hindre at forskere holder tilbake et funn. Høy alvorlighet betaler opptil 100 000 dollar, medium en flat sats på 10 000, ifølge Coinspeaker.

Ett unntak rager over resten: Wormhole. Broen mellom Solana og Ethereum betalte i februar 2022 ut 10 millioner dollar til forskeren satya0x for et funn, fortsatt den største enkeltdusøren i kryptohistorien. Men Wormhole er nettopp en bro, ikke en ren Solana-app, og størrelsen forklares av hvor mye verdi som beveger seg over den.

Hvorfor Solana-takene har vært lavere enn på Ethereum

Tre ting drar Solana-tak ned sammenlignet med EVM. For det første har låst verdi historisk vært mindre, og siden de fleste tak beregnes som en andel av midlene i fare, gir mindre verdi lavere tak. For det andre er forskerbassenget mindre og mer spesialisert: Rust og kontomodellen er en høyere inngangsbarriere enn Solidity. For det tredje, og mer overraskende, kan Solana-programmer rett og slett ha færre av de dyreste feilene. Regnestykket er mekanisk: når et program lover 10 prosent av midlene i fare opp til et tak, blir taket bare relevant dersom det faktisk står nok verdi på spill. Et Solana-program med 50 millioner dollar i låst verdi kan annonsere et tak på flere millioner, men vil i praksis sjelden betale mer enn 10 prosent av det som konkret kunne gått tapt i den enkelte feilen.

Robert Chen, grunnlegger av sikkerhetsselskapet OtterSec, har luftet nettopp den tanken. «One theory is that programs on Solana are fundamentally more secure because of the programming model», sa han i et intervju gjengitt av SolanaFloor, og pekte på at «there’s no re-entrancy on Solana, which mitigates a pretty large attack surface». Tallene han viste til er slående: ifølge DefiLlama-data i samme sak tapte EVM-nettverk 792,6 millioner dollar til hacks gjennom 2024, mens Solana tapte 33,5 millioner, hvorav 14,8 millioner stammet fra et angrep på Rain-børsen som traff flere kjeder.

Chen la selv til den viktige forbeholdet: «Any sort of economic exploit is VM agnostic.» Det stemmer godt med historien. Flere av Solanas dyreste hendelser var ikke kodefeil i tradisjonell forstand, men orakel- og prismanipulasjon, den samme klassen angrep vi har beskrevet i den eldste orakel-feilen som fortsatt funker i 2026. En tryggere kjøremodell beskytter mot reentrancy, men ikke mot en angriper som blåser opp en pris og låner mot luft.

Kvitteringen: hva Solana faktisk har betalt ut

Ser man på hva som konkret har skiftet hender på Solana, tegner det seg et mønster som skiller seg fra EVM. Den vanligste «utbetalingen» har ikke vært en forebyggende dusør, men en forhandlet retur etter et angrep, der en angriper får beholde en andel mot å levere resten tilbake. Delvis fordi de store forebyggende programmene kom sent til Solana, ble den økonomiske virkeligheten lenge preget av oppgjør etter at skaden var skjedd, ikke belønninger som forhindret den. En oversikt hos Helius dokumenterer rekken.

Cashio ble i mars 2022 tømt for 52,8 millioner dollar gjennom en manglende validering av mint-feltet i collateral-kontoer, en lærebokversjon av typeforvirring; angriperen leverte senere 27,8 millioner tilbake til de minste kontoene. Crema Finance mistet 8,8 millioner i juli 2022 til falske tick-kontoer som omgikk eiersjekken, og fikk 7,2 millioner tilbake, mens angriperen beholdt 45 455 SOL, rundt 1,6 millioner dollar, som selverklært white hat-dusør. Loopscale ble i april 2025 tappet for 5,8 millioner via prismanipulasjon, og hele beløpet var tilbake innen 72 timer etter at angriperen beholdt 10 prosent (3 947 SOL) og ble fritatt for ansvar, ifølge The Block.

Merk også hva som ikke står i tabellen. Slope-lommeboken lekket 8 millioner dollar i august 2022, men det var ikke en kodefeil i en kontrakt: appen sendte krypterte frøfraser til en sentral logg-server. Slike nøkkelkompromitteringer er en egen kategori vi har sett igjen og igjen, blant annet i lærdommen fra Radiant-tyveriet, og de faller utenfor det en bug bounty er bygget for å fange.

Mønsteret i tabellen er tydelig. Der EVM-verdenen kan vise til enkelte enorme forebyggende utbetalinger, har Solanas historie i større grad handlet om å få tilbake det som allerede var tapt, ofte mot en andel på ti prosent. Det er en svakere form for sikkerhet: en forhandlet retur forutsetter at angriperen er villig til å snakke, at midlene ikke allerede er hvitvasket, og at ingen sanksjonsliste står i veien for en lovlig utbetaling. Jo større summer og jo mer profesjonelle angripere, desto oftere brister alle tre forutsetningene.

Move-kjedene: tryggere av design, men ikke feilfrie

Sui og Aptos deler språket Move, som ble utviklet med sikkerhet som salgsargument. Eiendeler er ressurser: innebygde objekter som ikke kan kopieres eller kastes ved et uhell, håndhevet av en lånesjekker (borrow checker) i kompilatoren. Det er ingen reentrancy i den formen EVM kjenner, og begge kjedene har tilgang til Move Prover, et verktøy for formell verifisering som matematisk kan bevise egenskaper ved koden. Ressursmodellen gjør at en token ikke kan oppstå eller forsvinne ved et uhell: den må eksplisitt opprettes, flyttes eller ødelegges etter regler kompilatoren håndhever. På papiret er dette et tryggere fundament enn Solidity, der utvikleren selv må holde balanseregnskapet i orden.

I praksis flytter feilene seg bare. Aptos-feilen Hexens fant i februar 2026 lå i selve Move-VM-en, ikke i en enkeltkontrakt, og kunne ifølge selskapet satt 70 milliarder dollar i systemisk fare. Den ble bekreftet uavhengig av Polygons teknologidirektør Mudit Gupta, og forskeren valgte varsling framfor et gråmarked der feilen kunne vært verdt langt mer. Aptos betaler opptil 1 million dollar for kritiske funn. Sui Foundation driver på sin side et Immunefi-program der de mest alvorlige kategoriene omfatter tap av brukermidler og det å overskride den maksimale forsyningen på 10 milliarder SUI og kreve overskuddet, ifølge Sui-stiftelsens egen kunngjøring.

Programmene er også organisert ulikt. Aptos kjører deler av dusørarbeidet gjennom plattformen HackenProof, der taket for enkelte kategorier ligger nærmere 250 000 dollar, mens de mest kritiske kjernefunnene løftes høyere. Sui holder seg på Immunefi. For en jeger betyr det at man må lære seg ikke bare to nye språk, men også hvor de ulike programmene bor og hvilke regler for proof of concept som gjelder på hver plattform.

Lærdommen er at «tryggere av design» ikke betyr «feilfri». En ressursmodell fjerner en hel klasse feil, men aritmetiske feil, logiske feil og feil i selve den virtuelle maskinen består. Og når feilen ligger i VM-en, er innsatsen hele kjeden på én gang.

Cetus: da 114 validatorer ble redningsmannskapet

Det tydeligste beviset kom 22. mai 2025, da Sui-børsen Cetus ble tømt for over 220 millioner dollar, over 2 milliarder kroner. Rot-årsaken var en heltallsoverflyt i et delt matematikkbibliotek for likviditetsberegninger; angriperen manipulerte en pool-parameter med en ekstremt stor verdi og fikk systemet til å tro at et bittelite innskudd var enormt, forklarer Crypto.news. Nettopp den typen release-overflyt vi beskrev i feiltabellen over.

Det som fulgte, finnes ikke i EVM-verktøykassen. Cetus tilbød angriperen en white hat-dusør på 6 millioner dollar (rundt 55 millioner kroner) for å levere tilbake. Samtidig gjorde Sui noe langt mer kontroversielt: nettverkets validatorer rullet ut oppdatert kode som lot dem fryse rundt 163 millioner dollar av de stjålne midlene gjennom en usignert transaksjon, ifølge Cointelegraph. Rundt 60 millioner rakk angriperen å bygge over til Ethereum, en flukt som følger det samme mønsteret vi har fulgt etter bro-hackene. Senere stemte SUI-samfunnet over et forslag om å returnere de frosne midlene til brukerne, en avstemning som i seg selv understreket hvor mye makt validatorene og de største token-eierne hadde over utfallet.

Frysingen reddet penger, men utløste en heftig debatt. Når 114 validatorer kan koordinere seg og stanse transaksjoner på kommando, hevdet kritikere, blant dem Justin Bons i Cyber Capital, at nettverket i praksis blir en «centralized, permissioned database» og ikke desentralisert, slik BeInCrypto gjenga. For en feiljeger er poenget dobbelt: på Sui finnes et redningsmannskap Ethereum ikke har, men det samme mannskapet kan i teorien fryse hvem som helst. Sikkerhet og sensurmotstand trekker i hver sin retning.

Dusør eller løsepenger: gråsonen på de nye kjedene

Når så mange «utbetalinger» på Solana og Move er forhandlede returer, blir grensen mellom en white hat og en utpresser sentral. Skillet ligger ikke i beløpet, men i hvem som satte betingelsene, hvor raskt og fullstendig pengene kom tilbake, og om summen fulgte en norm (ofte 10 prosent) eller ble krevd under trussel.

Mango Markets er skoleeksempelet på hvor uklart dette kan bli. I oktober 2022 manipulerte Avraham Eisenberg MNGO-prisen kraftig på få minutter og trakk ut rundt 116 millioner dollar, leverte 67 tilbake og beholdt 47 millioner som han selv kalte en «bounty». Han hevdet at alt var lovlige trekk innenfor reglene protokollen selv hadde satt. I mai 2025 opphevet en amerikansk dommer straffedommene mot ham, en avgjørelse som gjenåpnet hele «code is law»-debatten og som vi har dekket i vår sak om orakelmanipulasjon på prøve. Loopscale og Crema ligger i den ryddige enden: rask retur, en avtalt andel, ansvarsfritak. Mango ligger i den grå. Der en angriper først setter betingelsene og krever betaling under trussel, er språket et annet: da Kraken i 2024 ble presset av forskere som hadde utnyttet en feil, avviste sikkerhetssjef Nick Percoco det blankt med at «this is not white-hat hacking, it is extortion», ifølge CoinDesk.

Utenfor EVM er problemet at de formelle rammeverkene henger etter. Whitehat Safe Harbor-avtalen, som forhåndsgodkjenner en white hat til å gripe inn under et aktivt angrep mot en dusør på 10 prosent (med tak på 1 million dollar), er tegnet med EVM-protokoller i tankene og har foreløpig få adoptører på Solana og Move. Uten en slik avtale er en forsker som «redder» midler ved å utnytte en kontrakt, juridisk sett like utsatt som en tyv, helt til forhandlingen er i havn.

Spesialistene: hvem jakter feil når koden er Rust og Move

Det mindre og mer spesialiserte forskerbassenget er ikke bare en ulempe; det former hele økonomien. Neodyme, med sin bakgrunn i Solana-kjernen, og OtterSec, som ifølge Solana Compass har sikret over 36,8 milliarder dollar i låst verdi og lappet sårbarheter verdt mer enn 1 milliard, er blant de få husene som behersker både Solana og Move på øverste nivå. OtterSec jobber med Solana Foundation, Wormhole og Jito Labs og har en uttalt offensiv innstilling. Ved siden av dem står blant andre Zellic, Sec3 og MoveBit, mange med røtter i konkurransehacking (capture the flag), der de samme ferdighetene brynes. Rekrutteringen er en flaskehals i seg selv: det tar lengre tid å lære en dyktig Solidity-revisor å lese Rust og Move enn å sette en ny EVM-jeger i sving.

Fordi terskelen er høy, ser disse programmene så langt mindre av den flommen av lavkvalitets- og AI-genererte rapporter som har rammet bredere plattformer, et fenomen vi har beskrevet i Halborn og kryptoens nye sikkerhetskappløp. Færre useriøse innsendinger betyr at triage-kostnaden per gyldig funn er lavere, men det betyr også at et Solana- eller Move-program i praksis konkurrerer om en mindre gruppe eksperter. Det presser prisen opp for de virkelig kvalifiserte og gjør de høye gulvene, som Kaminos 150 000 dollar, til et bevisst signal om at det lønner seg å levere funnet inn i stedet for å selge det videre.

Verktøykassen som avgjør hva en feil er verdt

Hvorfor koster en kritisk Solana-feil ofte mindre enn en tilsvarende EVM-feil? En stor del av svaret ligger i verktøykassen som fanger de billige feilene før de når mainnet. Anchor-rammeverket håndhever signatur- og eiersjekker med deklarative begrensninger (constraints), slik at hele klassen av manglende sjekker forsvinner så lenge utvikleren bruker rammeverket riktig. Statisk analyse fra verktøy som Sec3 sitt X-Ray, og fuzzing-rammeverk som lar forskere kaste tilfeldige transaksjoner mot et program til noe knekker, plukker opp resten av de mekaniske feilene tidlig.

Resultatet er at det som blir igjen til bug bounty-jegeren, i økende grad er de dyre, subtile feilene: logiske brister, økonomiske angrep og feil i sammenkoblingen mellom flere programmer. Nettopp de feilene en automatisk skanner ikke ser. På Move-siden går denne logikken enda lenger, fordi Move Prover lar utviklere skrive spesifikasjoner og få kompilatoren til å bevise at koden oppfyller dem. Jo mer av det rutinemessige som fanges av verktøy og formell verifisering, desto mer forskyves dusørene mot de få funnene som krever et menneske med dyp forståelse av forretningslogikken. Det er også derfor de høyeste takene og de høyeste gulvene dukker opp nettopp der: betalingen følger vanskelighetsgraden, ikke antallet rapporter.

Firedancer og veien videre: flere klienter, flere feil å finne

Kartet er i bevegelse. Firedancer, den uavhengige validator-klienten fra Jump Crypto, gir Solana noe nettverket lenge manglet: klientmangfold, slik at en feil i én implementasjon ikke stanser hele kjeden. Men en ny klient er også en ny angrepsflate, og derfor kjører Firedancer en egen Immunefi-dusør på 500 000 dollar, i tillegg til tidsavgrensede revisjonskonkurranser på kjernekoden i 2026.

Retningen er tydelig: etter hvert som verdien på Solana og Move-kjedene vokser, vokser takene med. Kaminos 1,5 millioner dollar i 2025 var utenkelig for et Solana-program i 2021, og Aptos og Sui løfter nå kritiske tak mot millionen. Samtidig sprer den samme AI-drevne rapportflommen som traff EVM-plattformene seg gradvis utover, og de non-EVM-programmene som lener seg på spesialistmiljøer i stedet for masseinnsending, virker best rustet til å håndtere den. Prislisten utenfor EVM begynner å ligne EVM-listen, bare noen år forsinket.

For norske lesere som følger sikkerhet som fagfelt, er dette verdt å merke seg: de neste årenes største dusørhistorier vil neppe komme fra Ethereum alene. Etter hvert som stablecoins, tokeniserte verdier og spill flytter til raskere og billigere kjeder, flytter også angrepsflaten, og med den pengene som betales for å beskytte den. Den som forstår kontomodellen og Move i dag, posisjonerer seg for et marked som fortsatt er ungt.

Skatt og regler for norske feiljegere

For en norsk forsker gjelder det samme skatterammeverket uansett hvilken kjede feilen sitter i. En bug bounty er skattepliktig inntekt, og Skatteetaten verdsetter utbetalingen i kroner på mottakstidspunktet. Får du dusøren i SOL eller en annen token, låser du en kroneverdi der og da; faller tokenen i verdi etterpå, sitter du likevel med skatteregningen på den opprinnelige summen. Mottar du for eksempel en dusør verdt 1 million kroner i SOL, og kursen halveres før du rekker å selge, skatter du fortsatt av hele millionen mens du sitter igjen med halvparten i faktisk verdi. Konverteringen fra token til kroner må dokumenteres i skattemeldingen.

Finanstilsynet fører tilsyn med kryptovekslere og forvaltere (CASP-er) under MiCA, som gjelder i Norge gjennom EØS-avtalen, men verken bug bounty-utbetalingen eller selve feiljakten er et regulert finansielt tjenesteforhold; tilsynet regulerer tilbyderne, ikke belønningen. Den skarpeste juridiske grensen ligger i straffeloven § 204 om uberettiget tilgang til datasystem, med en strafferamme på inntil to år. Å lese kode og rapportere en feil er lovlig; å aktivt utnytte en kontrakt, selv med den hensikt å «redde» midler, er inngrep i et datasystem og faller utenfor enhver godvilje helt til en avtale er på plass. Norske forskere bør derfor holde seg strengt til programmets scope og til ansvarlig varsling, og hente inn juridisk råd før de rører en levende kontrakt.

Ofte stilte spørsmål

Hva er den største bug bounty-utbetalingen på Solana?

Den største enkeltdusøren knyttet til Solana er de 10 millioner dollar Wormhole betalte forskeren satya0x i februar 2022, fortsatt rekorden i hele kryptobransjen. Men Wormhole er en bro mellom Solana og Ethereum. Den største rene Solana-appdusøren er Kaminos program på opptil 1,5 millioner dollar, lansert i oktober 2025.

Hvorfor er dusørene på Solana lavere enn på Ethereum?

Tre grunner: låst verdi har historisk vært mindre, og tak beregnes ofte som en andel av midlene i fare; forskerbassenget som behersker Rust og kontomodellen er mindre; og Solanas kjøremodell mangler enkelte dyre feilklasser, som reentrancy. Forskjellen krymper etter hvert som verdien på kjeden vokser.

Er Move-kjeder som Sui og Aptos tryggere enn Ethereum?

Move er designet med en ressursmodell, en lånesjekker og formell verifisering som fjerner en hel klasse feil, blant annet reentrancy. Men Cetus-hacket på Sui (heltallsoverflyt) og Move-VM-feilen Hexens fant på Aptos i 2026 viser at aritmetiske og logiske feil fortsatt bites hardt. «Tryggere av design» er ikke det samme som «feilfri».

Kan validatorer fryse stjålne penger på Solana eller Sui?

Sui-validatorene gjorde nettopp det under Cetus-hacket i 2025 og frøs rundt 163 millioner dollar via en usignert transaksjon. Solana kan i praksis stanse (halte) nettverket. Ethereum har ingen tilsvarende mekanisme. Muligheten redder penger, men reiser en reell debatt om desentralisering og sensur.

Må jeg skatte av en bug bounty i Norge?

Ja. En bug bounty er skattepliktig inntekt, og Skatteetaten verdsetter den i kroner på mottakstidspunktet, også når den utbetales i token. Faller tokenen i verdi senere, endrer ikke det skatteregningen. Vær også oppmerksom på straffeloven § 204: å utnytte en levende kontrakt, selv for å redde midler, kan være ulovlig inngrep i et datasystem.

Anneke de Vries dekker sikkerhet og exploits for HOGE Wire.