Bug bounty-utbetalinger i 2026: hva en feil er verdt

I 2022 mottok en anonym sikkerhetsforsker som gikk under navnet satya0x rundt 10 millioner dollar, om lag 95 millioner kroner med kursen i august 2026, for å ha funnet én enkelt sårbarhet i kryptobroen Wormhole og meldt den inn i stedet for å tømme den. Det er fortsatt den største enkeltutbetalingen for en programvarefeil i kryptohistorien, formidlet gjennom dusørplattformen Immunefi. Til sammenligning tapte hele det tradisjonelle finanssystemet sjelden så mye på en enkelt kodefeil.

I den andre enden av skalaen ligger volumet. Bare i første halvår 2026 betalte Immunefi 13,45 millioner dollar (rundt 128 millioner kroner) til forskere for 837 gyldige feilrapporter, mens de samlede tapene til faktiske angripere landet på 972 millioner dollar fordelt på rekordhøye 207 hendelser, ifølge plattformens egen halvårsrapport gjengitt av The Block. Dusøren er blitt et marked i seg selv, med sin egen prislogikk, sine egne rekorder og sine egne gråsoner.

Denne artikkelen handler ikke først og fremst om plattformene som organiserer jakten; dem har vi sett nærmere på i gjennomgangen av konkurranserevisjon og bug bounties. Her handler det om selve pengene: hvordan en utbetaling regnes ut, hvem som betaler, hva rekordene faktisk er, hvor grensen går mot utpressing, og ikke minst hvordan en norsk whitehat skal skatte av en belønning som oftest utbetales i kryptovaluta.

Hva en bug bounty faktisk er

En bug bounty er et stående, offentlig tilbud: en protokoll eller et selskap lover å betale den som finner en sårbarhet og melder den inn ansvarlig, i stedet for å utnytte den eller selge den videre. Tilbudet er permanent, til forskjell fra en tidsavgrenset revisjon; det er åpent for hvem som helst, til forskjell fra et innleid revisjonsfirma; og størrelsen på utbetalingen henger sammen med hvor mye skade feilen kunne ha gjort.

Logikken er ren økonomi. En kritisk feil i en DeFi-protokoll kan være verdt titalls eller hundretalls millioner dollar for en angriper. Så lenge dusøren er høy nok til å konkurrere med det svarte markedet, men lav nok til at protokollen har råd, blir ærlig innmelding det rasjonelle valget for en dyktig forsker. En whitehat velger en garantert, lovlig utbetaling framfor en risikabel, kriminell gevinst som må hvitvaskes og som fort kan ende i en amerikansk tiltale. Dusøren er broen mellom de to utfallene, og prisen på den broen er hele poenget.

Det er verdt å skille dusøren fra de to nabokategoriene den ofte forveksles med. En revisjon er en betalt, avgrenset gjennomgang utført av et bestemt firma på et bestemt tidspunkt. En konkurranse er en tidsavgrenset kappestrid der mange forskere jakter samtidig mot en delt premiepott. Dusøren er derimot alltid åpen og betaler per funn, i teorien i det uendelige. De tre lagene utfyller hverandre, og de fleste seriøse protokoller bruker alle tre samtidig.

Rekorden: 10 millioner dollar for én feil

Wormhole var allerede et symbol på hvor galt det kan gå. I februar 2022 mistet broen rundt 325 millioner dollar da en angriper forfalsket en signaturgodkjenning og preget wrappet ether uten dekning. Da forskeren satya0x senere samme år fant en ny, kritisk sårbarhet i den samme infrastrukturen, kunne den i prinsippet ha utløst et nytt tap i samme størrelsesorden. Valget sto mellom å utnytte den eller å melde den inn.

satya0x meldte den inn, og fikk 10 millioner dollar gjennom Immunefi. Utbetalingen tilsvarte en brøkdel av hva feilen kunne ha kostet, men var samtidig langt mer enn noen tradisjonell arbeidsgiver ville betalt for et par ukers arbeid. Nettopp den asymmetrien er dusørens hele forretningsmodell: protokollen betaler en liten prosent av det verst tenkelige tapet, og forskeren får en sum som gjør ærlighet mer lønnsom enn tyveri. Rekorden på 10 millioner dollar sto fortsatt uslått ved inngangen til 2026, ifølge Immunefis egen oversikt over de største dusør- og løsepengeutbetalingene i bransjen.

Det som gjør Wormhole-saken lærerik, er at den viser skillet mellom en dusør og en redningsaksjon. Her ble feilen funnet før noen angriper rakk å bruke den. Ingen midler var i bevegelse, ingen forhandling var nødvendig, og hele beløpet ble utbetalt som en ren belønning for et funn. Slik ser den reneste formen for bug bounty ut, og som vi skal se, er den mer unntaket enn regelen når summene blir virkelig store.

Slik regnes en utbetaling ut

Nesten alle seriøse programmer bruker en variant av samme modell: funnene sorteres etter alvorlighetsgrad, og utbetalingen kobles enten til en fast sum per nivå eller til en prosent av midlene som faktisk sto i fare. Immunefis mye brukte klassifiseringssystem opererer med nivåene kritisk, høy, middels og lav, og for kritiske funn er tommelfingerregelen ofte rundt 10 prosent av verdiene som kunne gått tapt, opp til et forhåndsbestemt tak. Sherlock beskriver den samme tredelte logikken i sin oversikt over de høyest betalende programmene i 2026: alvorlighetsnivåer, en andel av verdiene i fare, og en øvre grense satt av protokollen.

Det avgjørende ordet er «impact», altså faktisk skadepotensial. En elegant, teoretisk feil som ikke lar seg utnytte til å flytte penger, betales lavt eller ikke i det hele tatt. En banal feil som gir direkte tilgang til brukernes midler, betales i toppsjiktet. Dette er det samme alvorlighetsspråket en leser møter i en profesjonell rapport; vi har vist hvordan det ser ut i praksis i gjennomgangen av hva som egentlig står i en Trail of Bits-revisjon. Klassifiseringen er ikke bare akademisk: den avgjør om et funn er verdt tusen kroner eller ti millioner.

Fordi kritiske funn betales som en andel av verdiene i fare, blir de dyreste dusørene automatisk knyttet til de største protokollene. Et tak på 16 millioner dollar gir bare mening hvis det står milliarder på spill i kontraktene under. Det forklarer også hvorfor takene har steget år for år: etter hvert som mer kapital flyttet inn i DeFi, ble prisen på å beskytte den tilsvarende høyere.

De største aktive programmene

Toppen av markedet har utviklet seg til et kappløp. Ved inngangen til 2026 satte stablecoin-utstederen Usual et tak på 16 millioner dollar hos Sherlock, beskrevet som den største bug bounty-en i teknologihistorien. Rett bak følger Uniswap v4 med 15,5 millioner dollar og LayerZero med 15 millioner, begge hos Immunefi. Tabellen under viser de fremste aktive programmene, med omtrentlig verdi i kroner til en kurs på rundt 9,5 kroner per dollar.

Tallene i tabellen er tak, ikke garantier. De færreste funn utløser maksbeløpet, som er forbeholdt de aller mest ødeleggende, direkte utnyttbare kritiske feilene. Likevel forteller takene noe viktig: markedet priser nå enkeltfeil på nivå med en hel serie A-finansiering for en oppstartsbedrift. For en dyktig forsker er det tilstrekkelig til å gjøre dusørjakt til et yrke.

Plattformene som formidler pengene

Midlene går sjelden direkte fra protokoll til forsker. I mellom sitter en plattform som definerer omfang, vurderer alvorlighetsgrad, megler i tvister og håndterer utbetalingen. Immunefi er den dominerende: plattformen oppgir over 140 millioner dollar i samlede utbetalinger til forskere gjennom levetiden, mer enn 92 000 registrerte forskere og verdier for 180 milliarder dollar under beskyttelse på tvers av over 650 protokoller, ifølge halvårstallene gjengitt av The Block. Til sammenligning tilsvarer 140 millioner dollar rundt 1,3 milliarder kroner utbetalt til enkeltforskere.

Ved siden av Immunefi finnes Sherlock, som kombinerer konkurranser med forsikringsdekning, og Cantina, som er den offentlige armen til revisjonskollektivet Spearbit. Store aktører kjører også egne programmer: Ethereum-stiftelsen driver et selvhostet kjerneprogram med tak rundt 1 million dollar, og enkelte børser bruker generelle plattformer som HackerOne. Uansett kanal er grunnmekanikken den samme, og prislogikken følger alvorlighetsgraden.

Immunefis grunnlegger og toppsjef Mitchell Amador oppsummerte tilstanden slik da halvårstallene ble lagt fram: «Crypto security is adversarial, and it never stops evolving. The honest read on the numbers is simple: the industry is learning.» Det er en nøktern lesning. Antallet angrep satte rekord i første halvår 2026, men den samlede verdien falt under en milliard dollar, blant annet fordi flere feil ble fanget og betalt for før de kunne utnyttes.

Fra innmelding til utbetaling: veien et funn tar

Selve utbetalingen er slutten på en prosess som ofte tar uker. Den begynner med at forskeren sender inn en rapport gjennom plattformen, vanligvis med en beskrivelse av sårbarheten, en vurdering av alvorlighetsgrad og et fungerende bevis på at feilen faktisk kan utnyttes. Uten et slikt bevis, gjerne i form av en testkjøring mot en kopi av kontrakten, blir de fleste rapporter avvist tidlig.

Deretter kommer triage: plattformens egne fageksperter vurderer om funnet er reelt, om det allerede er kjent, og hvilket alvorlighetsnivå det havner på. Det er her de store pengene avgjøres, for et funn som nedgraderes fra kritisk til høy, kan falle fra flere millioner til noen hundre tusen kroner. Mange programmer krever i tillegg at protokollen får en frist til å rette feilen før detaljene kan offentliggjøres, en form for ansvarlig innmelding lånt rett fra tradisjonell IT-sikkerhet.

Først når feilen er bekreftet, klassifisert og som regel rettet, frigjøres dusøren. Utbetalingen skjer nesten alltid i kryptovaluta, ofte i en stablecoin eller i protokollens eget token, og går direkte til forskerens lommebok. For større summer kan plattformen kreve identifikasjon og kontroll mot sanksjonslister før pengene sendes, av samme grunn som Safe Harbor gjør det: ingen vil betale ut millioner til en adresse som viser seg å tilhøre en sanksjonert aktør.

Hele denne kjeden forklarer hvorfor to funn av samme feil kan ende helt ulikt. Den som melder inn først, får dusøren; den som er et døgn for sen, får som regel ingenting, fordi funnet da regnes som et duplikat. Tidspresset er en del av jobben, og det er en av grunnene til at erfarne dusørjegere overvåker nye kontrakter fra minuttet de går live.

Når hacket allerede har skjedd: behold 10, returner 90

Den reneste dusøren, som satya0x fikk, er egentlig sjelden når summene blir enorme. Oftere har angrepet allerede skjedd, midlene er i bevegelse, og det som utspiller seg er en forhandling på åpen blokkjede. Sjablongen er blitt kjent som «behold 10 prosent, returner 90»: protokollen tilbyr angriperen å beholde en tidel som en slags dusør i etterkant, mot å levere resten tilbake og slippe rettslig forfølgelse.

Malen ble satt av Euler Finance i mars 2023. Etter et lån-basert angrep på rundt 197 millioner dollar tilbød protokollen angriperen å beholde 10 prosent, i underkant av 20 millioner dollar, mot å returnere resten. Etter en rekke meldinger på kjeden, der angriperen blant annet skrev at vedkommende ikke hadde til hensikt å beholde det som ikke var deres, ble tilnærmet hele beløpet levert tilbake. To år tidligere hadde Poly Network gjort noe lignende, da angriperen som tappet over 610 millioner dollar ble tiltalt som «Mr. White Hat», tilbudt en dusør på 500 000 dollar og til slutt returnerte nesten alt, ifølge Cointelegraph.

Modellen dukker opp igjen og igjen. Da GMX v1 ble tappet for rundt 42 millioner dollar sommeren 2025, returnerte angriperen midlene i løpet av omtrent to døgn etter et tilbud om 5 millioner dollar i dusør, altså de samme 10 prosentene, melder CoinDesk. Selv det største tyveriet i historien fulgte oppskriften i en annen form: etter at Bybit mistet rundt 1,5 milliarder dollar i februar 2025, lyste børsen ut en dusør på inntil 140 millioner dollar for å spore og fryse midlene, fordelt på fem prosent til den som sporet og fem prosent til den som frøs, skriver TechCrunch. Tabellen under viser hvordan dusøren i etterkant har fungert i noen av de mest omtalte sakene.

Safe Harbor: en juridisk bindende redningsavtale

Problemet med etterhandsdusøren er at den setter whitehats i en umulig posisjon. For å redde midler under et pågående angrep må en forsker ofte selv gripe inn i kontraktene, flytte penger og handle raskt, uten forhåndsavtale. Da ser handlingen på kjeden ut nøyaktig som et angrep, og forskeren risikerer å bli tiltalt for det samme som den kriminelle. Nettopp dette hullet forsøker Whitehat Safe Harbor fra Security Alliance å tette.

Safe Harbor er et offentlig, ensidig og juridisk bindende tilbud som en protokoll kan ta i bruk på forhånd. Vilkårene er standardiserte: en whitehat som redder midler under et aktivt angrep, kan beholde inntil 10 prosent av det reddede beløpet, med et tak på 1 million dollar, mot å returnere resten innen 72 timer. Til gjengjeld kreves identifikasjon og kontroll mot sanksjonslister, og forskeren får dekning fra et eget juridisk forsvarsfond. Ifølge Security Alliance har 29 protokoller tatt avtalen i bruk, med verdier for over 20 milliarder dollar til beskyttelse på tvers av mer enn ti blokkjeder.

Rundt rammeverket sitter et miljø for hurtig respons. SEAL 911, en varslingskanal drevet av det samme fagmiljøet, kobler protokoller under angrep med erfarne forskere i sanntid, og har håndtert tusenvis av saker og bidratt til å redde titalls millioner dollar. Poenget er å gjøre den lovlige redningen raskere og tryggere enn den kriminelle utnyttelsen. Der dusøren gjør ærlighet lønnsom, gjør Safe Harbor den juridisk trygg.

Dusør eller utpressing?

Ikke alt som kalles dusør, er en dusør. Grensen mot utpressing er reell, og den går ved rekkefølgen. En bug bounty er en avtale på forhånd: forskeren melder feilen ansvarlig og mottar en forhåndsdefinert belønning. Utpressing er å ta kontroll over midlene først og deretter kreve betaling for å levere dem tilbake. Selv om utfallet kan se likt ut på kjeden, er de to tingene juridisk og moralsk vidt forskjellige.

Saken som tydeligst viste striden, var da revisjonsselskapet CertiK i juni 2024 utnyttet en feil hos børsen Kraken og satt på rundt 3 millioner dollar mens partene kranglet om det var forskning eller pengekrav. Krakens sikkerhetssjef Nick Percoco la ikke skjul på sitt syn: «This is not white-hat hacking, it is extortion», sa han til CoinDesk. Midlene ble returnert, men saken viste hvor tynn linjen er mellom en legitim dusørforhandling og et krav som ligner mest på løsepenger.

Det som gjør gråsonen spesiell i krypto, er at forhandlingen ofte foregår i full offentlighet på blokkjeden. Angriper og protokoll utveksler meldinger kodet inn i transaksjoner, tilbud og motbud ligger åpent for alle, og utfallet blir en slags offentlig moralsk forhandling. Da Poly Network omtalte sin angriper som «Mr. White Hat» og til og med tilbød vedkommende en rolle som sikkerhetsrådgiver, var det like mye et forsøk på å gi motparten en verdig utvei som en reell ansettelse. Retorikken er et verktøy: jo lettere det er for angriperen å fremstå som en helt ved å levere tilbake, desto større er sjansen for at pengene faktisk kommer hjem.

På den andre siden av grensen ligger den rent kriminelle uttaksmodellen, der det aldri finnes noen intensjon om å levere tilbake. Det er en helt annen verden enn dusøren, og den ender stadig oftere i rettssalen; vi har fulgt oppgjøret etter DeFi-svindelen i saken om rug pull i 2026. For en whitehat er lærdommen enkel: hold deg innenfor et registrert program eller en Safe Harbor-avtale, dokumenter alt, og krev aldri betaling for å levere tilbake noe du selv har tatt kontroll over utenfor en avtale.

Matematikken bak hvorfor bounties finnes

Fra protokollens side er en dusør en av de billigste forsikringene som finnes. Immunefis egen forskning på 593 programmer som har vært aktive i fem år eller mer, viser at nesten alle før eller siden finner minst én betalt kritisk feil: andelen stiger fra rundt 61 prosent etter ett år til nær 94 prosent etter fem, ifølge plattformens analyse. Samme materiale anslår at et vellykket angrep i snitt påfører rundt 25 millioner dollar i skade. Satt opp mot et dusørtak på noen millioner, er regnestykket enkelt.

Sammenligningen med en revisjon gjør poenget enda tydeligere. En grundig revisjon av en kompleks DeFi-protokoll koster gjerne fra noen hundre tusen til godt over en million kroner, og den dekker koden slik den så ut den dagen gjennomgangen ble avsluttet. En dusør koster derimot ingenting før noen faktisk finner en feil, og den betaler bare for treff. For en protokoll med store verdier i kontraktene er det en attraktiv struktur: en fast, begrenset kostnad for revisjonen, og en variabel kostnad for dusøren som per definisjon aldri overstiger verdien av det som ble reddet.

Nettopp derfor er dusøren et supplement til revisjonen, ikke en erstatning. En revisjon er et øyeblikksbilde av koden på ett tidspunkt, og vi har sett på hvordan man vurderer revisjonsselskapene i krypto og hva de faktisk fanger. Erfaringen fra gjentatte hack er at selv grundig reviderte protokoller blir tappet. Suhail Kakar, utviklerrelasjonsansvarlig i TAC Blockchain, formulerte poenget skarpt etter Balancer-hacket: «This space needs to accept that ‘audited by X’ means almost nothing. Code is hard, DeFi is harder», sa han til Cointelegraph. En dusør dekker nettopp perioden etter at revisoren har gått hjem, når koden lever i produksjon og angriperne prøver seg kontinuerlig.

For forskeren er regnestykket like tydelig. De dyktigste dusørjegerne tjener alt fra i underkant av en million kroner til godt over ti millioner i året, avhengig av hvor mange kritiske funn de lander. Det gjør whitehat-arbeid til en reell yrkesvei, ikke bare en hobby, og det er en av grunnene til at antallet registrerte forskere har passert 92 000 på Immunefi alene.

Skatt: slik behandler Skatteetaten en whitehat-dusør

For en norsk forsker slutter historien ikke når dusøren er mottatt. En person som er skattemessig bosatt i Norge, er i utgangspunktet skattepliktig for inntekt både i Norge og i utlandet, og en dusør fra en utenlandsk protokoll er ikke noe unntak. Skatteetaten er tydelig på at inntekt fra arbeid er skattepliktig; de begrensede skattefritakene for småjobber gjelder først og fremst enkle oppdrag og frivillig arbeid, der grensen for skattefri lønn fra en skattefri organisasjon for eksempel er 10 000 kroner i året, ifølge etatens veiledning om hobby, småjobber og ekstrainntekt. En dusør fra et dusørprogram faller normalt utenfor disse fritakene.

Hvor mye du betaler, avhenger av omfanget. Melder du inn en feil i ny og ne, behandles belønningen som alminnelig inntekt, som skattlegges med 22 prosent. Driver du dusørjakt systematisk og med økonomisk formål, kan aktiviteten regnes som virksomhet, og da beregnes i tillegg personinntekt med trinnskatt og trygdeavgift, slik at den samlede marginalskatten blir vesentlig høyere. Skillet mellom tilfeldig ekstrainntekt og næring er ikke alltid opplagt, og det er verdt å avklare før inntektene blir store.

Et ekstra lag kommer av at dusøren nesten alltid utbetales i kryptovaluta. Skatteetaten behandler krypto som et formuesobjekt, og en belønning verdsettes til markedsverdi i kroner på det tidspunktet du mottar den; det utgjør den skattepliktige inntekten. Selger eller veksler du kryptoen senere, utløser det en egen gevinst- eller tapsberegning på differansen mellom mottaksverdien og salgsverdien. Alt skal føres manuelt i skattemeldingen, og manglende rapportering kan gi tilleggsskatt. Kort sagt: to skattemessige hendelser, mottak og senere salg, av det som for forskeren føltes som én utbetaling.

Finanstilsynet, MiCA og det regulatoriske tomrommet

Verken i Norge eller i EU finnes det et regelverk som pålegger protokoller å ha en bug bounty, eller som akkrediterer whitehats. Finanstilsynet fører tilsyn med kryptotjenesteytere under MiCA, som er innlemmet i norsk rett via EØS-avtalen, men tilsynet retter seg mot børser, forvaltere og utstedere, ikke mot sikkerheten i den underliggende smartkontrakten. DORA stiller krav til operasjonell IT-motstandsdyktighet hos de sentraliserte tjenesteyterne, men når heller ikke inn i koden til en desentralisert protokoll.

Resultatet er et tomrom som bransjen fyller selv. Dusøren, Safe Harbor-avtalen og den offentlige forhandlingen på kjeden er former for privat regulering: de erstatter et rettsvern som ikke finnes for den som taper penger i et rent desentralisert protokoll. For fullt desentralisert DeFi er det ingen CASP å klage til, ingen innskuddsgaranti og ingen tilsynsmyndighet som kan kreve erstatning. Da blir dusøren og redningsavtalen i praksis den eneste sikkerhetsmekanismen brukeren har.

Samtidig skaper tomrommet friksjon for whitehatten selv. Kravene om identifikasjon og kontroll mot sanksjonslister i Safe Harbor er ikke tilfeldige: en forsker som mottar reddede midler, må kunne dokumentere at pengene ikke havner i strid med hvitvaskings- eller sanksjonsregler. Den som redder midler uten en slik ramme, kan fort havne i en juridisk gråsone selv om hensikten var god. Det er nok en grunn til at formaliserte avtaler har vokst fram parallelt med de rene dusørene.

Skyggesidene: tvister, omfang og ubetalte dusører

Systemet er ikke friksjonsfritt. Den vanligste konflikten handler om omfang, altså hva programmet faktisk dekker. Da restakingsprotokollen KelpDAO mistet rundt 292 millioner dollar i april 2026, oppsto en strid mellom protokollen og infrastrukturleverandøren LayerZero om nettopp dette: den sårbare konfigurasjonen med én enkelt verifikator ble av den ene parten omtalt som utenfor dusørprogrammets omfang, mens den andre mente den var godkjent ved oppsett. Slike avgrensningsdiskusjoner avgjør om et funn utløser millioner eller ingenting.

Forskere klager også over andre mønstre: rapporter som nedgraderes til lavere alvorlighetsgrad enn de mener er riktig, funn som avvises som allerede kjente eller som duplikater, og utbetalinger som trekker ut i tid. Fordi plattformen ofte megler mellom en forsker som vil ha mest mulig og en protokoll som vil betale minst mulig, ligger det en interessekonflikt innebygd i modellen. Omdømme er den viktigste korrigeringen: et program som behandler forskere dårlig, mister tilgangen til de beste øynene.

Konfliktene stopper ikke alltid ved klassifiseringen. Selv når alle er enige om at et funn er gyldig, klager forskere jevnlig over at utbetalingen kan trekke ut i mange uker, særlig når dusøren skal godkjennes av en desentralisert organisasjon der ingen enkeltperson kan trykke på knappen. For en forsker som har lagt ned dager i et kritisk funn, er ventetiden mellom bekreftelse og utbetaling en reell kostnad, og gjentatte forsinkelser er nok til å skremme de beste bort fra et program.

Til slutt finnes den ubehagelige sannheten at ikke alle velger dusøren. Så lenge det svarte markedet, statlige aktører eller ren løsepengeutpressing kan by høyere enn taket, vil noen funn aldri bli meldt inn ærlig. Dusøren flytter balansen, men opphever den ikke. Den er et marked, og som i alle markeder finnes det kjøpere som byr mer enn den lovlige prisen.

Hva det betyr for norske brukere og utviklere

For en vanlig norsk kryptobruker er poenget indirekte, men viktig: dusørprogrammene beskytter de protokollene og tjenestene du allerede bruker, ofte uten at du merker det. Hver kritiske feil som blir betalt for og lukket, er et angrep som aldri traff lommeboken din. Samtidig fritar det deg ikke for eget ansvar; mye av risikoen ligger fortsatt i hvordan du oppbevarer nøklene og godkjenner transaksjoner, noe vi har sett på i sammenligningen av MetaMask, Phantom og Rabby. En dusør beskytter koden, ikke en bruker som signerer blindt.

For en norsk utvikler eller sikkerhetsinteressert er dusørmarkedet en åpen dør. Terskelen for å begynne er lav: registrer deg på en plattform, les omfanget nøye, og hold deg strengt innenfor det som er tillatt å teste. De største gevinstene ligger i de mest kapitaltunge protokollene, men også mindre programmer gir jevn inntekt for den som er tålmodig. Husk bare skatteplikten fra første krone, og før inntektene ryddig i skattemeldingen; en dusør på flere hundre tusen kroner som ikke er rapportert, er en dyr feil å gjøre selv.

Sett under ett forteller dusørøkonomien en optimistisk historie under de dystre tapstallene. Angrepene ble flere i 2026, men verdiene falt, og en stadig større del av arbeidet handler om å finne og betale for feil før noen rekker å utnytte dem. Amadors nøkterne konklusjon, at bransjen lærer, holder så lenge prisen på ærlighet forblir høyere enn prisen på tyveri.

Ofte stilte spørsmål

Hva er den største bug bounty-utbetalingen i krypto?

Den største kjente enkeltutbetalingen er 10 millioner dollar, rundt 95 millioner kroner, som forskeren satya0x fikk gjennom Immunefi i 2022 for en kritisk sårbarhet i broen Wormhole. Det største aktive programmet i 2026 er Usual sitt tak på 16 millioner dollar hos Sherlock.

Hvordan bestemmes størrelsen på en dusør?

Utbetalingen følger som regel alvorlighetsgraden på funnet og hvor mye penger som faktisk sto i fare. For kritiske feil betaler mange programmer rundt 10 prosent av midlene som kunne gått tapt, opp til et forhåndsbestemt tak. Mindre alvorlige funn betales med faste, lavere summer.

Er en whitehat-dusør skattepliktig i Norge?

Ja. For en person bosatt i Norge er inntekt fra arbeid skattepliktig, uansett om den kommer fra utlandet eller utbetales i kryptovaluta. En dusør verdsettes til markedsverdi i kroner på mottakstidspunktet, og et senere salg av kryptoen kan utløse egen gevinst- eller tapsberegning. Alt skal føres i skattemeldingen.

Hva er forskjellen på en bug bounty og utpressing?

En bug bounty er en avtale på forhånd: forskeren melder feilen ansvarlig og får en forhåndsdefinert belønning. Utpressing er å ta kontroll over midlene først og deretter kreve betaling for å levere dem tilbake. Grensen er omdiskutert, og flere børser har omtalt slike krav som utpressing snarere enn hvithatt-arbeid.

Hva er SEAL Safe Harbor?

Safe Harbor er en juridisk bindende avtale fra Security Alliance som lar whitehats gripe inn under et aktivt angrep, redde midler og beholde inntil 10 prosent (opp til 1 million dollar) mot å returnere resten innen 72 timer. Avtalen er tatt i bruk av 29 protokoller som til sammen beskytter over 20 milliarder dollar.

Av Anneke de Vries, sikkerhetsredaktør i HOGE Wire.