Følg pengene: kryptoforensikken bak hver obduksjon i 2026

Da Bybit ble tømt: 72 timer som avslørte alt

Den 21. februar 2025 forsvant om lag 1,5 milliarder dollar, drøyt 14 milliarder kroner, fra kryptobørsen Bybit i løpet av noen minutter. Det var det største tyveriet i kryptohistorien. Men den virkelige historien begynte i sekundene etterpå, med jakten på pengene. Angrepet var ingen kodefeil i en smartkontrakt; det var et manipulert signeringsgrensesnitt som lurte flere godkjennere i en multisig-lommebok til å signere en ondsinnet transaksjon, samme klasse nøkkelkompromiss som vi har brutt ned i gjennomgangen av MPC eller multisig. Selve tyveriet tok minutter. Sporingen har tatt over et år.

Innen 72 timer hadde fire uavhengige miljøer pekt på den samme gjerningsmannen, den nordkoreanske Lazarus-gruppen, uten å ha sett en eneste server eller e-post. Analysehusene Elliptic, Chainalysis og TRM Labs, sammen med den anonyme etterforskeren ZachXBT, hadde bare lest blokkjeden. Innen to døgn var over 160 millioner dollar allerede vasket, og i løpet av ti dager var brorparten av byttet vekslet om fra Ethereum til Bitcoin gjennom cross-chain-protokollen THORChain, ifølge BeInCrypto. Angriperne beveget seg med en hastighet og disiplin som fikk selv erfarne etterforskere til å måpe.

Det er dette som skiller kryptokriminalitet fra nesten all annen økonomisk kriminalitet: ranet er offentlig. Hver overføring tyven gjør ligger åpen for hele verden, for alltid. Likevel klarte angriperne å viske ut sporet til en firedel av byttet. Da Bybit-sjef Ben Zhou la fram et regnskap i april 2025, var tallene nådeløst presise. 68,57 prosent av midlene var fortsatt sporbare, 3,84 prosent var frosset, og 27,59 prosent, verdt over 380 millioner dollar (rundt 3,6 milliarder kroner), hadde det Zhou beskrev som penger som hadde «gått i svart» gjennom miksere, broer og handel utenom børs.

Denne artikkelen handler verken om hvordan et hack skjer eller om hvem som overlever det. Den handler om laget som ligger under selve obduksjonen: det forensiske sporet. Hver troverdig exploit-postmortem hviler på det samme fundamentet, en rekonstruksjon av hvor pengene tok veien. Uten sporet er en obduksjon bare en påstand. Med sporet blir den bevis, og av og til blir den penger tilbake på konto. Bybit-saken er lærestykket fordi den på én gang viser forensikkens styrke og dens grense: verdens raskeste attribusjon, og likevel 380 millioner dollar som bare forsvant.

Følg pengene: hvorfor obduksjonen begynner på kjeden

Kryptoforensikk gjør akkurat det etterforskere har gjort siden Watergate: den følger pengene. Forskjellen er at hovedboken er offentlig. En analytiker trenger ingen ransakingsordre for å se at rundt 401 000 ether forlot Bybit; transaksjonene lå på Ethereum-kjeden i det øyeblikket de ble bekreftet, synlige for enhver med en nettleser. Den store misforståelsen er at kryptovaluta er anonymt. Det er det ikke. Det er pseudonymt. Hver adresse er et kallenavn, en lang streng med tegn uten navn festet til seg, og hele jobben til etterforskeren er å knytte kallenavnet til en virkelig aktør.

Dette er paradokset i hjertet av all kryptoforensikk. Den samme åpne hovedboken som lar en angriper flytte en milliard dollar på et blunk, lar også etterforskeren følge hver eneste bevegelse i sanntid. Forebygging skjer før koden rulles ut, gjennom revisjon og metoder som formell verifisering, som matematisk beviser at koden gjør det den skal. Forensikk er det som er igjen når forebyggingen svikter. Den kan ikke stanse tyveriet, men den kan gjøre det dyrt, sporbart og av og til reversibelt. Der en bankraner forsvinner i mengden, etterlater en kryptotyv seg et permanent, offentlig spor fra første sekund.

Omfanget forklarer hvorfor et helt yrke har vokst fram rundt dette. Ifølge Chainalysis ble det stjålet over 3,4 milliarder dollar (rundt 32 milliarder kroner) i kryptovaluta gjennom 2025, der Bybit alene sto for 1,5 milliarder. Samtidig ble personlige lommebøker rammet i 158 000 hendelser mot minst 80 000 ofre, med et samlet tap på 713 millioner dollar. Å lese den offentlige hovedboken er ikke lenger en hobby for entusiaster; det er en industri med rettskraft, og den begynner alltid på samme sted: med å følge pengene.

Adresseklynging: slik blir en adresse til en aktør

Grunnverktøyet i kryptoforensikk heter adresseklynging (address clustering). En angriper bruker sjelden én adresse; en profesjonell aktør sprer midlene over hundrevis eller tusenvis av dem for å skjule sporet. Klynging er teknikken som samler disse adressene tilbake til én identifiserbar enhet, og den forvandler et virvar av kallenavn til et kart over aktører.

Metoden hviler på heuristikker, tommelfingerregler som holder i det store flertallet av tilfeller. Den viktigste er felles-input-eierskap: når flere adresser brukes samtidig som avsendere i én og samme Bitcoin-transaksjon, kontrolleres de nesten alltid av samme lommebok, for bare eieren har de private nøklene til alle sammen. En annen er gjenkjenning av vekslingsadresser, der protokollen sender restbeløpet tilbake til en fersk adresse eieren selv kontrollerer. Legg til noen hundre slike observasjoner, og tusenvis av tilsynelatende urelaterte adresser kollapser til en håndfull aktører. Ingen enkelt observasjon er et bevis, men mønsteret av dem er sterkt nok til å bygge en sak på.

Analysehusene har industrialisert dette. Verktøy som Chainalysis Reactor og plattformen til TRM Labs kombinerer klyngeheuristikk med enorme merkedatabaser: hvilke adresser tilhører hvilken børs, hvilken mikser, hvilken sanksjonert enhet. Når etterforskeren først har en klynge, blir spørsmålet ikke lenger «hvor gikk pengene», men «hvem eier neste stopp». Svaret er ofte en regulert kryptobørs med kundekontroll, og det er nettopp der sporet blir farlig for tyven, for der finnes det et navn bak kontoen.

Men klyngeanalyse alene stopper ved kanten av kjeden. De sterkeste sakene bygges når det pseudonyme sporet møter data fra den virkelige verden: kundeopplysninger en børs er pålagt å samle inn, en rettslig utleveringsordre mot en tjenesteyter, eller ren åpen-kilde-etterretning som gjenbrukte brukernavn, lekkede databaser og tidsstempler som avslører en tidssone. Det er i skjøten mellom on-chain-mønstre og off-chain-spor at en adresse endelig får et ansikt. En dyktig etterforsker leser derfor blokkjeden og internett samtidig.

Peel chains og fordeling: hvitvaskingens grammatikk

Når byttet er sikret, begynner hvitvaskingen, og den har sin egen gjenkjennelige grammatikk. Det klassiske mønsteret kalles en peel chain: angriperen skreller av en liten del av en stor sum til en ny adresse, sender resten videre til nok en fersk adresse, skreller av litt igjen, og gjentar prosessen i det uendelige. Hvert enkelt hopp ser uskyldig ut, men kjeden av dem tegner et mønster en trent analytiker kjenner igjen umiddelbart, som fotsporene til en som prøver å gå baklengs i snøen.

Lazarus-gruppen har perfeksjonert dette. I Bybit-saken ble Ethereum-en først vekslet tilbake fra likvide stakingderivater på desentraliserte børser, deretter viftet ut over hundrevis av mellomadresser. Chainalysis har dokumentert at Nord-Korea flytter over 60 prosent av byttet i transjer under 500 000 dollar, akkurat lite nok til å gli under mange varslingsterskler, og at en typisk hvitvaskingssyklus tar rundt 45 dager fra tyveri til uttak. Det er ikke tilfeldig støy; det er en arbeidsflyt som gjentas fra angrep til angrep, nesten som en fabrikk.

Den arbeidsflyten forklarer også et av de mest slående funnene i 2026. Ifølge TRM Labs ble det registrert rekordhøye 207 hack i første halvår 2026, men de samlede tapene falt til 972 millioner dollar (rundt 9,2 milliarder kroner). Infrastruktur- og nøkkelkompromisser sto for bare rundt 15 prosent av hendelsene, men hele 76 prosent av verdiene. Med andre ord: de virkelig store pengene forsvinner ikke gjennom smart kode, men gjennom stjålne nøkler og velsmurt hvitvasking. Det flytter tyngdepunktet i enhver obduksjon fra kontrakten til pengesporet.

Miksere og det kjeden ikke kan se

Peel chains gjør sporet langt, men ikke usynlig. Det som virkelig bryter koblingen mellom avsender og mottaker, er mikseren. En mikser, eller tumbler, samler innskudd fra mange brukere i én stor felles pott og betaler ut igjen i porsjoner som ikke lar seg matche mot innskuddene. CoinJoin-baserte lommebøker som Wasabi gjør dette for Bitcoin; på Ethereum har smartkontraktmikseren Tornado Cash lenge vært det foretrukne valget for aktører som vil kutte sporet, sammen med nyere protokoller som Railgun.

Nettopp Tornado Cash viser hvor betent dette feltet er. Det amerikanske finansdepartementet svartelistet protokollen i august 2022, med begrunnelse i nettopp Lazarus-hvitvasking. Men i november 2024 slo ankedomstolen i den femte kretsen fast, i saken Van Loon mot finansdepartementet, at uforanderlige smartkontrakter ikke er «eiendom» som kan sanksjoneres, og i mars 2025 ble Tornado Cash fjernet fra sanksjonslisten. Verktøyet som tømmer sporet er altså igjen fullt lovlig å bruke, en påminnelse om at forensikkens grenser like mye er juridiske som tekniske.

For etterforskeren betyr en mikser at sannsynlighetene faller. Man kan fortsatt anslå at midler som gikk inn sannsynligvis kom ut et sted, og forskere har utviklet teknikker for å demikse svake blandinger, men den harde, transaksjon-for-transaksjon-lenken brytes. Det er her mye av de 27,59 prosentene fra Bybit forsvant. Miksere gir ikke usynlighet, men de bytter sikkerhet mot statistikk, og statistikk holder sjelden i en rettssal.

Cross-chain: broene som visker sporet

Den vanskeligste utfordringen i moderne kryptoforensikk er ikke mikseren, men flyttingen mellom ulike blokkjeder. Så lenge pengene blir på Ethereum, følger analytikeren dem uten problem. I det øyeblikket de veksles fra Ethereum til Bitcoin, eller sendes gjennom en bro til en helt annen kjede, bytter sporet database. Ingen enkelt hovedbok inneholder hele reisen, og analytikeren må sy sammen bevegelsene fra to separate systemer basert på timing og beløp, ikke på en direkte lenke.

Det var akkurat denne teknikken Lazarus brukte i Bybit-saken. Rundt 1,2 milliarder dollar i Ethereum ble ført gjennom THORChain og vekslet til Bitcoin, en kjede der eierskapsmodellen er en annen og hvor mikserne er modne. Kombinasjonen av broer, desentraliserte børser og miksere tidlig i prosessen er blitt et signaturtrekk. Andrew Fierman, leder for nasjonal sikkerhetsetterretning i Chainalysis, har beskrevet det slik: Nord-Korea vasker byttet sitt «med en konsistens og flyt som tyder på bruk av kunstig intelligens».

Broene er blitt et eget stridstema i bransjen. Fordi de fleste broer og desentraliserte vekslere verken har kundekontroll eller en knapp å trykke på, fungerer de i praksis som blindsoner der sporet kan bytte kjede uten friksjon. Etter Bybit ble THORChain kritisert for å tjene gebyrer på å flytte nordkoreanske midler, og debatten om hvorvidt desentraliserte protokoller bør, eller i det hele tatt kan, filtrere slik trafikk, er fortsatt uavklart. For etterforskeren betyr det at de mest verdifulle flaskehalsene, de regulerte, er nettopp de tyven styrer unna.

Poenget er ikke at cross-chain gjør sporing umulig, men at det gjør den treg og usikker akkurat når hastighet betyr alt. Etterforskeren kappløper mot en motstander som kan flytte penger døgnet rundt, over dusinvis av kjeder, mens gjenvinning krever samarbeid på tvers av landegrenser og selskaper som tar tid. Hvert hopp mellom kjeder er noen minutter kjøpt for tyven og noen timer tapt for jegeren, og i den ligningen taper jegeren oftere enn han vinner.

Attribusjon: fra klynge til Lazarus

Å spore pengene er én ting; å sette navn på hvem som eier lommeboken, er en annen. Attribusjon er den delen av obduksjonen som knytter en anonym adresseklynge til en virkelig aktør, og den bygger på langt mer enn selve pengesporet. Etterforskere ser etter gjenbruk av infrastruktur, karakteristiske tidsmønstre, de samme mellomtjenestene brukt gang på gang, og ikke minst finansieringskilden. TRM Labs har for eksempel sporet startkapitalen i flere angrep tilbake til en Bitcoin-lommebok kontrollert av en kinesisk megler som ble tiltalt allerede i 2023 for å vaske Lazarus-midler. Et spor som starter i 2026 kan altså ende i en transaksjon fra 2018.

Mønsteret er blitt umulig å overse. Nord-Koreas andel av verdens kryptohack-tap har ifølge TRM Labs steget fra under 10 prosent i 2020 til 64 prosent i 2025 og hele 76 prosent i første halvår 2026, med et samlet tyveri på over 6 milliarder dollar siden 2017. To angrep alene i april 2026, mot Drift og KelpDAO, sto for rundt 577 millioner dollar (drøyt 5 milliarder kroner).

Det som gjør attribusjon vanskeligere, er at roten til de dyreste angrepene ofte ikke er kode i det hele tatt, men mennesker. Angrepet mot Drift begynte med at nordkoreanske operatører brukte måneder på å infiltrere teamet før en eneste transaksjon ble gjort. Ari Redbord, policysjef i TRM Labs, oppsummerer utviklingen slik: «Det vi ser er ikke en nordkoreansk kampanje som er bredere, den er skarpere. Nord-Korea beveger seg raskere og mer presist enn noen gang.» Samme dynamikk driver angrep der demokratiet i en protokoll selv blir våpenet, som i styringsangrepet mot Term Finance i august 2026. Attribusjon er derfor like mye etterretning som regnskap.

Rettsmedisinerne: hvem gjør sporingsarbeidet

En moderne exploit-postmortem er sjelden skrevet av én hånd. Den er et samarbeid mellom aktører med ulike roller, ulike verktøy og ulike motiver. Å forstå hvem som gjør hva, er nøkkelen til å lese hvor mye vekt man skal legge på hver enkelt påstand i rapporten.

Analysehusene, Chainalysis, TRM Labs og Elliptic, selger sporingsverktøy og etterretning til børser, banker og myndigheter; de er sterke på pengestrøm og sanksjonsdata. Hendelsesrespons-selskaper som Sygnia og Verichains hentes inn for å rekonstruere selve innbruddet teknisk. Sikkerhetsselskaper som Halborn fungerer som bransjens rettsmedisinere og skriver root-cause-rapporten. Uavhengige etterforskere som ZachXBT jobber i åpen kilde og er ofte først ute med attribusjon, uten kommersielle hensyn. Og over det hele ligger det frivillige krisenettverket SEAL 911, en døgnåpen linje som kobler ofre for pågående angrep til erfarne sikkerhetsforskere i sanntid.

Denne arbeidsdelingen er også en form for kvalitetskontroll. Når Elliptic, Chainalysis, TRM Labs og ZachXBT uavhengig av hverandre lander på samme gjerningsmann innen 72 timer, slik de gjorde med Bybit, er attribusjonen langt sterkere enn om ett enkelt selskap hadde stått alene. Kryptoforensikk er en disiplin der konsensus mellom konkurrenter er selve beviset, og der en enslig påstand uten uavhengig bekreftelse bør leses med forsiktighet.

Frys og inndragning: når sporet fører til gripbare penger

Et spor er verdiløst hvis det ikke fører til penger som kan tas. Her ligger den virkelige styrken i kryptoforensikk, for den moderne kryptoøkonomien har flere flaskehalser enn folk tror. Sentraliserte stablecoins er den viktigste. Utstedere som Tether og Circle kan fryse enhver adresse på kommando, og gjør det jevnlig når stjålne midler passerer gjennom deres tokener. I Bybit-saken var det nettopp en slik frysing som reddet de 3,84 prosentene som ikke gikk tapt.

Børser er den andre flaskehalsen. I det øyeblikket tyven prøver å veksle krypto til vanlige penger, må midlene som regel innom en regulert kryptobørs med kundekontroll, og der kan de fryses og beslaglegges. Noen ganger går gjenvinningen enda lenger. Etter Wormhole-hacket i 2022, der rundt 321 millioner dollar forsvant, fikk Jump Crypto og Oasis en kjennelse fra ankedomstolen i England og Wales som lot dem utnytte en svakhet i angriperens egen lommebok og hente tilbake 225 millioner dollar (rundt 2,1 milliarder kroner). Sporet førte ikke bare til pengene; det førte til en juridisk vei for å ta dem.

Der loven ikke rekker, tar økonomien over. Mange protokoller tilbyr angriperen en dusør, typisk 10 prosent, mot å returnere resten, en forhandling som utspiller seg åpent i transaksjonsmeldinger på kjeden. Hvem som til slutt avgjør en slik utbetaling, og på hvilke vilkår, er et eget maskineri vi har beskrevet i gjennomgangen av bug bounty-programmene. Poenget er at sporingen skaper forhandlingskortet: en angriper som vet at hver krone er merket og jaget, har god grunn til å ta de 10 prosentene og gå.

Fellesnevneren for alle disse utfallene er flaskehalsen. Så lenge kryptoøkonomien må veksle til vanlige penger gjennom regulerte porter, og så lenge de største stablecoinene kan fryses sentralt, finnes det punkter der et spor kan bli til et beslag. Analysehusene mater sanksjonslister og adressevarsler inn i disse portene, slik at en merket adresse utløser alarm i det den nærmer seg en børs. Kunsten for tyven er å nå kontanter uten å passere en eneste av dem, og det blir vanskeligere for hvert år.

Det norske sporet: Økokrim, FBI og de 750 spillerne

Sporingen er ikke abstrakt for norske lesere. Da spillet Axie Infinity ble frastjålet kryptovaluta for rundt fem milliarder kroner i mars 2022, i det FBI tilskrev Lazarus, var 750 norske spillere blant dem som tapte penger de hadde investert. Det gjorde et internasjonalt kryptoran til en norsk politisak, og satte de forensiske verktøyene på prøve i norsk kontekst.

Resultatet ble det største kryptobeslaget norsk politi noensinne har gjort. Økokrim klarte, i samarbeid med amerikanske myndigheter og kjedeanalyse, å spore og inndra 60 millioner kroner i kryptovaluta fra saken. Hele beløpet ble ført tilbake til Ronin Network, selskapet som hadde dekket spillernes tap. Saken er et lærebokeksempel på hvordan et forensisk spor, når det krysser landegrenser og ender hos aktører som kan gripes, faktisk gir penger tilbake til ofrene.

Den viser også grensen. 60 millioner kroner var en brøkdel av de fem milliardene som forsvant. Resten fulgte den samme veien gjennom miksere og broer som senere skulle bli Lazarus sitt signaturtrekk i Bybit-saken. Selv en rekordstor norsk seier gjenvant altså bare noen få prosent av det opprinnelige tyveriet, og understreker at forensikk oftest handler om å redde deler, ikke helheten.

Regelverket: Finanstilsynet, MiCA via EØS og Travel Rule

Forensikk lever ikke i et juridisk vakuum. I Norge fører Finanstilsynet tilsyn med kryptotjenesteytere (CASP-er) etter EU-regelverket MiCA, som er innlemmet i EØS-avtalen. En regulert norsk børs som Firi må følge kundekontroll og hvitvaskingsregler, og det er nettopp disse kravene som gjør sporing operativ. Den såkalte Travel Rule pålegger tjenesteytere å sende med avsender- og mottakerinformasjon ved overføringer over en viss terskel, slik at pengene ikke kan hoppe anonymt mellom regulerte plattformer. Slik blir hvert regulert mellomledd et punkt der et pseudonymt spor kan knyttes til et navn.

For skattemyndighetene er den offentlige hovedboken en gave. Skatteetaten kan i prinsippet se de samme bevegelsene som etterforskerne, og norske kryptoeiere er pliktige til å føre gevinst og tap i skattemeldingen. Men tilsyn og skatt dekker bare den regulerte delen av markedet, og det er her det store hullet ligger.

For en vanlig norsk kryptoeier er lærdommen praktisk. Holder du midlene på en børs regulert av Finanstilsynet, har du et mellomledd som kan fryse, spore og i beste fall tilbakeføre om noe går galt. Flytter du dem inn i en desentralisert protokoll på jakt etter høyere avkastning, bytter du nettopp den beskyttelsen mot et spor som bare er nyttig etter at skaden er skjedd. Valget mellom de to er i realiteten et valg om hvor mye du stoler på koden alene.

MiCA regulerer sentraliserte mellomledd, ikke rene DeFi-protokoller uten en ansvarlig operatør. Blir du frastjålet penger i en desentralisert protokoll, finnes det ingen CASP å klage til, ingen innskuddsgaranti og ingen tilsynsmyndighet med ansvar. EUs egne DeFi-regler er ikke ventet før tidligst 2027 eller 2028. Inntil da er det forensiske sporet, og obduksjonen som bygger på det, ofte den eneste formen for oppgjør et offer får. Rapporten erstatter i praksis både forsikringen og domstolen.

Forensikkens grenser: når obduksjonen bommer

Det er lett å la seg blende av suksesshistoriene. Men kryptoforensikk har harde grenser, og en ærlig obduksjon erkjenner dem. Den første er personvernvalutaer. Der Bitcoin og Ethereum er gjennomsiktige, er Monero bygget for å skjule beløp, avsender og mottaker på selve protokollnivået; et spor som forsvinner inn i Monero er som regel dødt ved ankomst.

Den andre grensen er overgangen til den fysiske verden. Så lenge pengene er på kjeden, kan de spores; i det øyeblikket de veksles til kontanter gjennom uregulerte handelsplattformer, over-the-counter-meglere eller person-til-person-handel i land uten samarbeid med vestlige myndigheter, stopper det digitale sporet. Det var slik brorparten av de 27,59 prosentene fra Bybit forsvant for godt, ikke gjennom smart kode, men gjennom jurisdiksjoner der ingen tar telefonen.

Den tredje, og mest undervurderte, er risikoen for feil. En heuristikk er en sannsynlighet, ikke et bevis. Overklynging kan feilaktig knytte en uskyldig adresse til en kriminell enhet, og attribusjon til «Lazarus» er noen ganger en kvalifisert antakelse presentert med større sikkerhet enn den fortjener. Et forensisk spor er en hypotese om hvor pengene gikk, underbygd av mønstre, ikke en fasit. Den beste obduksjonen er den som viser arbeidet sitt og er tydelig på hvor sikkerheten slutter og gjetningen begynner.

Til sist er dette et kappløp der begge sider nå bruker maskiner. Der analysehusene lener seg på maskinlæring for å finne mønstre i millioner av transaksjoner, peker både Chainalysis og TRM Labs på at motstanderen automatiserer hvitvaskingen sin med samme slags verktøy. Ari Redbord i TRM Labs har advart om at kunstig intelligens fjerner de gamle begrensningene, som språkbarrierer og tiden det tar å bygge en troverdig falsk identitet. Forensikkens grense er derfor ikke fast; den flyttes hver gang en av partene får et bedre verktøy.

Hva et godt spor faktisk endrer

Hvorfor bruke måneder på å følge penger som ofte ikke kan hentes tilbake likevel? Fordi sporet endrer spillet selv når det ikke ender i gjenvinning. Det skaper avskrekking: en angriper som vet at hver bevegelse blir merket, jaget og publisert, må bruke tid, ressurser og risiko på hvitvasking som spiser av byttet. De 45 dagene Nord-Korea trenger for å vaske et ran, er 45 dager med eksponering, og hver frosne stablecoin gjør neste angrep dyrere.

Sporet gir også de reelle seirene når de kommer: Wormhole-tilbakeføringen, Økokrim-beslaget, de frosne Tether-midlene. Og det gir noe mindre håndfast, men like viktig: en offentlig standard for hva som faktisk skjedde. Når fire konkurrerende miljøer lander på samme konklusjon innen tre dager, blir attribusjonen en del av bransjens felles hukommelse, arkivert av steder som rekt.news og gjenbrukt i neste sak. Sporet fra ett angrep blir etterretningen som løser det neste.

Til syvende og sist er kryptoforensikk det som gjør obduksjonen mer enn en historie. En exploit-postmortem uten et spor er en påstand om hva som kan ha skjedd. Med sporet blir den et regnskap: så mye forsvant, så mye ble frosset, så mye gikk i svart, og dette er veien pengene tok. I en bransje uten en sentralbank som kan trykke tap bort, er det regnskapet ofte det nærmeste ofrene kommer rettferdighet. Derfor begynner enhver troverdig obduksjon med de samme tre ordene som har ledet etterforskere i femti år: følg pengene.

Ofte stilte spørsmål

Er kryptovaluta anonymt for dem som jakter på tyven?

Nei. De fleste kryptovalutaer er pseudonyme, ikke anonyme. Hver transaksjon ligger permanent på en offentlig blokkjede, og etterforskere kan følge pengene fra adresse til adresse. Utfordringen er ikke å se bevegelsene, men å koble adressene til virkelige aktører og å følge sporet gjennom miksere og broer som er laget for å bryte den koblingen.

Hva er adresseklynging?

Adresseklynging er teknikken der etterforskere grupperer mange adresser som sannsynligvis kontrolleres av samme aktør. Den bygger på heuristikker, for eksempel at flere adresser som brukes samtidig som avsendere i én transaksjon vanligvis har samme eier. Slik kan tusenvis av adresser kokes ned til en håndfull identifiserbare enheter.

Hvorfor forsvinner noen stjålne kryptopenger for alltid?

Sporet blir tynt når midlene sendes gjennom miksere, personvernsprotokoller og cross-chain-broer som veksler én kryptovaluta mot en annen. I Bybit-saken forsvant 27,59 prosent av byttet på denne måten. Når pengene til slutt havner hos uregulerte handelsplattformer eller veksles til kontanter, stopper som regel det digitale sporet.

Kan norske myndigheter få tilbake stjålet krypto?

Noen ganger. Økokrim inndro 60 millioner kroner i kryptovaluta etter angrepet mot Axie Infinity og førte hele beløpet tilbake til selskapet som hadde dekket spillernes tap. Gjenvinning krever at sporet fører til midler som fortsatt kan gripes, typisk hos en regulert børs eller en stablecoin-utsteder som kan fryse dem.

Hvem skriver den forensiske delen av en exploit-postmortem?

Sjelden bare ett miljø. Analysehus som Chainalysis, TRM Labs og Elliptic sporer pengestrømmen, hendelsesrespons-selskaper som Sygnia og Verichains rekonstruerer innbruddet, uavhengige etterforskere som ZachXBT står for attribusjon, og frivillignettverket SEAL 911 rykker ut i sanntid. Prosjektets eget team fletter det sammen til den ferdige rapporten.

Anneke de Vries er sikkerhetsredaktør i HOGE Wire og skriver om exploits, kryptoforensikk og hendelsesrespons.