Recovery bounty i 2026: dusøren som henter hjem stjålet krypto

En ettermiddag i mai 2026 forsvant det digitale verdier verdt rundt 209 000 dollar (nær to millioner kroner) ut av protokollen Renegade, fordelt på 27 ulike ERC-20-tokens. Det uvanlige var ikke selve tyveriet, som er blitt hverdagskost i kryptomarkedet, men det som skjedde etterpå. Renegade sendte en melding rett inn i angriperens egen lommebok, skrevet på blokkjeden slik at hele verden kunne lese den: behold ti prosent som dusør, send tilbake nitti, så holder vi advokatene og politiet unna. Førtifem minutter senere var mesteparten av pengene på vei hjem, ifølge crypto.news.

Det Renegade betalte, kalles en recovery bounty: en dusør som ikke belønner en feil før den koster noe, men som kjøper tilbake penger som allerede er ute av døra. Den er en fjern slektning av den klassiske bug bounty-utbetalingen, som da Wormhole i februar 2022 betalte forskeren satya0x ti millioner dollar (rundt 90 millioner kroner) for en feil ingen rakk å utnytte, fremdeles den største enkeltutbetalingen i bransjens historie ifølge The Block. Den forebyggende dusøren, taket mot kvitteringen, har vi dekket før. Denne teksten handler om den andre halvdelen: hva som skjer med utbetalingene når forebyggingen alt har feilet.

I 2026 har recovery bounty gått fra improvisert desperasjon til nesten standardisert prosedyre. Den har fått sin egen pris (som regel ti prosent), sitt eget juridiske stillas (SEAL sin Safe Harbor-avtale) og sine egne harde grenser: du kan ikke betale Nord-Korea. Dette er en gjennomgang av hvordan den fungerer, hvem som får pengene, og hvorfor en dusør på ti prosent av et tyveri fremdeles kan være den beste avtalen en protokoll får.

To slags dusør: den ene forhindrer tapet, den andre reverserer det

For å forstå recovery bounty må man først skille den fra sin mer omtalte tvilling. En forebyggende bug bounty er en stående belønning en protokoll lover til enhver som finner en alvorlig feil og melder den inn i stedet for å utnytte den. Forskeren leverer en rapport, protokollen tetter hullet, og ingen brukere taper en krone. Prisen settes på forhånd, ofte som en prosentandel av verdiene som står på spill, og de øverste takene i markedet er svimlende: Usual sitt program hos Sherlock har et tak på 16 millioner dollar (rundt 150 millioner kroner), det høyeste som noensinne er annonsert i teknologibransjen.

Den forebyggende siden er også moden og godt målt. Immunefi, den største plattformen, har betalt ut over 140 millioner dollar (mer enn 1,3 milliarder kroner) til forskere gjennom levetiden, en milepæl den passerte i juni 2026, og alene i første halvår 2026 betalte plattformen rundt 13,45 millioner dollar for 837 gyldige feil, rapporterer The Block. Median-utbetalingen for en kritisk feil ligger likevel rundt 20 000 dollar (under 200 000 kroner), et tall som avslører hvor stor avstanden er mellom takene selskaper reklamerer med og det de faktisk betaler.

Recovery bounty er speilbildet. Den utløses ikke av en rapport, men av et tyveri. Den betales ikke til en vennligsinnet forsker som banket på døra, men i mange tilfeller til selve tyven, i bytte mot at pengene kommer tilbake. Og den er nesten alltid en nødløsning, ikke en plan. Immunefi sin egen forskning på over 590 langvarige programmer anslår at et vellykket angrep i snitt koster protokollen rundt 25 millioner dollar (rundt 230 millioner kroner) i direkte tap og verdifall, og at 84 prosent av tokenene aldri henter seg inn igjen, viser tallene. En recovery bounty er forsøket på å unngå å havne i den statistikken.

Hva en recovery bounty egentlig er

I kjernen er en recovery bounty en byttehandel utført under press. En protokoll har blitt tømt. Midlene ligger fremdeles synlig på blokkjeden, i en adresse angriperen kontrollerer, men de er i praksis utenfor rekkevidde: ingen kan tvinge en privat nøkkel til å gi slipp på det den holder. Så protokollen tilbyr en avtale. Behold en andel som en «hvit hatt-dusør», lever resten tilbake, og til gjengjeld dropper vi anmeldelse og omtaler deg som en sikkerhetsforsker heller enn en kriminell. Tilbudet sendes ofte som en transaksjonsmelding rett til angriperens adresse, offentlig og uslettelig, slik at både tyven og markedet ser betingelsene.

Logikken er kald økonomi. For angriperen er stjålet krypto sjelden verdt pålydende. Å vaske hundrevis av millioner gjennom miksere og broer er tregt, risikabelt og taper verdi underveis, og børser fryser adresser så fort de blir flagget. Et garantert kutt på ti prosent, uten fare for utlevering, kan være mer verdt enn nitti prosent man kanskje aldri får solgt. For protokollen er regnestykket like enkelt: nitti prosent tilbake i dag slår en teoretisk hundre prosent etter årevis i retten. Recovery bounty fungerer fordi begge parter, et øyeblikk, foretrekker en sikker delvis løsning fremfor en usikker total.

Det er verdt å understreke hvor forskjellig dette er fra en ordinær utbetaling. Tabellen under viser hvordan de to instrumentene skiller lag på nesten hvert punkt.

Poly Network og «Mr. White Hat»: saken som skrev malen

Recovery bounty ble født i august 2021, i det som fortsatt er en av de merkeligste episodene i kryptohistorien. Noen utnyttet en sårbarhet i samspillet mellom kontraktskallene i tverrkjedeprotokollen Poly Network og tok kontroll over verdier verdt rundt 610 millioner dollar (om lag 5,7 milliarder kroner). Det var på det tidspunktet et av de største tyveriene noensinne. Så, i stedet for å forsvinne, begynte angriperen å sende pengene tilbake.

Poly Network gjorde det motsatte av det man skulle vente. Laget omtalte gjerningspersonen som «Mr. White Hat», takket offentlig for samarbeidet og tilbød en dusør på 500 000 dollar (nær fem millioner kroner) pluss en jobb som sjef for sikkerhet. Hackeren avslo dusøren, hevdet at pengene aldri hadde vært ment for personlig vinning, og leverte til slutt fra seg den private nøkkelen til den siste transjen slik at Poly Network kunne gjenvinne alt. Samtlige brukermidler kom tilbake.

Saken satte malen på to måter. For det første etablerte den at et tyveri kan reverseres gjennom forhandling, ikke bare gjennom kode eller politi. For det andre viste den at merkelappen betyr noe: ved å døpe angriperen til «hvit hatt» ga Poly Network vedkommende en vei ut som ikke endte i fengsel, og gjorde retur til det åpenbart rasjonelle valget. I ettertid knyttet Poly Network seg til Immunefi med et forebyggende program, en påminnelse om at recovery bounty aldri er noe man vil trenge to ganger. Det er nødutgangen, ikke inngangsdøra.

Euler Finance: anatomien til en forhandlet retur

Hvis Poly Network var uhellet som viste at retur var mulig, var Euler Finance saken som gjorde den til en prosedyre. Den 13. mars 2023 tømte en enkelt angriper utlånsprotokollen Euler for mer enn 197 millioner dollar (rundt 1,8 milliarder kroner) på omtrent et kvarter, gjennom en feil i sammenspillet mellom lån, donasjon og likvidasjon. I dagene som fulgte, utspilte det seg en forhandling som er blant de best dokumenterte i bransjen, ført helt åpent gjennom meldinger på blokkjeden.

Euler startet mykt og ble hardt. Den 14. mars kom trusselen: leverer du ikke tilbake 90 prosent innen 24 timer, lanserer vi i morgen en belønning på én million dollar for informasjon som fører til pågripelse. Dagen etter kom selve tilbudet, formulert som «den enkleste veien videre»: send 90 prosent til protokollens statskasse, så dropper vi rettslige skritt. Angriperen, som kalte seg «Jacob», svarte til slutt 20. mars med ord som ble sitert vidt: «Vi vil gjøre dette enkelt for alle som er rammet. Ingen intensjon om å beholde det som ikke er vårt.» Detaljene er lagt ut i Euler sin egen gjennomgang av saken.

Returen kom i transjer: rundt 90 millioner dollar den 25. mars, nær 39 millioner to dager senere, resten innen 3. april. Til sammen leverte angriperen tilbake verdier verdt rundt 240 millioner dollar (om lag 2,2 milliarder kroner), altså 100 prosent av det stjålne, pluss gevinsten fra at ETH hadde steget i verdi mens forhandlingen pågikk. Fra angrep til full retur gikk det 21 dager. Euler betalte i praksis ingen dusør i det hele tatt, fordi angriperen valgte å levere alt, men den 24-timers strukturen, «behold ti, lever nitti»-logikken og den offentlige on-chain-dialogen ble malen resten av bransjen kopierte. Slik et angrep senere rekonstrueres steg for steg av angrepsteam som Halborn, ble selve forhandlingen nå en fase i obduksjonen på linje med selve exploiten.

2026: da recovery bounty ble standardprosedyre

Det som var oppsiktsvekkende i 2021 og 2023, er rutine i 2026. Meldingen til angriperens lommebok, ti prosent på bordet, fristen på et døgn eller to: dette er nå den første responsen mange sikkerhetslag griper til før midlene rekker å nå en mikser. Tre saker fra året illustrerer hvor innarbeidet mønsteret er blitt, og hvor mye betingelsene likevel kan variere.

Renegade-saken i mai er lærebokseksemplet: standardtilbudet på ti prosent, og mer enn 90 prosent tilbake på under en time. AFX, en protokoll på Arbitrum, ble i juli tømt for rundt 24,15 millioner dollar (rundt 225 millioner kroner) etter at bro-nøkler ble kompromittert, ikke gjennom en kodefeil, men gjennom tapte nøkler, ifølge CoinDesk. AFX tilbød angriperen et uvanlig sjenerøst kutt, en avtale der hackeren kunne beholde 30 prosent mot å levere tilbake 70. Samme måned satte Wanchain en frist til 6. august for sin Cardano-bro-hacker, med det vanlige tilbudet om ti prosent for retur av de stjålne NIGHT-tokenene, melder Crypto Times.

Mønsteret som trer frem, er at recovery bounty ikke lenger er en heltefortelling, men en kald standardklausul i krisehåndteringen. Angrepene selv har også endret karakter: mange av dem som ender i en returforhandling, stammer ikke fra en klassisk kodefeil, men fra styringsangrep, oraklemanipulasjon eller kompromitterte nøkler. Instrumentet er det samme uansett hvordan pengene forsvant.

Ti eller tretti prosent? Slik prises en recovery bounty

Hvorfor ti prosent? Tallet har ingen matematisk begrunnelse, men det har blitt en Schelling-verdi, et punkt begge parter forstår uten å måtte forhandle det frem fra bunnen. Det er høyt nok til å være verdt bryet for en angriper som ellers sitter med en formue umulig å veksle inn, og lavt nok til at protokollen kan omtale det som en dusør heller enn en løsepengesum. SEAL sin Safe Harbor-avtale sementerte tallet ved å sette det som standard, med et tak, noe vi kommer tilbake til.

Men prisen glir. AFX sitt tilbud på 30 prosent er et vindu inn i forhandlingsdynamikken: når midlene stammer fra kompromitterte bro-nøkler, og angriperen kanskje er en profesjonell aktør med god operasjonell sikkerhet, synker sannsynligheten for å få noe tilbake, og protokollen må by høyere. Prosentandelen er i praksis et mål på hvor desperat offeret er og hvor trygg tyven er. Jo mindre sjanse for utlevering og sporing, jo dyrere blir returen. Dette er den motsatte prislogikken av den forebyggende dusøren, der taket settes for å signalisere, ikke for å betale; her settes prisen for å faktisk få pengene ut av en fiendtlig lommebok.

Det finnes en mørkere grunn til å betale skikkelig. Whitehats følger nøye med på hvem som betaler og hvem som ikke gjør det, og en protokoll som lokker med retur og så nekter å gjøre opp, risikerer å lære markedet at ærlighet ikke lønner seg. Underbetaling kan i verste fall dytte en potensiell hvit hatt over til den svarte siden neste gang. En recovery bounty er derfor ikke bare en transaksjon, men et signal til alle fremtidige angripere om hva som skjer hvis de velger å levere tilbake.

SEAL, Safe Harbor og forsøket på å gjøre redning lovlig

Det største hinderet for whitehats har aldri vært tekniske, men juridiske. En sikkerhetsforsker som ser et pågående angrep og griper inn for å redde midler, må ofte gjøre nøyaktig det samme som angriperen, altså utnytte den samme feilen, for å komme først til pengene. I lovens øyne kan de to handlingene være vanskelige å skille. Nettopp derfor har mange av de dyktigste forskerne holdt hendene på ryggen i kritiske situasjoner.

Ingen har formulert dette klarere enn samczsun, forskeren i Paradigm som grunnla Security Alliance (SEAL). «Jeg har bevisst, gjennom de siste tre-fire årene, i hvert eneste direkte hack uttrykkelig sagt at jeg ikke skal være den som trykker på knappen og sender transaksjonen som redder midlene eller patcher feilen, fordi jeg ikke vet hva det innebærer for meg når det gjelder ansvar», sa han til Cointelegraph. SEAL driver blant annet SEAL 911, en døgnåpen nødlinje der ofre og forskere kan koordinere redning i sanntid mens et angrep pågår.

SEAL sitt svar på ansvarsproblemet er Whitehat Safe Harbor-avtalen, lansert tidlig i 2024 og modellert på «Good Samaritan»-lover. En protokoll som tar den i bruk, forhåndsgodkjenner at whitehats får gripe inn under et aktivt angrep, på klare vilkår: du får bare handle mens exploiten pågår, du må kontakte sikkerhetslaget umiddelbart, og du må levere de reddede midlene tilbake innen 72 timer. Til gjengjeld får du beholde ti prosent, med et tak på én million dollar (rundt ni millioner kroner), og immunitet mot søksmål fra protokollen. Rammeverket er tatt i bruk av navn som Uniswap, Balancer, Polymarket og 1inch. Poenget er å gjøre den moralsk riktige handlingen også juridisk trygg, slik at en forsker slipper å velge mellom å redde brukernes penger og å beskytte seg selv.

Taket på én million dollar avslører samtidig en svakhet i modellen. Ved et hack på flere hundre millioner dollar betyr en dusør begrenset til én million at en whitehat som redder alt, sitter igjen med en brøkdel av en prosent, langt under de ti prosentene malen lover. For små og mellomstore hendelser fungerer insentivet godt; for de virkelig store, der en profesjonell angriper kan tjene mangedobbelt ved å beholde byttet, kan et fast tak undergrave hele logikken. Flere protokoller løser dette ved å forhandle egne, høyere dusører utenfor Safe Harbor når summene blir store nok.

Den juridiske gråsonen: er det en forbrytelse å utnytte en feil?

Under hele recovery-økonomien ligger et uavklart juridisk spørsmål: er det i det hele tatt en forbrytelse å tømme en smartkontrakt som lar deg gjøre det? Ingen sak har belyst dette skarpere enn Mango Markets. I oktober 2022 manipulerte Avraham Eisenberg prisen på tokenet MNGO med over 1000 prosent på rundt 20 minutter, en klassisk manipulasjon av prisoraklet, og brukte den oppblåste sikkerheten til å låne og ta ut rundt 110 millioner dollar (rundt en milliard kroner). Eisenberg kalte det selv «en svært lønnsom handelsstrategi».

Først ble han dømt. Så, i mai 2025, opphevet en føderal dommer i New York alle de kriminelle domfellelsene, delvis fordi verneting var feil, og delvis fordi retten fant at Mango Markets sin automatiserte smartkontrakt gjorde det umulig å ha kommet med «falske fremstillinger»: kontrakten hadde ingen brukervilkår, intet forbud mot manipulasjon og intet krav om at lån skulle tilbakebetales. Med andre ord, om koden lot deg gjøre det, hadde du kanskje ikke lurt noen.

Dette er sprengstoff for recovery bounty. Hvis det å utnytte en feil ikke nødvendigvis er en forbrytelse, mister protokollens trussel om «vi anmelder deg» noe av tyngden, og angriperens forhandlingsposisjon styrkes. Samtidig forklarer det hvorfor whitehats trenger Safe Harbor: uten et klart rammeverk kan selv den som redder penger og leverer dem tilbake, havne på feil side av en uforutsigbar rettspraksis. «Code is law»-forsvaret er ikke en fribillett, men det er heller ikke lenger et argument domstolene avviser uten videre.

Recovery bounty eller ren utpressing? Den tynne linjen

Det finnes et speilbilde av recovery bounty som ser nesten identisk ut, men som er noe helt annet: utpressing. Forskjellen ligger ikke i pengestrømmen, som går samme vei, men i hvem som satte betingelsene og under hvilken trussel. En recovery bounty starter når offeret tilbyr en belønning for retur. Utpressing starter når angriperen krever betaling for å la være å gjøre skade.

Kraken opplevde grensetilfellet i 2024. Sikkerhetsforskere fant en feil som lot dem blåse opp saldoen sin, tok ut rundt tre millioner dollar (nær 28 millioner kroner) i ekte midler, og nektet deretter å levere pengene tilbake med mindre Kraken gikk med på et beløp de selv anslo. Krakens sikkerhetssjef Nick Percoco var kompromissløs i sin karakteristikk: «Dette er ikke white-hat-hacking, det er utpressing», sa han til CoinDesk. Skillet han peker på, er avgjørende: en whitehat melder feilen, samarbeider og tar en avtalt dusør; en utpresser holder pengene som gissel og dikterer prisen.

I praksis avgjøres kategorien av tre ting: hvem som tok initiativet, hvor raskt og fullstendig midlene ble levert, og om beløpet fulgte en anerkjent norm som ti prosent eller ble presset opp under trussel. Renegade og Euler faller klart på recovery-siden. Krakens tilfelle, der forskerne først handlet i god tro men så gjorde retur betinget av en forhandlet sum, gled over i det Percoco kalte utpressing. Den samme handlingen, å finne en feil og ta penger, kan altså ende som en hyllet redning eller en anmeldt forbrytelse, avhengig av hva som skjer i timene etterpå.

Når du ikke kan betale tyven: Nord-Korea og sanksjonsmuren

Hele recovery bounty-modellen hviler på en forutsetning: at du lovlig kan betale den andre parten. For en voksende andel av de største angrepene holder ikke den forutsetningen. Den 21. februar 2025 ble børsen Bybit tømt for rundt 1,5 milliarder dollar (nær 14 milliarder kroner) i Ethereum, det største digitale tyveriet noensinne. Angrepet ble sporet til Lazarus-gruppen, statshackere knyttet til Nord-Korea.

Her kollapser den klassiske modellen. Du kan ikke tilby en dusør på ti prosent til en sanksjonert nordkoreansk enhet uten selv å bryte internasjonale sanksjoner. Å sende en «hvit hatt-belønning» til Lazarus ville vært å finansiere et sanksjonert regime. Så Bybit snudde modellen på hodet: i stedet for å betale tyven, betalte børsen jegerne. Den lanserte et dusørprogram som lovet opp mot ti prosent av gjenvunne midler til alle som kunne bidra til å spore og fryse pengene, og betalte til slutt ut rundt 2,18 millioner dollar (rundt 20 millioner kroner) til dem som hjalp, ifølge CCN. Etterforskeren ZachXBT var blant dem som knyttet angrepet til Lazarus. Bybit selv fylte reservene med rundt 1,23 milliarder dollar i løpet av tre dager gjennom brolån, hvalinnskudd og OTC-kjøp, og holdt seg dermed solvent.

Bybit-saken deler recovery bounty i to arter. Den ene betaler tyven for å gi tilbake, som Poly Network, Euler og Renegade. Den andre betaler tredjeparter for å ta pengene tilbake med makt, gjennom sporing, frysing og etterretning, fordi tyven aldri kan betales lovlig. For statlige angripere, som i 2026 står bak en uforholdsmessig stor andel av de stjålne verdiene, er den andre arten den eneste tilgjengelige, og den gjenvinner sjelden mer enn en brøkdel.

Redningsforhandlingen steg for steg

Sett fra innsiden følger en moderne returforhandling et gjenkjennelig manus. Sikkerhetslag som har vært gjennom det, beskriver stort sett de samme fasene, ofte innenfor de første timene mens midlene fortsatt beveger seg.

• Oppdagelse og innfrysning. Angrepet fanges opp, ofte av overvåkingsboter eller uavhengige etterforskere. Børser og stablecoin-utstedere varsles umiddelbart for å fryse adresser før midlene når en mikser.
• Kontakt. Protokollen sender en offentlig melding til angriperens lommebok på blokkjeden, gjerne parallelt med en kunngjøring på X, slik at betingelsene er dokumentert og synlige.
• Tilbud og frist. Standardtilbudet er ti prosent for retur av resten, med en frist på 24 til 72 timer. Prosenten kan justeres opp hvis sjansen for gjenvinning er lav.
• Eskalering. Uteblir svar, følger trusselen: en belønning for informasjon som fører til pågripelse, involvering av politi og etterforskningsfirmaer, og full sporing av midlene på tvers av kjeder.
• Oppgjør eller sammenbrudd. Enten leverer angriperen tilbake mot avtalt dusør, eller forhandlingen bryter sammen og saken går over i ren etterforskning og rettsforfølgelse.

Hastigheten er alt. Renegade fikk pengene tilbake på 45 minutter fordi hele kjeden, fra oppdagelse til tilbud, ble kjørt nesten momentant. Jo lenger midlene får bevege seg, jo flere ender de i miksere og broer der de blir umulige å fryse, og jo svakere blir protokollens forhandlingskort. Recovery bounty er i denne forstand et kappløp mot angriperens egen hvitvasking.

Skatt, ansvar og norsk kontekst

For en norsk leser reiser recovery bounty flere spørsmål enn den besvarer. Det juridiske rammeverket er bygget rundt amerikanske forhold, med begreper som «Good Samaritan»-lover og trusselen om føderal rettsforfølgelse, mens en norsk sikkerhetsforsker opererer under helt andre regler. Å skaffe seg uberettiget tilgang til et datasystem er straffbart etter norsk rett uavhengig av hva du gjør med tilgangen etterpå, og en «jeg leverte jo pengene tilbake»-forklaring fjerner ikke selve inntrengningen. Safe Harbor-avtalen beskytter mot søksmål fra protokollen, ikke mot en offentlig påtalemyndighet.

Skattemessig er bildet klarere, men ikke gunstig. Skatteetaten behandler kryptovaluta som et formuesobjekt, og en dusør, enten den er forebyggende eller en recovery bounty, er skattepliktig inntekt som skal føres i skattemeldingen. For en forsker som driver dette systematisk, kan inntekten bli vurdert som virksomhetsinntekt med tilhørende plikter. En hvit hatt som beholder ti prosent av et reddet beløp, sitter altså ikke igjen med hele kuttet; en betydelig del skal videre til staten, og gevinst og tap på selve kryptoen skal beregnes i tillegg.

På tilsynssiden er det et hull. Finanstilsynet fører tilsyn med kryptotjenesteytere (CASP-er) under MiCA-regelverket, som er innlemmet i EØS-avtalen, men det regelverket handler om utstedere og tjenesteytere, ikke om selve smartkontraktkoden eller om forhandlinger med en angriper. Ingen norsk tilsynsmyndighet regulerer en recovery bounty som sådan. Den lever i det samme tomrommet mellom kode og lov som selve exploiten gjorde, og en norsk protokoll eller forsker som havner i en slik situasjon, gjør klokt i å søke juridisk bistand før den første meldingen sendes til en angripers lommebok.

Hva det betyr for protokoller og vanlige brukere

Den viktigste lærdommen om recovery bounty er hvor sjelden den redder dagen fullstendig. Poly Network og Euler er de spektakulære unntakene, sakene der nesten alt kom tilbake. Regelen er nærmere Bybit: statlige eller profesjonelle angripere, midler som forsvinner gjennom miksere, og en gjenvinning som måles i prosenter, ikke i helhet. Immunefi sitt anslag om at 84 prosent av rammede tokener aldri henter seg inn igjen, er den nøkterne bakgrunnen enhver returforhandling utspiller seg mot.

Derfor bør ingen protokoll behandle recovery bounty som en del av sikkerhetsstrategien. Den er en brannslukning, ikke et brannvern. De virkelige forsvarslinjene ligger foran hendelsen: grundige revisjoner, gjerne fra spesialister som forstår den aktuelle kjeden, enten det er EVM eller Solana og Move, et velfinansiert forebyggende bug bounty-program, og forhåndssignert Safe Harbor slik at whitehats kan gripe inn i sekundet det trengs. Mitchell Amador, grunnlegger av Immunefi, oppsummerte retningen slik overfor The Block: «Kryptosikkerhet er fiendtlig, og den slutter aldri å utvikle seg. Den ærlige lesningen av tallene er enkel: bransjen lærer.»

For den vanlige brukeren er konklusjonen edruelig. At recovery bounty finnes, betyr ikke at pengene dine er trygge om en protokoll blir hacket; det betyr at det finnes en liten sjanse for at noen forhandler tilbake en del av dem. Behandle den sjansen som det den er, en nødutgang som av og til er stengt, og la den aldri erstatte spørsmålet du bør stille før du setter inn en krone: hvor godt er dette forsvart før noe går galt?

Ofte stilte spørsmål

Hva er en recovery bounty i krypto?

En recovery bounty er en belønning en protokoll tilbyr etter et hack, i bytte mot at midlene leveres tilbake. Den skiller seg fra en vanlig bug bounty, som betales til en forsker før noe går tapt. Recovery bounty betales typisk til selve angriperen, som får beholde en avtalt andel (som regel ti prosent) mot å returnere resten, eller til tredjeparter som hjelper med å spore og fryse pengene.

Hvor mye får en whitehat for å levere tilbake stjålet krypto?

Standarden i markedet er ti prosent av det gjenvunne beløpet. SEAL sin Safe Harbor-avtale setter ti prosent som norm, med et tak på én million dollar (rundt ni millioner kroner). Andelen kan forhandles høyere når sjansen for gjenvinning er lav; i AFX-saken i 2026 ble det tilbudt 30 prosent. Angripere som leverer tilbake alt frivillig, som i Euler-saken, tar noen ganger ingen dusør i det hele tatt.

Er det lov å utnytte en feil hvis du leverer pengene tilbake?

Det er en juridisk gråsone. I USA ble domfellelsene mot Mango Markets-utnytteren opphevet i 2025, delvis fordi en automatisert smartkontrakt gjorde det vanskelig å påvise bedrageri. Etter norsk rett er uberettiget tilgang til et datasystem likevel straffbart uansett hva du gjør med tilgangen etterpå. SEAL Safe Harbor beskytter mot søksmål fra protokollen, men ikke mot offentlig påtale, så retur alene gjør ikke en inntrengning lovlig.

Hva er forskjellen på en recovery bounty og pengeutpressing?

Forskjellen ligger i hvem som satte betingelsene. En recovery bounty starter når offeret tilbyr en belønning for retur; utpressing starter når angriperen krever betaling og holder pengene som gissel. Krakens sikkerhetssjef kalte et tilfelle i 2024 for utpressing nettopp fordi forskerne nektet å levere tilbake uten en pris de selv dikterte. Rask, fullstendig retur mot en anerkjent norm peker mot recovery; krav under trussel peker mot utpressing.

Hvorfor kunne ikke Bybit betale en dusør til hackeren?

Fordi Bybit-angrepet ble sporet til Lazarus-gruppen, statshackere knyttet til Nord-Korea. Å betale en dusør til en sanksjonert enhet ville brutt internasjonale sanksjoner. Bybit snudde derfor modellen: i stedet for å betale tyven, betalte børsen rundt 2,18 millioner dollar til tredjeparter som hjalp med å spore og fryse midlene. For statlige angripere er dette som regel den eneste lovlige veien, og den gjenvinner sjelden mer enn en brøkdel.

Anneke de Vries er sikkerhetsredaktør i HOGE Wire og skriver om exploits, revisjoner og forsvaret av desentralisert infrastruktur.