AI mot AI: Halborn og kryptoens nye sikkerhetskappløp

I januar 2024 satte en finansmedarbeider hos ingeniørselskapet Arup i Hong Kong seg inn i et rutinemessig videomøte. På skjermen satt selskapets finansdirektør og flere kolleger, alle gjenkjennelige i stemme og ansikt. Alle på møtet, bortsett fra medarbeideren selv, var generert av kunstig intelligens. I løpet av én dag gikk 15 overføringer på til sammen rundt 25 millioner dollar (cirka 230 millioner kroner) ut av selskapet, slik Hongkong-politiet og Arup selv senere bekreftet. Ingen kode ble hacket. Et menneske ble overbevist.

Det var tradisjonell finans. I krypto gikk 2026 enda lenger: hele ingeniørteam blir infiltrert av operatører som består jobbintervjuet ved hjelp av sanntids-deepfakes, mens de dyreste tyveriene i bransjen ikke lenger treffer smartkontraktene i det hele tatt. Dette er terrenget sikkerhetsfirmaet Halborn nå opererer i, og i 2026 la selskapet stille til to tjenester som ville hørtes ut som science fiction for få år siden: AI Red Teaming og AI Security Assessment. Grunnen er enkel. Både angriper og forsvarer har nå en maskin.

Kort forklart: hva AI-kappløpet i kryptosikkerhet betyr

AI-kappløpet beskriver en enkel, ubehagelig utvikling: de samme språkmodellene og generative verktøyene som gjør en utvikler mer produktiv, gjør også en angriper mer produktiv. En svindel-e-post som før krevde et helt team og dager med research, kan nå skrives på sekunder, på feilfritt norsk, tilpasset akkurat din rolle og dine kolleger. En stemme kan klones fra et par sekunder lyd. Et ansikt kan animeres i sanntid. Samtidig bruker forsvarssiden de samme verktøyene til å lese kode raskere, oppdage unormale transaksjoner og teste egne systemer hardere.

For å forstå balansen er det verdt å dele opp hvem som får mest ut av teknologien.

• Angriperne bruker AI til skala og troverdighet: masseprodusert, personlig phishing, deepfakes av stemme og video, falske identiteter, og automatisert leting etter sårbarheter.
• Forsvarerne bruker AI til hastighet og dekning: kodegjennomgang, fuzzing, avviksdeteksjon på kjeden, raskere triage under en hendelse, og red teaming av egne AI-systemer.
• Asymmetrien ligger i at AI senker kostnaden ved å angripe mennesker raskere enn den hever kostnaden ved å forsvare dem.

Halborn er en nyttig linse fordi selskapet sitter på begge sider av bordet: det bygde ry på å bryte seg inn i systemer før kriminelle gjorde det, og selger nå forsvar mot nøyaktig de AI-drevne angrepene det selv kan utføre. Resten av denne artikkelen bruker firmaet til å forklare hvordan kappløpet ser ut i praksis, hvorfor tallene har flyttet seg bort fra koden, og hva regelverket i Norge og EU faktisk krever.

Hvorfor de dyreste angrepene ikke lenger treffer koden

Den viktigste enkeltinnsikten i kryptosikkerhet akkurat nå er at pengene har flyttet seg. I TRM Labs sin halvårsrapport for 2026 ble det registrert 207 separate hack i første halvår, det høyeste tallet selskapet noen gang har målt i en seksmånedersperiode, men de samlede tapene falt til rundt 972 millioner dollar (cirka 9 milliarder kroner), mindre enn halvparten av de 2,3 milliardene dollar som ble stjålet i første halvår 2025. Enda viktigere er fordelingen: infrastruktur- og driftskompromisser sto for bare rundt 15 prosent av hendelsene, men rundt 76 prosent av verdiene. Tre firedeler av alt som ble stjålet, kom fra kompromitterte nøkler, forvaring og signeringssystemer, ikke fra feil i smartkontrakter. Det typiske hacket endte på rundt 219 000 dollar (cirka to millioner kroner); det er de få store som drar snittet.

Bildet stemmer med året før. Chainalysis anslo at over 3,4 milliarder dollar (rundt 32 milliarder kroner) ble stjålet i 2025, at nordkoreanske grupper sto for rundt 2,02 milliarder av dem, og at Bybit-tyveriet i februar 2025 på 1,5 milliarder dollar var det største kryptotyveriet noensinne. Det angrepet brøt ingen smartkontrakt: angriperne manipulerte grensesnittet signistene så, slik at en ondsinnet transaksjon ble presentert som ufarlig. I 2026 fortsatte mønsteret, og bransjetall viser at stjålne nøkler nå topper listen over årsaker, med samlede DeFi-tap rundt 1,3 milliarder dollar.

Konklusjonen er ubehagelig for alle som tror en ren revisjon er nok: de dyreste angrepene treffer ikke lenger koden, de treffer menneskene og systemene rundt den. Og det er nettopp der kunstig intelligens hjelper angriperen mest. Tabellen under viser hvordan noen av de største tapene de siste to årene fordeler seg.

Fire av de fem største postene her handler om mennesker, prosesser eller infrastruktur, ikke om en feil i selve kontrakten. Det er den forskyvningen AI forsterker, fordi det billigste å automatisere ikke er å finne en bug, men å lure et menneske.

Halborn, kort fortalt: fra angrepsteam til AI-forsvar

Halborn ble grunnlagt i 2019 i Miami av Steven Walbroehl og Rob Behnke, og drev uten ekstern kapital de første årene før selskapet hentet 90 millioner dollar (rundt 840 millioner kroner) i en serie A ledet av Summit Partners sommeren 2022. Siden 2024 har Jacques Boschung vært administrerende direktør, mens Behnke er styreleder og president og Walbroehl er teknologidirektør. Kundelisten på selskapets egne sider nevner blant andre Coinbase, Polygon og Solana.

Selskapets DNA er offensivt. Halborn beskriver offensiv sikkerhet som «a framework that advocates the use of proactive (or offensive) techniques to actively mitigate attacks», og bygde ry på å angripe systemer før kriminelle rakk det. Vi har tidligere skrevet om hvordan det gjør Halborn til et angrepsteam som bryter seg inn hos kundene med vilje. Det nye i 2026 er at angrepsflaten har fått et nytt lag: kunstig intelligens. Derfor tilbyr firmaet nå AI Red Teaming og AI Security Assessment ved siden av de tradisjonelle kode- og infrastrukturtjenestene, og argumenterer i et eget notat for at AI og blokkjede smelter sammen til en ny sikkerhetsdisiplin.

Poenget er ikke at Halborn er alene om dette; CertiK, OpenZeppelin og Trail of Bits bygger tilsvarende AI-verktøy. Poenget er at et firma som lever av å simulere angripere, er en presis målestokk på hva angriperne faktisk kan gjøre nå.

Slik bruker angriperne AI

Start med det enkleste. Den klassiske advarselen mot phishing, se etter dårlig språk og rare formuleringer, er død. En språkmodell skriver feilfri, kontekstbevisst tekst på et hvilket som helst språk, og kan masseprodusere tusenvis av varianter tilpasset mottakerens rolle, arbeidsgiver og nylige aktivitet. Steven Walbroehl i Halborn sier det rett ut: «Hackers are using AI to create highly personalized, context-aware attacks that bypass traditional security awareness training».

Neste nivå er syntetiske medier. Arup-saken i innledningen er ikke et engangstilfelle, men en mal: rundt 25 millioner dollar ut døren fordi et menneske stolte på ansikter og stemmer på en skjerm. Stemmekloning krever i dag noen få sekunder lyd, og sanntids-video-deepfakes er gode nok til å bestå et videomøte med kjente kolleger.

Så kommer identitet. Angripere bruker AI til å generere portrettbilder, CV-er, porteføljenettsteder og følgebrev, og til å oversette og maskere kommunikasjon i sanntid. Det er ryggraden i den nordkoreanske infiltrasjonskampanjen vi kommer til i neste seksjon. Og til slutt selve kodejakten: språkmodeller kan lese store kodebaser, foreslå hvor svakhetene ligger og skrive utkast til utnyttelseskode. Det fjerner ikke behovet for dyktige mennesker, men det senker ferdighetsgulvet og øker tempoet.

Legg til ondsinnede språkmodeller, modell- og dataforgiftning, og slopsquatting (der angripere registrerer pakkenavn som AI-modeller finner på og anbefaler), så har du en verktøykasse som ikke fantes for tre år siden. Tabellen under stiller angriperens og forsvarerens bruk opp mot hverandre.

Legg merke til at radene er symmetriske på papiret, men ikke i praksis. Angriperen trenger bare å lykkes én gang, mot ett menneske. Forsvareren må lykkes hver gang, mot alle.

Deepfaken i jobbintervjuet: den nordkoreanske infiltrasjonen

Den tydeligste illustrasjonen på at AI tipper balansen, er ikke et smartkontrakt-hack i det hele tatt. Det er ansettelsesprosessen. Gjennom 2025 og 2026 har nordkoreanske operatører søkt på eksterne utviklerstillinger med stjålne identiteter, AI-genererte CV-er og porteføljer, og med sanntids-deepfakes i videointervjuet. I august 2026 advarte elleve land i fellesskap om at metoden var god nok til å bestå vanlige ansettelseskontroller.

Hvor konkret det er, viste et forskningsteam som bygde en falsk kryptostartup og faktisk ansatte tre antatte nordkoreanske IT-arbeidere, komplett med forfalskede ID-er, VPN-er og fjerntilgang. Google har dokumentert at nordkoreanske grupper bruker AI-deepfakes spesifikt mot kryptomål. Skalaen er ikke triviell: det amerikanske finansdepartementet anslår at IT-arbeiderordningen alene genererte nesten 800 millioner dollar (rundt 7,4 milliarder kroner) i 2024, og sanksjonerte i mars 2026 et nettverk som flyttet inntektene via krypto.

Lisa, som leder sikkerhetsoperasjoner hos SlowMist, beskriver spillboken presist: «Threat actors are already leveraging AI-generated deepfakes, tailored phishing, and even fake developer hiring tests to obtain wallet keys, cloud credentials, and signing tokens». Poenget er at angrepet ikke retter seg mot en kontrakt, men mot organisasjonskartet. Når en utvikler først er innenfor, kan vedkommende vente i uker eller måneder før nøkler og tilganger misbrukes. Drift-tyveriet i april 2026, der en gruppe brukte en seks måneder lang svindeloperasjon som utga seg for å være et kvantitativt handelsfirma, er samme logikk satt i system.

Slik bruker forsvarerne AI, og hvor det svikter

Forsvarssiden er ikke forsvarsløs. AI-assistert kodegjennomgang fanger kjente feilmønstre raskere enn et menneske rekker å bla. Fuzzing og symbolsk utforskning kan drives hardere med maskinstøtte. På kjeden kan modeller flagge unormale transaksjonsmønstre i sanntid, og under en hendelse kan de korte ned triage fra timer til minutter. Halborns egen AI Red Teaming lover å teste hele stacken, «the full stack», altså modeller, inndata, integrasjoner og menneskene rundt, og selskapets AI Security Assessment vurderer eksplisitt risiko fra prompt injection, modellforgiftning, dataforgiftning, ondsinnede språkmodeller og AI-drevet sosial manipulering.

Men her er den ærlige delen, som selgere av AI-revisjon sjelden fremhever: verktøyene er svakest akkurat der de dyreste feilene bor. Akademiske evalueringer av språkmodeller som skal klassifisere sårbarheter, treffer riktig kategori på i underkant av en tredjedel av ukjente funksjoner i enkelte studier, og modellene hallusinerer funn som ikke finnes samtidig som de overser logikk de aldri har sett før. En AI er god på det som ligner treningsdataene og dårlig på det nye, mens de store tapene nettopp kommer fra nye, økonomiske og designmessige feil, ikke fra lærebokbugs.

Nick Percoco, sikkerhetssjef i Kraken, oppsummerer hvor pilen peker: «The future of crypto security will be shaped by smarter identity verification and AI-driven threat detection». Det er sannsynligvis riktig. Men å tro at en ren AI-gjennomgang er en garanti, er samme feilslutning som å tro at et revisjonsstempel gjorde Cetus, Balancer eller KelpDAO usårbare. AI snevrer inn gapet på det kjente. Det lukker det ikke.

Når AI-en selv er angrepsflaten: agenter, prompt injection og x402

Den nyeste vrien er at kunstig intelligens ikke bare er et verktøy for angrep og forsvar, men i seg selv har blitt en angrepsflate. Gjennom 2026 ble autonome AI-agenter som skanner markeder, handler og forvalter porteføljer mainstream, og mange av dem holder faktiske nøkler og signerer transaksjoner. CoinDesk advarte allerede i april 2026 om at denne modellen har en skjult svakhet.

Problemet heter i stor grad prompt injection. En agent som henter data fra omverdenen, kan bli matet med skjulte instruksjoner i akkurat de dataene, og fordi agenten ofte handler uten et menneske i løkken, kan én manipulert instruksjon flytte penger umiddelbart. Bransjeanslag knytter over 45 millioner dollar (over 400 millioner kroner) i tap i 2026 til sårbarheter i AI-handelsagenter, og forskning har vist hvordan falske minner kan plantes i web3-agenter for å styre dem. Nye betalingsstandarder som x402, der agenter betaler per forespørsel med stablecoins, gjør blastradiusen større: nå kan en manipulert agent ikke bare gi råd, men flytte kapital på egen hånd.

Det er her Halborns AI-tjenester peker rett inn, og hvorfor selskapet argumenterer for at AI og blokkjede må sikres som ett system. Vi bygger autonome pengeflyttere oppå infrastruktur vi ikke fullt ut forstår feilmodusene til, og gjør det raskt.

Menneskelaget er fortsatt målet

Trekker vi trådene sammen, peker alt mot samme sted. Walbroehl i Halborn spår at «AI-enhanced social engineering will play a significant role in the crypto hackers’ playbooks», og Percoco i Kraken formulerer kjernen enda skarpere: «Attackers aren’t breaking in, they’re being invited in». Angriperne bryter ikke lenger ned døren; de får den åpnet av et menneske som tror det gjør riktig.

Det gjør signeringsøyeblikket til det virkelige slagfeltet. En perfekt revidert kontrakt hjelper ikke hvis brukeren godkjenner en ondsinnet transaksjon fordi grensesnittet, eller en overbevisende kollega på video, sier at alt er i orden. Det er derfor blindsignering er en så farlig vane, noe vi har gått grundig gjennom i vår artikkel om EIP-7702 og hva du egentlig godkjenner, og hvorfor kampen om selve signeringsskjermen avgjør mer enn folk tror. AI gjør bare den menneskelige overtalelsen billigere og mer troverdig. Forsvaret er ikke først og fremst et verktøy, men en kultur: bekreft utenom kanalen, mistro hastverk, og les det du signerer.

Kan du stole på en AI-revisjon?

Et voksende salgsargument i 2026 er AI-revidert. Det høres betryggende ut, men kan gjøre vondt verre hvis det skaper falsk trygghet. Ingen offentlig myndighet akkrediterer smartkontrakt-revisorer, og ingen akkrediterer AI-sikkerhetsverktøy heller. Kvaliteten holdes i sjakk av omdømme, ikke av regulering, og omdømme fungerer bare når noen faktisk følger opp.

Historikken er streng lesning. Cetus ble tømt for rundt 223 millioner dollar i mai 2025 til tross for tre separate revisjoner; Balancer var revidert mer enn ti ganger før avrundingsfeilen ble utnyttet i november 2025. En AI som er trent på gårsdagens feil, ville neppe fanget noen av dem, for begge lå i logikk og økonomi ingen sjekkliste dekket. Bruk gjerne AI som et ekstra par øyne. Ikke forveksle det med en garanti.

Regelverket henger etter: EU AI Act, DORA og Finanstilsynet

For norske lesere er det verdt å være presis på hva loven faktisk krever. Tre regelverk møtes her, og ingen av dem pålegger en kodegjennomgang av en smartkontrakt.

EU AI Act er risikobasert, og reglene for høyrisikosystemer under vedlegg III trer i kraft i EU fra 2. august 2026. Forordningen er EØS-relevant, men Norge ligger etter: ifølge advokatfirmaet BAHR bommet regjeringen på sitt opprinnelige mål om innføring sommeren 2026, og et lovforslag ventes først lagt fram for Stortinget våren 2027. Nasjonal kommunikasjonsmyndighet (Nkom) pekes ut som koordinerende myndighet, mens Datatilsynet og sektormyndigheter som Finanstilsynet får ansvar på hver sine felt.

DORA, EUs forordning om digital operasjonell motstandsdyktighet, gjelder i EU fra 17. januar 2025 og stiller krav til IKT-risikostyring, hendelsesrapportering og motstandstesting for finansforetak, inkludert MiCA-regulerte kryptoforetak (CASP-er). Regelverket innlemmes i norsk rett via EØS-avtalen, med Finanstilsynet som tilsyn. Norge har allerede et rammeverk for trusselstyrt inntrengingstesting, TIBER-NO, etablert av Norges Bank og Finanstilsynet, og under DORA blir slik testing obligatorisk for de mest sentrale foretakene. Tabellen oppsummerer hvor Norge står.

Fellestrekket er tydelig: myndighetene regulerer foretakene og IKT-robustheten deres, ikke kvaliteten på Solidity-koden. For fullt desentraliserte protokoller finnes det dessuten ingen CASP å holde ansvarlig, og da er revisjon, red teaming og en ærlig obduksjon i praksis den eneste garantien brukerne får.

Hva angrep koster, og hva forsvar koster

Økonomien i kappløpet er ubarmhjertig. AI kollapser angriperens kostnad: en phishing-kampanje som før krevde et team, krever nå en ledetekst, og en overbevisende deepfake koster nesten ingenting å produsere. Forsvarerens kostnad går motsatt vei. En grundig revisjon fra et toppfirma ligger typisk et sted mellom 80 000 og 350 000 dollar (fra rundt 740 000 til over tre millioner kroner), og markedsreferanser for 2026 viser priser fra noen få tusen dollar for en enkel kontrakt til godt over 250 000 dollar for en stor gjennomgang, med påslag for hastverk og for Rust-, Move- og ZK-kode.

Sett det opp mot at det typiske hacket i første halvår 2026 endte på rundt 219 000 dollar (cirka to millioner kroner), mens de få store dro tapene opp i milliardklassen. For de fleste protokoller er regnestykket brutalt: forsvar er en fast, synlig kostnad, mens angrep er en variabel, skjult risiko, og AI flytter begge kurvene i angriperens favør med mindre forsvaret automatiseres like aggressivt. Det er den logikken som får firmaer som Halborn til å selge kontinuerlig red teaming og overvåking i stedet for én enkelt revisjon i året.

Slik beskytter du deg

Det finnes ingen knapp som slår av AI-drevne angrep, men risikoen kan reduseres kraftig med disiplin. For vanlige brukere:

• Bekreft alltid uvanlige penge- eller nøkkelforespørsler utenom kanalen de kom i, spesielt hvis noen presser på tid.
• Bruk maskinvarelommebok og clear signing slik at du ser hva du faktisk godkjenner, og les det. Vår gjennomgang av hvordan du avslører en rug pull før du taper penger bygger på samme grunnprinsipp: verifiser, ikke stol.
• Vær like skeptisk til en overbevisende video som til en dårlig e-post; ansikt og stemme kan forfalskes.

For protokoller og foretak:

• Gi AI-agenter og tjenestenøkler minst mulig rettigheter, og krev et menneske i løkken for store overføringer.
• Red team menneskene og prosessene, ikke bare koden; de fleste store tap i 2026 gikk via ansettelser, signering og infrastruktur.
• Behandle forvaring og signering som infrastruktur av samme betydning som selve kontrakten, slik vi beskriver i artikkelen om når børsen blir lommeboken din.

Veien videre: post-quantum og agent-økonomien

To krefter vil forme neste runde. Den ene er kvantedatamaskiner. Selv om et kryptografisk relevant kvantesprang ikke er her ennå, samler motstandere allerede kryptert data i en harvest now, decrypt later-logikk, og bransjen, Halborn inkludert, har begynt å presse på for kvantesikre løsninger og secure by design. Den andre er agent-økonomien: jo flere autonome systemer som holder nøkler og flytter penger, desto større blir konsekvensen når ett av dem manipuleres.

Den nøkterne konklusjonen er at kunstig intelligens verken redder eller ødelegger kryptosikkerheten alene. Den er en kraftmultiplikator som gjør både angrep og forsvar raskere, billigere og mer overbevisende. Balansen avgjøres fortsatt av det AI er dårligst til å erstatte: dømmekraft, prosess og tillit som er tjent, ikke påstått. Et angrepsteam som Halborn er nyttig nettopp fordi det minner oss om at den beste måten å vite om et forsvar holder, er å la noen prøve å bryte det, med de samme verktøyene fienden bruker.

Ofte stilte spørsmål (FAQ)

Hva er AI-kappløpet i kryptosikkerhet?

Det er kappløpet der både angripere og forsvarere tar i bruk kunstig intelligens. Angriperne bruker AI til å masseprodusere troverdig phishing, deepfakes og falske identiteter, mens forsvarere bruker AI til kodegjennomgang, avviksdeteksjon og testing. Balansen tipper mot angriperen fordi AI senker kostnaden ved å lure mennesker raskere enn den hever kostnaden ved å forsvare dem.

Hvordan bruker hackere kunstig intelligens mot kryptobrukere?

De skriver feilfrie, personlige svindelmeldinger på sekunder, kloner stemmer og lager sanntids-video-deepfakes, genererer falske CV-er og identiteter for å infiltrere selskaper, og bruker språkmodeller til å lete etter sårbarheter og skrive utnyttelseskode. Deepfake-svindelen mot Arup, der rundt 25 millioner dollar forsvant etter et videomøte med AI-genererte kolleger, er et typisk eksempel.

Hva er Halborns AI Red Teaming?

Det er en tjeneste der Halborn simulerer angrep mot hele AI-systemet til en kunde, altså modeller, datastrømmer, integrasjoner og menneskene rundt, for å finne svakheter før angripere gjør det. Den vurderer blant annet prompt injection, modell- og dataforgiftning, ondsinnede språkmodeller og AI-drevet sosial manipulering.

Er en AI-revisjon like god som en menneskelig revisjon?

Nei, ikke i dag. AI er rask på kjente feilmønstre, men svak på ny logikk og økonomiske designfeil, og den kan finne på funn som ikke finnes. De dyreste hackene, som Cetus og Balancer, lå nettopp i slik logikk, tross flere menneskelige revisjoner. AI er et nyttig ekstra lag, ikke en garanti.

Gjelder EU AI Act i Norge, og hva har Finanstilsynet med kryptosikkerhet å gjøre?

EU AI Act er EØS-relevant, men norsk gjennomføring er forsinket, og et lovforslag ventes først for Stortinget våren 2027. Finanstilsynet fører tilsyn med kryptoforetak (CASP-er) under MiCA og med IKT-robusthet under DORA, som gjelder i EU fra januar 2025 og innlemmes i norsk rett via EØS. Ingen av regelverkene pålegger en kodegjennomgang av selve smartkontrakten.

Av Anneke de Vries, som dekker sikkerhet og exploits for HOGE Wire.