Etter hacket: obduksjonens livssyklus og hvem som overlever

Den 30. juli 2026 begynte bitcoin å forsvinne fra lommebøker som eierne trodde var blant de sikreste i verden. Feilen lå i en fastvare (firmware) fra mars 2021: en maskinvarelommebok fra Coldcard hadde i det stille falt tilbake på en svak programvarebasert tilfeldighetsgenerator da den lagde nøkler, slik at frøene kunne gjettes uten at noen rørte selve enheten. I løpet av få dager var over 130 millioner dollar borte, rundt 1,2 milliarder kroner, ifølge TechCrunch. Galaxy Research kartla ett enkelt tokt som tømte rundt 70 millioner dollar fra 1 196 adresser på 41 minutter, og forskerne fant ikke én angriper, men minst et dusin ukoordinerte grupper som kappløp om de samme adressene.

Det fantes ingen kontrakt å pause, ingen DAO å stemme i, ingen enkelt gjerningsperson å forhandle med. Og likevel gjorde bransjen det den nesten alltid gjør når noe brister: den satte i gang en obduksjon. Exploit-obduksjonen, den offentlige rapporten som dissekerer et hack, har blitt en egen sjanger i krypto. Men å lese selve rapporten er bare halve historien. Den virkelige prøven kommer etterpå. Hvem tar tapet? Og overlever protokollen? Denne artikkelen følger et hack gjennom hele livssyklusen, fra den første alarmen til den siste refusjonen, og forklarer hvorfor noen prosjekter kommer sterkere tilbake mens andre blir zombier eller forsvinner helt. (Kronebeløpene her bygger på en kurs på rundt 9,5 kroner per dollar i august 2026, ifølge Wise.)

Hva en exploit-obduksjon egentlig er

En exploit-obduksjon er en offentlig, teknisk rapport et team publiserer etter en sikkerhetshendelse. Den skal svare på fire spørsmål: hva var årsaken (root cause), hva skjedde minutt for minutt, hvor stort ble tapet, og hva gjøres for at det ikke skjer igjen. Formen er lånt fra programvarebransjen, nærmere bestemt den skyldfrie obduksjonen (blameless postmortem) som Google gjorde kjent gjennom sin site reliability-kultur: du beskriver systemsvikten uten å henge ut enkeltpersoner, fordi målet er læring, ikke straff.

Krypto la til noe de færreste andre bransjer har: en offentlig, nesten bekjennende stemme. Der en flyhavarikommisjon skriver for etterforskere, skriver kryptoprosjekter for et publikum av brukere, konkurrenter og skadefro tilskuere. Nettstedet rekt.news gjorde sjangeren til kunst med sine anonyme, noir-pregede nekrologer og en «leaderboard» som fungerer som bransjens kollektive hukommelse og skammens tavle på én gang. Grunnen til at obduksjonen betyr så mye i krypto, er enkel: koden er uforanderlig, motstanderne er ekte, pengene er reelle, og for desentralisert finans (DeFi) finnes det ofte ingen domstol eller tilsynsmyndighet å klage til. Obduksjonen erstatter rett og slett den erstatningsveien andre bransjer får gjennom lovverk og forsikring.

De første timene: fra alarm til krigsrom

Et hack starter sjelden med en pressemelding. Det starter med et signal: en overvåkingstjeneste som Blockaid eller Hexagate flagger en mistenkelig transaksjon, en hvithatt-hacker som sender en melding, eller en bruker som legger merke til at likviditeten renner ut og tvitrer om det. Fra det øyeblikket teller hvert minutt, fordi angriperen som regel flytter midlene videre gjennom miksere og broer så fort som mulig.

Det som følger, ligner et krigsrom. Teamet forsøker å pause eller fryse kontrakten hvis en slik funksjon finnes, trekker likviditet ut av utsatte bassenger, og kontakter børser for å be dem fryse innkommende midler. Samtidig kobles etterforskere inn, enten interne krefter eller spesialistfirmaer som Chainalysis, TRM Labs eller angrepsteamet i Halborn, som kartlegger pengestrømmen og begynner på den tekniske rekonstruksjonen. Kappløpet handler ofte om å nå frem til de sentraliserte flaskehalsene før angriperen: børser som kan fryse en innkommende innbetaling, og utstedere som Tether og Circle som kan svarteliste adresser og fryse stablecoin midt i transitt. Lykkes det, blir en del av byttet stående låst før det rekker å bli vasket gjennom miksere eller broer. Her viser en dyp designspenning seg: et protokoll med en nødbryter kan stanse blødningen, men en nødbryter betyr også at noen har makt til å stanse systemet, noe mange desentraliserte prosjekter bevisst har gitt fra seg. Uforanderlighet er en dyd helt til den dagen du trenger å trykke på en knapp som ikke finnes.

Forhandling on-chain: ritualet ingen annen bransje har

Her kommer kryptos genuint nye tilskudd til obduksjonssjangeren. I mars 2023 ble utlånsprotokollen Euler Finance tappet for rundt 200 millioner dollar, nesten 1,9 milliarder kroner, i et flash loan-angrep. I stedet for å ringe advokater begynte teamet å skrive til angriperen direkte, via meldinger lagt inn i transaksjoner på selve blokkjeden. Angriperen svarte i samme kanal, antydet at han ikke hadde til hensikt å beholde det som ikke var hans, og returnerte i løpet av noen uker over 95 prosent av midlene. Fordi ether hadde steget i mellomtiden, sendte han faktisk tilbake mer i dollar enn det som opprinnelig ble stjålet, ifølge The Block.

Gulroten er en dusør: behold ti prosent, returner resten, og slipp anmeldelse. Logikken er kald, men effektiv, for en anonym angriper som sitter på merkede midler har ofte mer å tjene på en ren exit enn på å vaske en formue som hele verden overvåker. Da Poly Network ble tappet for 611 millioner dollar i 2021, returnerte angriperen nesten alt og takket til og med nei til en tilbudt dusør og en rolle som sikkerhetsrådgiver. Ingen annen finansbransje har et ritual der offeret kan snakke med tyven mens ranet pågår, og av og til få pengene tilbake.

Men ritualet har en gråsone. Grensen mellom en frivillig dusør og en betalt løsepenge er hårfin, og et prosjekt som forhandler risikerer å bryte sanksjonsregler dersom motparten viser seg å være en statlig aktør som nordkoreanske Lazarus. Noen ganger er dessuten «angriperen» en innsider. Da spillstudioen bak Munchables, et NFT-spill på Blast, mistet rundt 62,5 millioner dollar i mars 2024, viste det seg at gjerningspersonen var en av utviklerne selskapet selv hadde ansatt, senere knyttet til Nord-Korea av etterforskeren ZachXBT. Etter rundt en times forhandling leverte vedkommende tilbake alle nøklene og hele beløpet, uten å kreve løsepenger, ifølge CoinDesk. Det er en påminnelse om at spillselskaper som hyrer inn anonyme bidragsytere, er spesielt utsatt for akkurat denne trusselen.

SEAL Safe Harbor og hvithatt-kavaleriet

Et problem har lenge plaget de gode hackerne: en person som griper inn midt i et angrep for å redde midler til en trygg adresse, kan i lovens øyne se ut akkurat som en tyv. Security Alliance, en ideell organisasjon grunnlagt av forskeren kjent som samczsun, forsøker å løse dette med rammeverket Whitehat Safe Harbor. Det er et forhåndsforpliktende, juridisk tilbud fra protokollen: gå inn og redd midlene, returner dem innen 72 timer, behold ti prosent i dusør (med et tak på én million dollar), og oppfyll krav til identitet og sanksjonssjekk, så lover protokollen å ikke forfølge deg rettslig. Et eget forsvarsfond dekker advokatutgifter for kvalifiserte forskere.

Modellen har fått fotfeste. Safe Harbor teller nå rundt 29 protokoller som til sammen beskytter over 20 milliarder dollar i verdier på mer enn ti kjeder, og hurtigresponsgruppen SEAL 911 og det bredere hvithatt-miljøet oppgir å ha reddet over 150 millioner dollar, godt over 1,4 milliarder kroner, fra pågående angrep. Å prise en slik dusør riktig er en egen kunst, en balanse mellom å belønne den ærlige finneren og å ikke skape et marked for utpressing, noe vi har sett nærmere på i vår gjennomgang av hvordan en bug bounty prises.

Radikal åpenhet som forsvarsverk

Det største kryptotyveriet noensinne viste hvorfor åpenhet i seg selv er blitt et forsvarsverk. Da børsen Bybit ble tappet for rundt 1,5 milliarder dollar i februar 2025, rundt 14 milliarder kroner, var det ikke en kontraktsfeil, men et forsyningskjedeangrep mot brukergrensesnittet til Safe-lommebokinfrastrukturen, der ondsinnet kode ble smuglet inn i signeringsflaten. Angrepet ble tilskrevet den nordkoreanske Lazarus-gruppen.

Responsen ble en mal for bransjen. Bybit-sjef Ben Zhou valgte radikal åpenhet: løpende oppdateringer, et offentlig dashbord over de stjålne midlene, og forensiske rapporter fra Sygnia og Verichains publisert i sin helhet i løpet av dager, dokumentert av Sygnia selv. Børsen lovet i tillegg en dusør på rundt 140 millioner dollar, om lag 1,3 milliarder kroner, til alle som kunne hjelpe med å spore og fryse de stjålne midlene, ifølge TechCrunch. Poenget er at åpenhet gjenoppbygger tillit, rekrutterer et helt fellesskap til å spore midlene, og setter en standard for hvor raskt en troverdig obduksjon skal foreligge. Motstykket er lærerikt: da FTX kollapset i november 2022, forsikret grunnleggeren offentlig at «FTX har det bra. Verdiene har det bra», en påstand som ble slettet innen dager, viste seg å være usann, og ble fulgt av konkurs i løpet av en uke. Det er obduksjonens rake motsetning: en tildekking som ikke overlevde kontakt med blokkjeden.

Regnestykket: hvem betaler når koden svikter

Når obduksjonen er skrevet, står det igjen et regnestykke: noen må spise tapet. Hvem det blir, avgjør ofte om brukerne noen gang ser pengene sine igjen. I praksis finnes det en håndfull modeller, og de gir svært ulike utfall for den vanlige innskyteren. En protokollkasse kan dekke tapet selv, en pengesterk eier kan skyte inn kapital, et styringsfellesskap kan stemme for å sosialisere tapet gjennom nye tokens, midler kan hentes tilbake via dusør eller motangrep, eller ingenting skjer og brukerne sitter igjen med regningen.

Skillet er avgjørende: en sentralisert tjenesteyter med en kasse kan gjøre kundene hele, mens et desentralisert protokoll uten eier sjelden kan det. Mye av arbeidet med å hente hjem stjålne midler i etterkant faller derfor på spesialiserte aktører, et felt vi har kartlagt i vår gjennomgang av recovery bounty-industrien som henter hjem stjålet krypto.

Sikkerhetsnettet som knapt finnes: forsikring on-chain

I tradisjonell finans finnes et sikkerhetsnett når noe går galt. Går en norsk bank over ende, dekker Bankenes sikringsfond innskudd opptil to millioner kroner per kunde, langt mer enn EUs minstekrav på 100 000 euro. Blir en regulert forvalter frastjålet kundemidler, ligger det som regel en forsikring i bakhånd. I krypto er dette nettet stort sett fraværende, særlig i DeFi. Det finnes riktignok on-chain forsikringsordninger, som Nexus Mutual og noen få andre, der brukere kan kjøpe dekning mot at et protokoll blir hacket. Men de dekker bare en liten brøkdel av verdiene som ligger låst i DeFi, prisen er høy, og en utbetaling avhenger ofte av at et fellesskap av medlemmer stemmer over om kravet er gyldig.

Konsekvensen er at den forhandlede dusøren og protokollkassen i praksis er forsikringen. Når verken en kasse, en eier eller en dekningsordning trår til, havner regningen hos brukeren. Det er derfor «hvem betaler»-spørsmålet så ofte får svaret «du selv». For en norsk sparer som er vant til sikringsfondet, er kontrasten skarp: det finnes ingen tilsvarende garanti for en posisjon du holder selv i en lommebok, eller for penger du har låst i et desentralisert protokoll. Fraværet av et sikkerhetsnett er ikke en feil ved systemet; for ren DeFi er det selve systemet, og det er nettopp derfor obduksjonen og dusøren har måttet vokse frem som en slags privat erstatning for institusjonene som ikke finnes.

Obduksjonens hardeste spørsmål: overlever protokollen?

En obduksjon dømmes til slutt ikke på hvor godt den er skrevet, men på hva som skjer med pasienten. Overlevelse betyr at tilliten gjenoppbygges, at verdiene som er låst i protokollen (total value locked, TVL) kommer tilbake, og at prosjektet fortsetter å eksistere som noe mer enn et navn. Død betyr en zombie-kjede uten aktivitet, en token som blir avnotert, eller en full nedstenging. Mellom disse ytterpunktene ligger de fleste reelle utfall, og de henger tettere sammen med penger og folk enn med hvor elegant selve rapporten var.

Det som gjør dette til obduksjonens hardeste spørsmål, er at svaret ofte avgjøres i de første 48 timene, lenge før den fullstendige tekniske rapporten er ferdig. Et team som kommuniserer raskt og troverdig, kjøper seg tid. Et team som blir stille, mister fellesskapet før det rekker å forklare seg. Tabellen under viser hvor forskjellig ni hack med sammenlignbare tapstall endte.

Overlevere og likhus: ni hack, ni skjebner

Kontrastene er skarpe. Ronin, spillstudioen Sky Mavis sin bro, ble tappet for 625 millioner dollar, nesten 6 milliarder kroner, i et angrep tilskrevet Lazarus. Selskapet hentet inn 150 millioner dollar i frisk kapital ledet av Binance, refunderte brukerne fullt ut, og relanserte broen. Wormhole ble tappet for 320 millioner dollar da eieren Jump Crypto fylte hullet i løpet av et døgn, og et år senere hentet Jump og Oasis tilbake 225 millioner dollar fra angriperens egne DeFi-posisjoner etter en kjennelse i den engelske High Court, ifølge Cointelegraph. Euler er det tydeligste comeback-tilfellet: etter å ha fått tilbake nesten alt, relanserte protokollen som v2 i september 2024 etter 31 uavhengige revisjoner, og passerte over én milliard dollar i TVL i 2026, rapporterer The Block. Curve Finance havnet et sted i mellom de to ytterpunktene: etter at en feil i Vyper-kompilatoren i 2023 tappet protokollen for anslagsvis 50 til 70 millioner dollar, ga en av angriperne tilbake deler av byttet, og fellesskapet vedtok en refusjonsplan i CRV-tokens, gjennomgått av Chainalysis. Protokollen lever videre i 2026, men verdiene som er låst i den, har aldri kommet helt tilbake til toppnivået fra før hacket.

De døde forteller den motsatte historien. Terra og LUNA er det tydeligste eksempelet på en fundamental, ikke isolert, svikt: da stablecoinen mistet bindingen i mai 2022, var det ikke en enkelt bug som kunne lappes, men selve den økonomiske modellen som kollapset, og verken hard fork-en til Terra 2.0 eller den gamle kjeden fikk fotfeste igjen. Multichain forsvant ikke på grunn av en kodefeil, men fordi toppsjefen ble pågrepet av kinesisk politi og rundt 265 millioner dollar rant ut under omstendigheter Chainalysis omtalte som mulig innsidejobb, ifølge CoinDesk. Det mørkeste utfallet av alle: det ble aldri skrevet noen obduksjon, fordi det ikke var noe team igjen til å skrive den. Bunni, en mindre protokoll som ble tappet for 8,4 millioner dollar i 2025, rakk til og med å fikse feilen, men klarte ikke å finansiere et nytt sikkerhetsprogram og la ned for godt, ifølge The Block. Bildet, altså at protokollen døde mens revisoren levde videre, er selve kjernen i hvorfor overlevelse handler om så mye mer enn koden.

Fem faktorer som skiller overlevere fra likhus

Ser man tabellen ovenfra, tegner det seg et mønster. Fem faktorer skiller gjennomgående de som kommer tilbake fra de som forsvinner:

• Kapital. En kasse eller en pengesterk eier som kan gjøre brukerne hele, slik Sky Mavis og Jump Crypto gjorde. Uten det finnes ingen rask refusjon.
• Kommunikasjonshastighet. Timer, ikke uker. Bybits åpenhet kjøpte tillit, mens stillhet, som hos Multichain, drepte den.
• Et gjenværende team. Noen må faktisk bygge videre. Bunni døde delvis fordi teamet ikke kunne finansiere en relansering, og Multichains team var borte.
• Isolert kontra fundamental feil. En enkelt bug du kan lappe (Euler) er noe helt annet enn en ødelagt økonomisk modell (Terra) eller tapte nøkler uten vei tilbake (Multichain).
• Fellesskapets samhold. Samler brukerne seg bak prosjektet, eller flykter de? Uten et fellesskap er selv en teknisk perfekt relansering et tomt skall.

Menneskene bak avgjør ofte mer enn teknikken. Michael Bentley, sjef i Euler Labs, har fortalt at mange avskrev selskapet etter hacket, og at det ville vært helt normalt å legge ned prosjektet der og da, ifølge CoinDesk. At de ikke gjorde det, er halve forklaringen på comebacket. På samme måte var det avgjørende at Sky Mavis-direktør Aleksander Larsen tidlig og tydelig slo fast at selskapet var fullt forpliktet til å refundere spillerne så raskt som mulig, ifølge CoinDesk. Et løfte gitt raskt, og holdt, er i seg selv en overlevelsesfaktor.

Når obduksjonen havner i retten

Kryptos private ritualer, den forhandlede dusøren, DAO-avstemningen, Safe Harbor-avtalen, er ikke det samme som rettsstaten, og de to er på kollisjonskurs. Det tydeligste eksempelet er Terra. Do Kwon, mannen bak stablecoinen som kollapset og utslettet rundt 40 milliarder dollar i markedsverdi, ble 12. desember 2025 dømt til 15 års fengsel av dommer Paul Engelmayer i New York, strengere enn de 12 årene selv aktoratet ba om, melder BeInCrypto. Ingen dusør eller DAO-vedtak kunne kjøpe ham ut av det.

Nomad-saken åpnet en helt ny front. I desember 2025 grep det amerikanske forbrukertilsynet FTC inn mot Illusory Systems, selskapet bak Nomad-broen, for mangelfull sikkerhet i bruddet som kostet brukerne rundt 186 millioner dollar. Forliket krever at selskapet innfører et fullverdig informasjonssikkerhetsprogram, gjennomgår uavhengige vurderinger annethvert år, og returnerer gjenvunne midler til brukerne, ifølge FTCs egen pressemelding. At et forbrukertilsyn, ikke en finansregulator, håndhever sikkerhetskrav på selve koden, er et signal om at ansvarsspørsmålet etter et hack ikke lenger avgjøres av fellesskapet alene. Kontrasten er saken mot Avraham Eisenberg i Mango Markets, der en jury først dømte ham, før dommen ble opphevet i 2025 på grunn av blant annet vernetingsspørsmål, en delvis seier for «code is law»-tanken som påtalemyndigheten deretter anket. Utfallet er fortsatt uavklart.

Virker obduksjonene? De samme feilene, om igjen

Det ærlige svaret er: delvis. Obduksjonskulturen har faktisk kurert noen sykdommer. Reentrancy, feilklassen bak det opprinnelige DAO-hacket i 2016, har falt fra andreplass til åttendeplass på OWASPs liste over de ti største smartkontraktrisikoene for 2026, nettopp fordi et tiår med obduksjoner ga oss verktøy som ReentrancyGuard, Slither og Mythril. Tilgangskontroll troner fortsatt øverst, og prismanipulasjon via orakler ligger på tredjeplass, et tema vi har brutt ned lag for lag i vår forklaring av prisorakler og OEV-økonomien.

Men hver kur presser angriperne mot en ny front. I første halvår 2026 flyttet pengene seg vekk fra kontraktsfeil og over til kompromitterte nøkler, infrastruktur og sosial manipulasjon. TRM Labs registrerte 207 hendelser, rekord i antall, men et samlet tap på 972 millioner dollar, rundt 9,2 milliarder kroner, altså under halvparten av året før. Smartkontrakt-exploits sto for 125 av hendelsene, men bare en liten andel av verdien, mens infrastrukturbrudd utgjorde rundt 15 prosent av hendelsene og hele 76 prosent av tapene, ifølge TRM Labs. Nord-Korea sto for rundt 643 millioner dollar, om lag to tredeler, drevet av to aprilangrep mot Drift og KelpDAO som til sammen tok nesten 577 millioner dollar, ingen av dem en klassisk kontraktsfeil.

Dette er den delen obduksjonene fanger dårligst, fordi et nøkkeltyveri eller en phishing-kampanje etterlater seg langt mindre ren kode å dissekere enn en logisk bug. Coldcard-saken er talende, og strukturelt ulik et vanlig kontraktshack: en fem år gammel svakhet i tilfeldighetsgeneratoren ble funnet med KI-assistert kodegjennomgang, og fordi en oppdatering ikke reparerer et frø som allerede er laget på sårbar fastvare, har saken verken et fast sluttbeløp eller et klart sluttpunkt, bare en løpende plikt for hver enkelt bruker til å flytte midlene til en ny nøkkel. Coinkite-grunnlegger Rodolfo Novak, kjent som NVK, har beskrevet det som en nøktern virkelighet i den nye KI-tidsalderen, der KI-assistert gjennomgang finner latente feil raskere enn selv bransjens mest erfarne eksperter, ifølge Bitcoin Magazine. Det kutter begge veier, for den samme KI-en leser åpen kildekode for angripere og forsvarere om hverandre. Og revisjoner er ingen garanti: Immunefi-grunnlegger Mitchell Amador har poengtert at «vi ble revidert» aldri har vært det samme som «vi er trygge», skriver han i CoinDesk. Det er en lærdom vi kjenner igjen fra Cetus-tyveriet på 223 millioner dollar, der tre revisjoner ikke fanget feilen, gjennomgått i vår sak om Solana- og Move-revisorene som vokter koden utenfor EVM.

Det norske bildet: Finanstilsynet, MiCA og DeFi-hullet

For norske lesere er det avgjørende spørsmålet: hvem har ryggen din når koden svikter? Svaret avhenger helt av hvor du oppbevarer kryptoen. EUs forordning MiCA er tatt inn i norsk rett gjennom EØS-avtalen, og Finanstilsynet fører tilsyn med tilbydere av kryptotjenester (CASP-er) som betjener norske kunder. Overgangsordningen ble forlenget til 30. juni 2026, og norske aktører som Firi, den største kryptobørsen i Norden, og Norwegian Block Exchange har fått MiCA-tillatelse.

Bruker du en MiCA-autorisert børs eller depotmottaker, har du en regulert motpart, klageveier og et ansvarsregime for oppbevaring etter MiCA. I tillegg pålegger EUs digitale motstandsdyktighetsregelverk DORA regulerte aktører en meldeplikt med korte frister etter en hendelse, med en innledende varsling innen få timer og senere mellom- og sluttrapporter. Men her ligger hullet: MiCA dekker sentraliserte tjenesteytere, ikke fullt desentralisert DeFi. Blir du tappet i et DeFi-protokoll, finnes det ingen CASP å klage til, ingen innskuddsgaranti, ingen frist noen bryter. Da er obduksjonen din eneste form for oppgjør. Egne DeFi-regler ventes ikke før tidligst 2027 eller 2028. Og en produsent av maskinvarelommebøker, som Coinkite bak Coldcard, er verken CASP eller depotmottaker, så Finanstilsynet har ingen myndighet der. Da gjenstår bare alminnelig produktansvar og forbrukervern, tregt, dyrt og uten kjent presedens for akkurat denne feiltypen.

Det obduksjonskulturen fortsatt mangler

Krypto importerte den skyldfrie rapporten fra programvarebransjen, men lot være å importere det som gjør luftfarten trygg: et obligatorisk, offentlig og sentralt havariregister. Bransjen fikk den litterære obduksjonen, men hoppet over den delen som gjør kunnskapen kumulativ. Resultatet er et minne i fragmenter. Tre seriøse aktører teller de samme seks månedene i 2026 svært ulikt: TRM Labs lander på 972 millioner dollar over 207 hendelser, CertiK på rundt 1,3 milliarder dollar over 344 hendelser, og SlowMist på et tredje tall. Tre kilder, tre fasit for samme periode, er konkret bevis på at feltet mangler en felles taksonomi.

Kunnskapen finnes, men spredt: rekt.news som fortellende kanon, søkbare databaser hos SlowMist og DefiLlama, OWASPs årlige taksonomi for kontrakter, og SEALs Safe Harbor som standardiserer responsen, ikke årsaken. Det er delene av et arkiv som ennå ikke er blitt et system. KI kan bli det første som får korpuset til å samle seg, ved at hver ny obduksjon mates inn og gjør neste analyse skarpere. Men som Coldcard viste, hjelper den samme teknologien angriperen like mye som forsvareren. Obduksjonen er kanskje det ærligste krypto gjør, men ærlighet om fortiden forhindrer bare fremtiden hvis noen faktisk fører regnskapet.

Ofte stilte spørsmål

Hva er en exploit-obduksjon (post-mortem)?

Det er en offentlig, teknisk rapport et kryptoprosjekt publiserer etter et hack. Den forklarer årsaken til feilen, en tidslinje over hva som skjedde, hvor stort tapet ble, og hva som gjøres for å hindre gjentakelse. Formen er lånt fra den skyldfrie obduksjonen i programvarebransjen, men krypto la til en offentlig, publikumsvendt stemme fordi det ofte ikke finnes noen domstol eller tilsynsmyndighet å klage til, særlig i DeFi.

Får jeg pengene tilbake hvis en kryptoprotokoll blir hacket?

Det kommer helt an på modellen. Har protokollen en kasse eller en pengesterk eier, som Ronin og Wormhole, kan brukerne bli gjort hele. Hentes midlene tilbake via dusør eller motangrep, som hos Euler, får du gjerne nesten alt. Men de fleste desentraliserte protokoller har ingen slik backstop, og da kan tapet bli varig. Bruker du en MiCA-regulert norsk børs, har du en regulert motpart og klageveier; bruker du et rent DeFi-protokoll, har du det ikke.

Hvorfor forhandler prosjekter med hackerne i stedet for å anmelde dem?

Fordi det ofte virker bedre. En anonym angriper som sitter på merkede midler har vanskelig for å vaske dem uten å bli sporet, og et tilbud om å beholde ti prosent i dusør mot å returnere resten, uten anmeldelse, kan være mer verdt enn en formue hele verden overvåker. Euler og Poly Network fikk tilbake nesten alt på denne måten. Rammeverk som SEALs Safe Harbor formaliserer avtalen slik at ærlige hvithatt-hackere kan gripe inn uten å risikere rettsforfølgelse.

Beskytter Finanstilsynet meg mot DeFi-hack?

Nei, ikke direkte. Finanstilsynet fører tilsyn med sentraliserte tilbydere av kryptotjenester (CASP-er) under MiCA, som er tatt inn i norsk rett via EØS-avtalen. Bruker du en autorisert børs eller depotmottaker, har du et regulert vern. Men MiCA dekker ikke fullt desentralisert DeFi, og heller ikke produsenter av maskinvarelommebøker. Blir du hacket der, finnes det ingen CASP å klage til, og obduksjonen blir ditt eneste oppgjør. Egne DeFi-regler ventes tidligst rundt 2027 til 2028.

Overlever de fleste protokoller et stort hack?

Nei, det er langt fra gitt. Utfallet avgjøres av fem faktorer: tilgang til kapital, hvor raskt og åpent teamet kommuniserer, om det er et team igjen til å bygge videre, om feilen var isolert eller fundamental, og om fellesskapet holder sammen. Ronin, Wormhole og Euler kom sterkere tilbake, mens Terra, Multichain og Nomad ble zombier eller forsvant helt. De første 48 timene, lenge før den fulle rapporten foreligger, avgjør ofte hvilken vei det går.

Skrevet av Henrik Solberg, sikkerhetsredaktør i HOGE Wire.