Hvem vokter vokterne? DAO-sikkerhetsråd i 2026

Den 6. oktober 2026 forlot rundt 620 millioner XCN kassen til utlånsprotokollen Onyx på Ethereum. Ingen kode ble knekt. Et forslag hadde passert avstemningen, klarert både terskel og quorum, og ventet ut en to dagers tidslås uten at noen stanset det, ifølge ChainCatcher og en sanntidsvarsling fra sikkerhetsfirmaet Blockaid. Onyx selv hevder at overføringen bare fullførte et migrasjonsforslag protokollen hadde annonsert på forhånd, et poeng KuCoin gjengir uten å avgjøre saken. Uansett hvilken historie som stemmer: bremsen fantes, og ingen trakk i den.

Elleve dager tidligere hadde et nesten identisk angrep truffet Marinade på Solana. Der grep et lite utvalg inn og avviste de ondsinnede forslagene på seks timer, flere dager før de kunne settes i verk. Ikke én krone forsvant. Forskjellen mellom de to sakene var ikke bedre smartkontraktkode. Den handlet om én ting: om noen sto bak nødbremsen og faktisk brukte den.

2026 ble året da DAO-ene bygde seg en menneskelig krets-bryter mot styringsangrep: sikkerhetsrådet, vokteren, vetoutvalget. Og året ble en folkeavstemning om den institusjonen. Bremsen stanset angrep, men den flyttet makt tilbake til en liten krets, og ble selv et mål. Spørsmålet DAO-ene nå sitter med, er det eldste i boka, formulert av den romerske dikteren Juvenal for snart to tusen år siden: hvem vokter vokterne?

Styringsangrep, kort fortalt: koden er frisk, det er avstemningen som er hullet

Et styringsangrep (governance attack) utnytter ingen feil i koden. Det bruker reglene slik de er skrevet. Angriperen skaffer seg nok stemmerett til å få et forslag vedtatt, og forslaget gir ham nøklene til kassen, til en oppgradering eller til administratorrollen. Da sikkerhetsselskapene PeckShield og CertiK gransket sommerens mest kjente sak, Term Finance, konkluderte de med at angrepet rettet seg mot selve stemmemekanikken, ikke mot noen svakhet i den underliggende smartkontraktkoden. Det er derfor en revisjon sjelden fanger det: en revisor leser koden, ikke maktbalansen blant dem som stemmer. Vi har skrevet om hvordan revisjonsbransjen selv gjør seg til et tillitslag nettopp fordi den ikke kan garantere mot denne typen angrep.

Risikokalkylen ble satt på formel allerede i 2022 av tre forskere hos risikokapitalfondet a16z. I essayet «DAO governance attacks, and how to avoid them» skriver Pradyumna Garimidi, Scott Duke Kominers og Tim Roughgarden at en angriper slår til når gevinsten lønner seg: verdien av angrepet, minus kostnaden ved å skaffe stemmerett, minus kostnaden ved å gjennomføre det. Alt forsvar koker ned til å gjøre ett av de tre leddene verre for angriperen.

Det lumske, påpeker forfatterne, er at en angriper som kjøper seg opp i et token, ser nøyaktig ut som en vanlig investor som kjøper seg opp i et token. Markedet kan ikke skille dem. Derfor hjelper det ikke å be folk om å «passe på mistenkelige kjøpere»; begge er villige til å kjøpe store mengder til stadig høyere pris. Nødbremsen, temaet for denne artikkelen, angriper det siste leddet i ligningen: den gjør gjennomføringen vanskeligere ved å stikke en menneskelig hånd inn mellom vedtaket og utbetalingen.

Nødbremsen blir en institusjon: hva et sikkerhetsråd faktisk er

Ideen er gammel i smartkontraktverdenen. OpenZeppelins styringsbibliotek, som de fleste DAO-er bygger på, skiller rollene: en TimelockController holder midlene og legger en forsinkelse mellom et vedtak og gjennomføringen, mens en egen canceller-rolle kan annullere en kø-lagt operasjon i forsinkelsesvinduet. Forsinkelsen alene stopper ingenting; den gir bare tid. Noen må bruke tiden til å kjenne igjen angrepet og trykke på avbryt-knappen. Biblioteket advarer dessuten selv om at en feilkonfigurert rolle, en ekstra proposer eller canceller lagt til i vranglås, er en bakdør, ikke et vern.

Tanken om at mennesker til slutt må kunne overstyre koden, er for øvrig ikke ny i Ethereum. Den går helt tilbake til 2016, da fellesskapet hard-forket hele kjeden for å reversere tyveriet fra The DAO, det opprinnelige bruddet med dogmet om at «code is law». Et sikkerhetsråd er på mange måter den samme impulsen satt i system: en formalisert, raskere og langt mer begrenset utgave av den gangen menneskene grep inn og overprøvde det koden hadde bestemt. Forskjellen er at i 2026 skjer det med et mandat og en medlemsliste, ikke som en engangskrise.

I 2026 ble den avbryt-knappen formalisert til en egen institusjon. Et sikkerhetsråd (security council) er et lite, navngitt utvalg som styrer en multisig-lommebok med rett til å kansellere ondsinnede forslag mens de ligger i tidslåsen. Arbitrum har et råd på tolv valgte medlemmer med nødfullmakter. Optimism deler makten i to kamre, et token-hus og et omdømmebasert borgerhus. Felles for dem alle er at rådet i praksis er en multisig, og at hele spørsmålet om hvem som holder de nøklene, er det samme spørsmålet vi har stilt om all multisig-forvaring: en signatur som overlever øyeblikket er verdt mer enn hundre gode intensjoner.

Det er verdt å merke seg at ingen av disse verktøyene er gratis. Hver av dem kjøper sikkerhet mot et angrep med en dose sentralisering, og det er den vekslingen hele resten av denne artikkelen handler om. Tabellen under viser verktøykassen og prisen hvert verktøy koster i form av makt flyttet mot et sentrum.

Marinade: da rådet vant på seks timer

Den 25. september 2026 fant en angriper en feil i Marinades stemmesystem, Voter Stake Registry (VSR), som lot en liten mengde MNDE-token telle som langt flere stemmer enn den skulle. Med den kunstig oppblåste stemmeretten la angriperen inn to forslag: MIP-23, forkledd som en sikkerhets- og vedlikeholdsoppgradering som egentlig skulle bytte ut selve stemmeprogrammet, og et annet som skulle flytte DAO-ens kasse. Dette er lærebokoppskriften: gjør det ondsinnede forslaget kjedelig, teknisk og tilsynelatende rutinemessig, slik at ingen leser det nøye.

Her stoppet det likevel. Marinades råd avviste begge forslagene innen seks timer, rundt fire dager før de kunne settes i verk, ifølge KuCoin. Ingen midler ble flyttet; mSOL, Native Staking og SAM-produktet var uberørt, og feilen ble rettet samme natt. The Defiant oppsummerte det nøkternt: rådet blokkerte et forsøk på overtakelse. Den ærlige MNDE-avstemningen gikk dessuten tydelig mot angriperen, så selv uten rådet var det tvilsomt om forslaget hadde reell støtte.

Marinade er en av de ledende protokollene for liquid staking på Solana, ikke en marginal DAO, og den bruker Realms, det mest utbredte styringsverktøyet i Solana-økosystemet. At selv et prosjekt av den størrelsen måtte reddes av et manuelt inngrep, og ikke av koden, sier noe om hvor dette står i 2026: den siste forsvarslinjen er gang på gang mennesker, ikke matematikk. Det er oppløftende og urovekkende på samme tid.

Onyx: da tidslåsen bare gikk ut

Elleve dager senere viste Onyx den motsatte enden. Onyx er en utlånsprotokoll av Compound-typen på Ethereum, og den hadde på papiret alt Marinade hadde: forslagsterskel, quorum og en to dagers tidslås. Den 6. oktober forlot rundt 620 millioner XCN kassen og etterlot bare rundt 1,89 millioner XCN i kontrakten. Verdien lå på noen få millioner dollar, i størrelsesorden titalls millioner kroner; kildene spriker på det nøyaktige tallet, så vi lar det stå upresist heller enn å oppgi en falsk presisjon.

Det avgjørende er ikke summen, men mekanismen. Forslaget klarerte terskel og quorum, og de to dagene i tidslåsen gikk rett og slett ut uten at noen kansellerte. ChainCatcher og Blockaid beskrev det som et angrep gjennom protokollens egne styringsregler, ikke et kodeinnbrudd. Onyx avviste den fremstillingen og kalte det en planlagt migrasjon de hadde varslet på forhånd. Den tvetydigheten er i seg selv et poeng: når et uttømmende forslag og et legitimt migrasjonsforslag ser helt like ut på kjeden, er det nettopp fordi ingen sto klar til å vurdere forskjellen i sanntid.

Konklusjonen er den samme uansett hvilken historie som stemmer: en tidslås uten noen som våker, er ikke en lås. Den er en kølapp. Onyx hadde kjøpt seg en forsinkelse, men ikke en vokter, og en forsinkelse som ingen bruker, er bare ekstra tid til at angrepet modnes.

Term Finance: det best forsvarte offeret

Hvis Onyx manglet en våken hånd, viste Term Finance at selv en full verktøykasse ikke hjelper hvis ingen bruker den. Da Term ble tømt 23. august 2026, for rundt 80 millioner kroner (8,5 millioner dollar), hadde protokollen en syv dagers tidslås, vetorett for innskyterne og atskilte forvalter- og styringsroller, bygget på Yearns velprøvde V3-infrastruktur. På papiret var dette et mønsterbruk. Angriperen sådde likevel bare 2 ETH gjennom blandetjenesten Tornado Cash, kjøpte seg opp i det tynne styringstokenet på åpent marked og tok kontroll over stemmene i fire av fem USDC-hvelv. Vetoet fantes. Ingen sto bak det i tide.

Ethereums medgrunnlegger Vitalik Buterin hadde advart mot akkurat dette allerede i 2021. I essayet «Moving beyond coin voting governance» skriver han at «timelocks are more like a paywall on a newspaper website than they are like a lock and key»: en betalingsmur holder bare den late ute, og en tidslås holder bare den uoppmerksomme angriperen ute. Term er beviset på setningen. Vi dekket den saken i detalj da den skjedde; her er den varselskiltet som fikk DAO-ene til å begynne å ansette noen til å stå bak bremsen, i stedet for å tro at en passiv forsinkelse gjør jobben av seg selv.

ENS-krigen: da grunnleggeren vetot sitt eget vetoråd

Ingen sak viste bedre hva som står på spill, enn borgerkrigen i ENS, DAO-en bak Ethereums navnetjeneste. ENS hadde et sikkerhetsråd på fire-av-åtte signatarer med begrenset makt til å kansellere ondsinnede forslag i tidslåsen. Mandatet gikk ut 24. juli 2026, og fornyelsen ble en avstemning i to trinn: Snapshot-runden gikk igjennom, men den bindende on-chain-avstemningen falt med 82 prosent nei.

Grunnen var én mann. Medgrunnlegger Nick Johnson, med rundt 3 millioner ENS, kontrollerte omtrent 80 prosent av stemmene som ble avgitt, og rundt halvparten av all delegert stemmerett. Han avsto på Snapshot og stemte nei i den bindende runden. «The security council must exist as a backstop against compromise and violations of the ENS constitution, not as political officers», skrev Johnson, og forklarte at han støttet et sikkerhetsråd, men ikke med den foreslåtte sammensetningen. Reaksjonen kom raskt. Rotki-grunnlegger Lefteris Karapetsas, en veteran i Ethereum-miljøet, oppsummerte det på X: «And with that, ENS DAO is dead». Et medlem gikk til og med så langt som å foreslå å oppløse hele DAO-en.

Timer etter at avstemningen falt, la ENS Labs-direktør Katherine Wu fram et konkurrerende forslag: et nytt råd på åtte medlemmer, en strengere terskel på fem-av-åtte, og et publisert mandat som begrenset vetoet til «stjålne styringslegitimasjoner, svindel, stemmekjøp, flash-lån og andre metoder for å skaffe stemmerett utenfor vanlig markedsdeltakelse». Forslaget gikk igjennom 20. juli, med virketid fram til 16. juli 2028. Rådet kan kansellere kø-lagte ondsinnede forslag, men kan ikke flytte kassen, skrive nye forslag eller blande seg i vanlige politiske uenigheter.

ENS bygde det, ifølge crypto.news, kort etter at BonkDAO tapte rundt 190 millioner kroner (20 millioner dollar) i et angrep i juli nettopp fordi prosjektet manglet tidslås og nød-multisig. Den ekstra ironien: Johnson, mannen som vetot det gamle rådets fornyelse, sitter nå selv i det nye. Og striden var ikke engang ENS-grunnleggerens eneste maktgrep det året: i august fikk en egen ENS Foundation administrativ kontroll over en pengebinge på rundt 625 millioner kroner (65 millioner dollar), en parallell sentralisering som ikke er et vetoråd, men som peker samme vei. Når én delegat kan velte en avstemning om vokterne, er det ikke lenger åpenbart hvem vokteren egentlig beskytter.

Da vokteren faktisk fyrte av: Arbitrum fryser 680 millioner kroner

At et sikkerhetsråd kan virke, fikk vi det tydeligste beviset på i april. Etter at en bro-feil tappet Kelp DAO for rundt 2,8 milliarder kroner (292 millioner dollar) den 18. april 2026, grep Arbitrums sikkerhetsråd inn tre dager senere og frøs 30 766 ETH, verdt rundt 680 millioner kroner (71 millioner dollar), på en styringskontrollert adresse på Arbitrum One. Rådet handlet etter innspill fra politiet om angriperens identitet, og de frosne midlene utgjorde omtrent en fjerdedel av det som ble stjålet. For å frigi dem igjen må Arbitrums styring fatte et eget vedtak.

Det var en seier. Det var også nøyaktig det bekymringen handler om. For å fryse tyvens penger måtte et lite utvalg ha makt til å gripe inn mot en adresse på kjeden, etter innspill fra myndigheter, uten en avstemning i sanntid. Overskriftene som fulgte, pekte på det med en gang: redningen startet en debatt om sentralisering. Et råd som kan fryse en tyv, kan i prinsippet fryse hvem som helst, og det er ikke lenger investoren som bestemmer hvem det blir. Merk også at Kelp-saken strengt tatt var en kodefeil i en bro, ikke et styringsangrep; men responsen, et valgt råd som overstyrer kjeden med nødfullmakt, er nøyaktig den samme institusjonen, og den samme risikoen.

Paradokset: forsvaret som sentraliserer

Her ligger kjernen i hele 2026-historien. Hver brems som faktisk stopper et stemmekjøpt angrep, gir makt tilbake til et sentrum. En tidslås krever en våken vokter. Et veto krever et utvalg. Et sikkerhetsråd er en multisig med nøkler, og de nøklene er et mer konsentrert mål enn en spredt mengde token spredt på tusenvis av lommebøker. Angrepet flytter seg bare: fra avstemningen til de fem-av-åtte som kan overstyre avstemningen. Vokteren blir den nye angrepsflaten, og en kompromittert vokter er langt verre enn en kompromittert avstemning, fordi den har fått mandat til å overkjøre alle andre.

Det er derfor striden om hvem som sitter i ENS-rådet, ikke er en bagatell. Når makten til å stoppe alt ligger hos fem-av-åtte underskrifter, blir nettopp de åtte personene det mest verdifulle målet i hele systemet: en vellykket utpressing, et phishing-angrep eller en hemmelig avtale med et flertall av dem er nok til å nøytralisere forsvaret. Jo sterkere nødbremsen er, desto mer konsentrert er den, og desto større blir premien for den som klarer å ta kontroll over selve bremsen i stedet for over avstemningen.

Analysebyrået CryptoSlate beskrev spenningen som et valg mellom kode og nødbremser: jo mer ufravikelig koden er, desto mer sårbar er den for et angrep ingen kan stoppe; jo flere nødbremser, desto mer makt samles hos dem som holder dem. En studie av 48 store Ethereum-DAO-er som byrået viser til, fant at de ti største eierne kontrollerer mer enn halvparten av stemmene i 39 av dem, og at enkeltaktører som Convex og Aura allerede dominerer avstemningene i protokoller som Curve og Balancer. Nødbremsen er ikke en kur mot den konsentrasjonen. Den er en ekstra lås lagt oppå den.

Tabellen under oppsummerer året i tall: seks saker, seks ulike svar på det samme spørsmålet, nemlig om bremsen holdt. Mønsteret er tydelig. Der et utvalg sto klart og brukte vetoet, overlevde kassen. Der bremsen manglet eller sto ubrukt, forsvant pengene.

Hvem sitter i rådet, og hvem valgte dem?

Når et utvalg kan overstyre en avstemning, blir det neste spørsmålet uunngåelig: hvem er de, og hvilken legitimitet har de? ENS valgte sine åtte ved rangert avstemning, og listen er full av kjente Ethereum-navn. Men legitimiteten hviler på et vaklende premiss, for de samme stemmene som velger rådet, er allerede konsentrert. Chainalysis fant allerede i 2022 at under 1 prosent av eierne satt på rundt 90 prosent av stemmeretten i store DAO-er. Et råd valgt av en hval er ikke en motvekt til hvaler; det er hvalens eget utvalg.

Konsentrasjonen forsterkes av at de fleste eiere ikke stemmer selv, men delegerer bort stemmeretten, eller lar den ligge urørt. Det er den samme passiviteten som gjør at folk signerer forslag de aldri leser, slik vi beskrev da kontodelegering ble en risiko i seg selv etter EIP-7702. Et sikkerhetsråd er på et vis institusjonaliseringen av den passiviteten: siden nesten ingen følger med, ansetter vi noen få til å gjøre det for oss. Det kan være klokt, og i Marinades tilfelle reddet det kassen. Men det er ikke desentralisert styring; det er et lite representativt demokrati med en veldig liten valgdeltakelse, der de få som møter opp, i tillegg er de rikeste.

Børsen som nødbrems: når Binance trekker i snoren utenfra

Ikke all nødbrems sitter inne i protokollen. I august hevdet Binance at sikkerhetsteamet hadde stanset et styringsangrep mot en DAO-kasse på rundt 11,5 millioner kroner (1,2 millioner dollar) mindre enn 48 timer før gjennomføring, ved å fryse innskudd og koordinere med andre børser til forslaget falt. Børsen navnga verken prosjektet eller tokenet, så påstanden kan ikke etterprøves uavhengig og bør leses som Binances egen fremstilling. Men mekanismen er reell nok: en stor børs kan fryse token-innskudd og dermed kappe stemmeretten en angriper trenger, en ytre brems ingen i selve DAO-en har bedt om.

Bak denne ytre bremsen vokser en hel deteksjonsindustri. Firmaer som Blockaid og Decurity overvåker forslag i sanntid og slår alarm på mistenkelige nyttelaster: en blank beskrivelse, et kall til setPendingAdmin, en utstedelse av nye token til en ukjent adresse. Blockaid talte minst syv styringsovertakelser og rundt 220 millioner kroner (22 millioner dollar) tappet mellom 9. juni og 6. august 2026 alene, inkludert Token of Power og BarnBridge. Men en overvåker er ikke et veto. Alarmen varsler; noen må fortsatt trykke på knappen, og det bringer oss rett tilbake til Onyx, der varselet kom, men ingen hånd fulgte.

Børs-bremsen har dessuten sin egen pris. En børs som kan fryse tokenet ditt for å stoppe et angrep, kan fryse det av mange andre grunner også. Vi er tilbake i det samme bytteforholdet: tryggheten koster kontroll, og kontrollen havner lenger og lenger fra den enkelte eieren.

Hvorfor token-avstemning taper, og hvorfor bremsen ikke fikser roten

Nødbremsen behandler symptomet. Roten er selve prinsippet om én token, én stemme. Buterin forklarte svakheten i 2021: et styringstoken er «a bundle of two rights», en økonomisk interesse i protokollen og en rett til å styre den, og de to rettighetene er, med hans ord, svært lette å skille. En angriper som låner eller kjøper token kortvarig, får styringsmakt uten varig økonomisk interesse. Han bryr seg ikke om at stemmen hans ødelegger prosjektet, for han er ute før regningen kommer. Det var nettopp sånn Beanstalk ble tappet i 2022: et flash-lån ga angriperen et øyeblikks flertall, uten en krone i reell innsats i prosjektet.

Det gjør angrepet billig, særlig når tokenet er tynt omsatt. Et kollapset styringstoken er en rabatt på stemmeretten, og mange nye token mister det meste av verdien kort tid etter notering, slik vi har dokumentert i noteringsfellen. Jo lavere pris, desto lavere er a16z-ligningens kostnad ved å skaffe stemmerett, og desto lettere blir regnestykket positivt for en angriper. Ali Yahya, partner i a16z, satte det på spissen overfor Fortune i juni: «We spent the last 10 years rediscovering the hard way that direct democracy is a bad idea». Nødbremsen er et ærlig forsøk på å leve med det problemet, men den fjerner det ikke; den legger bare et menneskelig lag over en konstruksjon som er billig å angripe i utgangspunktet.

Er det en forbrytelse? Finanstilsynet, MiCA, Mango og Ooki

Hvis en nordmann taper penger i et styringsangrep, hvem svarer? Rettslig er bildet tynt. Den mest kjente saken, Mango Markets, endte med at en amerikansk dommer i mai 2025 opphevet domfellelsen mot Avraham Eisenberg, blant annet fordi protokollen var tillatelsesfri og selvutførende: det er vanskelig å kalle noe bedrageri når reglene virket akkurat som kodet. På den andre siden slo det amerikanske råvaretilsynet CFTC i 2023 fast at en DAO kan være en «person» og en uregistrert sammenslutning som kan holdes ansvarlig, i Ooki DAO-saken, med en uteblivelsesdom på 643 542 dollar. De to avgjørelsene peker i hver sin retning, og ingen av dem gir et norsk offer en klar vei til å få pengene tilbake.

I Norge gjelder kryptoeiendelsloven, som gjennomfører EUs MiCA-forordning, fra 1. juli 2025. Men MiCA regulerer tjenesteyterne, altså børser og forvaltere (CASP-er), ikke hvordan en protokoll utformer sin styring. Finanstilsynet gir tillatelser til og fører tilsyn med CASP-er, men en DAO uten noe selskap eller noen CASP bak seg faller stort sett utenfor. For et norsk offer blir de reelle virkemidlene de alminnelige: anmeldelse for bedrageri eller markedsmanipulasjon, med den tynne rettspraksisen det innebærer, og en skattemelding til Skatteetaten på det som måtte være igjen.

Selv markedsmisbruksdelen av MiCA, som rammer innsidehandel og markedsmanipulasjon, er rettet mot identifiserbare aktører som manipulerer et marked, ikke mot en protokoll som utfører en avstemning etter boka. En angriper som kjøper stemmerett på åpent marked og trykker på de knappene reglene stiller til rådighet, har i verste fall gjort noe som ligner mer på en fiendtlig oppkjøpsstrid enn på et innbrudd. Det er nettopp det juridiske tomrommet nødbremsen fyller: den gjør noe med problemet akkurat nå, mens rettssystemet fortsatt leter etter et navn å sette på tiltalen.

Det er verdt å ta inn over seg hva dette betyr for forholdet mellom bremsen og loven. Nødbremsen er ikke bare teknisk nyttig; den er også den eneste forsvarslinjen som faktisk finnes i sanntid. Loven kommer alltid lenge etter at pengene er borte, og den når uansett ikke en protokoll uten et selskap å saksøke. Det presser ansvaret over på de få som holder vetoet, og styrker både argumentet for å ha et sikkerhetsråd og uroen over hvor mye makt det samler.

Hva en norsk investor bør gjøre: les forslaget, ikke bare prisen

Du kan ikke revidere hver smartkontrakt, men du kan lese styringen til et prosjekt før du låser inne penger. Et par minutter på styringsforumet og i dokumentasjonen forteller deg mer om risikoen enn prisgrafen gjør. Her er sjekklisten vi bruker når vi vurderer en DAO-styrt protokoll.

• Finnes det en tidslås mellom vedtak og gjennomføring, og er den lang nok til at noen rekker å reagere?
• Finnes det et veto med tenner, et sikkerhetsråd eller en vokter-multisig, og er det noen som faktisk overvåker og kan trykke på knappen?
• Hvem holder nøklene til det vetoet, hvor mange signaturer kreves, og er medlemmene reelt uavhengige av hverandre?
• Hvor tynt er styringstokenet omsatt? Et billig, lite likvid token er et billig angrep.
• Hvor konsentrert er stemmeretten? Hvis de ti største, eller én grunnlegger, kan vedta hva som helst alene, er «desentralisert» mest markedsføring.
• Les nyttelasten i forslagene, ikke bare titlene. Et kall til setPendingAdmin, en utstedelse av nye token eller en flytting av kassen er de klassiske varsellampene.

Nødbremsen er det beste DAO-ene har klart å bygge på kort tid, og 2026 viste at den kan redde en kasse på seks timer. Den viste også at en brems ingen trekker i, er like verdiløs som ingen brems, og at den som får makt til å trekke i den, blir det nye målet. Helt til token-avstemningen får en bedre grunnmur, er svaret på Juvenals spørsmål ubehagelig enkelt: foreløpig må du vokte vokterne selv, ved å lese forslaget før du stemmer, og lenge før du setter inn pengene.

Ofte stilte spørsmål

Hva er et styringsangrep?

Et styringsangrep er når noen skaffer seg nok stemmerett i en DAO til å få vedtatt et forslag som tapper kassen eller gir angriperen kontroll, uten å utnytte noen feil i koden. Reglene virker som de skal; det er selve avstemningen som er angrepsflaten.

Hva er et DAO-sikkerhetsråd?

Et sikkerhetsråd er et lite, navngitt utvalg som styrer en multisig-lommebok med rett til å kansellere ondsinnede forslag mens de ligger i tidslåsen før gjennomføring. Det fungerer som en menneskelig nødbrems, men kan som regel ikke flytte kassen eller skrive nye forslag.

Hvorfor stoppet Marinade angrepet mens Onyx ikke gjorde det?

Marinades råd kjente igjen de ondsinnede forslagene og avviste dem innen seks timer, flere dager før de kunne settes i verk. Onyx hadde også en tidslås, men den gikk rett og slett ut uten at noen kansellerte, så en brems ingen bruker, stopper ingenting.

Er et styringsangrep ulovlig i Norge?

Det er uklart. MiCA, gjennomført som kryptoeiendelsloven fra 1. juli 2025, regulerer tjenesteytere (CASP-er) under tilsyn av Finanstilsynet, ikke hvordan en protokoll utformer styringen sin. Et norsk offer er i praksis henvist til anmeldelse for bedrageri eller markedsmanipulasjon, med tynn rettspraksis.

Gjør et sikkerhetsråd en DAO mindre desentralisert?

Ja, det er avveiningen. Et veto som kan stoppe et angrep, gir også et lite utvalg makt til å overstyre en avstemning, og utvalgets nøkler blir et nytt mål. Et råd som kan fryse en tyv, kan i prinsippet fryse hvem som helst, slik Arbitrums frysing av Kelp-midlene viste.

Av Anneke de Vries, sikkerhetskorrespondent i HOGE Wire.