Revisjonsselskapene i krypto: hvem kan du stole på?

I løpet av de første seks månedene av 2026 registrerte sikkerhetsselskapet Ack3 135 separate utnyttelser av krypteringsprosjekter, med et samlet tap på 939,86 millioner dollar, litt over 8,9 milliarder kroner ved en kurs rundt 9,5 kroner per dollar (august 2026). Gjennomsnittstapet per hendelse var på 6,96 millioner dollar, rundt 66 millioner kroner. Men det mest oppsiktsvekkende funnet i Ack3-rapporten var ikke summen i seg selv. Av pengene som ble stjålet fra prosjekter som faktisk var sikkerhetsrevidert, forsvant 94,4 prosent gjennom kode eller infrastruktur som revisorene aldri hadde sett på. Og av de tjue nyeste revisjonene knyttet til de rammede prosjektene, var sytten av dem minst et halvt år gamle da angrepet skjedde.

Det er fristende å lese en slik statistikk som et argument mot revisjon i seg selv. Det er feil konklusjon. Riktig konklusjon er at ordet «revidert» ikke betyr noe presist før du vet hvem som gjorde jobben, hva de faktisk så på, hvor ferske funnene er, og hva selskapet har gjort de gangene det bommet. Denne artikkelen er en praktisk guide til å vurdere revisjonsselskapene selv, ikke bare stole på en logo nederst på et prosjekts nettside.

Hva en revisjon faktisk lover, og ikke lover

En sikkerhetsrevisjon av en smartkontrakt er en tidsavgrenset gjennomgang av kildekoden slik den forelå på et bestemt tidspunkt. Et team av ingeniører leser koden manuelt, kjører automatiserte verktøy for å finne kjente feilmønstre, og noen ganger bruker formell verifikasjon for å bevise matematisk at bestemte egenskaper alltid holder. Resultatet er en rapport med funn sortert etter alvorlighetsgrad, som regel fra informasjonsfunn og lav risiko til høy og kritisk, sammen med anbefalinger til hvordan hvert funn bør rettes.

Det revisjonen ikke gjør, er å garantere at koden forblir sikker etter at rapporten er levert. Den dekker som regel ikke kode som legges til etter at gjennomgangen er avsluttet, den dekker sjelden infrastrukturen rundt kontrakten (signeringsnøkler, oraklenettverk, brotjenester, adminfunksjoner), og den sier ingenting om hvorvidt teamet bak prosjektet faktisk har til hensikt å forvalte pengene ærlig. Vi har tidligere gått grundig gjennom nøyaktig hva en revisjon fanger opp og hva den ikke gjør, og konklusjonen der er den samme som Ack3-tallene bekrefter: revisjon reduserer risiko, den fjerner den ikke.

Metodikken er også i rask endring. Trail of Bits har vært åpne om at de på enkelte oppdrag har gått fra å finne rundt 15 feil i uken til rundt 200 i uken etter en omfattende intern satsing på KI-assisterte verktøy, der om lag 20 prosent av alle rapporterte feil nå først blir flagget av en modell før et menneske verifiserer funnet. Det er en reell effektivitetsgevinst, men den endrer ikke selve grensen for hva en revisjon dekker: et raskere søk gjennom den samme, avgrensede kodebasen finner fortsatt ingenting i infrastrukturen utenfor.

Slik vurderer du et revisjonsselskap: seks kriterier

Når et prosjekt skryter av at det er «revidert av [firma]», er spørsmålet du bør stille ikke om revisjonen fant sted, men hvor god den faktisk var. Seks kriterier fanger det meste av forskjellen mellom en revisjon som reduserer reell risiko og en som i praksis bare er markedsføring.

Det er også verdt å skille mellom tre beslektede, men ulike tjenester som ofte blandes sammen i dagligtale. En revisjon er en engangs kodegjennomgang før eller kort tid etter lansering. En penetrasjonstest, eller pentest, er en mer offensiv øvelse rettet mot et helt system, ofte inkludert infrastruktur og tilgangskontroll, ikke bare kontraktskoden isolert. Et bug bounty-program er derimot løpende og åpent, og betaler kun for faktiske, bekreftede funn, uten noen avtalt tidsramme for når arbeidet er «ferdig». De beste sikkerhetsprogrammene i bransjen bruker gjerne alle tre i kombinasjon, ikke som erstatning for hverandre.

Ingen av kriteriene er absolutte i seg selv. Et firma kan score høyt på fem av seks og likevel bomme, slik vi skal se flere eksempler på under. Poenget er at de seks samlet gir et langt mer presist bilde enn det ene ordet «revidert» alene noensinne kan.

De etablerte firmaene: OpenZeppelin, Trail of Bits og Certora

Tre navn dukker opp igjen og igjen i de største protokollenes revisjonshistorikk. OpenZeppelin bygget kontraktsbiblioteket store deler av dagens DeFi fortsatt bygger videre på, en portefølje bransjeoversikter anslår har bidratt til å sikre verdier for over 50 milliarder dollar totalt, og har egne retrospektiv når noe går galt. Etter Balancer-hacket i november 2025 presiserte selskapet i sin egen rapport at de nye kontraktene som til slutt ble utnyttet «were added to the repository but were not within the scope of our engagement», ti dager etter at deres andre revisjon av protokollen var avsluttet, en presis illustrasjon av hvor bokstavelig ordet «omfang» faktisk skal tas.

Trail of Bits, som vi har skrevet en egen dybdeartikkel om, er kjent for åpen kildekode-verktøyene Slither og Echidna, og for at de faktisk publiserer egne retrospektiv om hva de bommet på i Balancer- og Bunni-sakene, ikke bare hva de fant riktig. Vi har også en egen guide til hvordan du leser en revisjonsrapport fra dem steg for steg, inkludert hvordan «level of effort» målt i personuker er det enkeltpunktet som sier mest om hvor grundig en gjennomgang faktisk var. Certora tar en annen tilnærming: formell verifikasjon, der egenskaper bevises matematisk i stedet for å letes etter manuelt, en metode som utfyller manuell gjennomgang mer enn den erstatter den.

Halborn: fra Miami-oppstart til institusjonell sikkerhet

Halborn er et av firmaene som sjeldnere nevnes i de store DeFi-overskriftene, men som har bygget seg en solid posisjon nettopp fordi virksomheten dekker mer enn ren smartkontrakt-revisjon. Tjenestetilbudet spenner fra manuelle smartkontrakt-revisjoner via offensiv «red team»-testing av lommebøker og dApper til infrastruktur- og DevOps-sikkerhet og CISO-som-en-tjeneste, på tvers av EVM-kjeder, Solana, Cosmos, Move-økosystemet og Algorand. Selskapet ble startet i Miami i 2019 av Steven Walbroehl og Rob Behnke, som drev det uten ekstern finansiering i om lag tre år før de hentet 90 millioner dollar, rundt 855 millioner kroner, i en serie A-runde i juli 2022 ledet av Summit Partners.

Halborns mest kjente enkeltfunn er trolig det som fikk navnet Rab13s. I mars 2022 fant en av selskapets sikkerhetsingeniører, Hossam Mohamed, en svakhet i Dogecoin-kodebasen under en rutinerevisjon. Svakheten viste seg å påvirke over 280 andre nettverk som delte samme underliggende kodegrunnlag, blant dem Litecoin og Zcash, med eiendeler for over 25 milliarder dollar, godt over 200 milliarder kroner, potensielt utsatt. Funnet inkluderte to feil som kunne krasje noder i verste fall åpne for et 51 prosent-angrep, samt en tredje, mindre kritisk RPC-relatert svakhet. Halborn ventet med full offentliggjøring til mars 2023, etter at de mest sentrale nettverkene hadde rukket å patche, men langt fra alle de mindre forkene gjorde det samme.

Selskapet fikk ny toppsjef i september 2024, da Jacques Boschung, tidligere fra Kudelski Security, overtok som CEO, mens Behnke gikk over til rollen som styreleder og president. Dreiningen siden har vært tydelig mot institusjonelle kunder: banker, forvaltere og utstedere av tokeniserte eiendeler, med et eget «Secure by Design»-rammeverk og nye rådgivningspartnerskap. Boschung har selv forklart hvorfor han mener tidspunktet er riktig: «Financial services are transforming, and institutions are adopting digital assets at an unprecedented rate. The underlying infrastructure has to keep pace.» Halborn arrangerte sitt eget ACCESS-toppmøte på NYSE i februar 2026, nettopp rettet mot dette publikummet av banker og forvaltningsselskaper.

CertiK, Zellic og spesialistene for Solana og Move

CertiK er trolig det mest kjente navnet i bransjen for norske lesere, og vi har allerede skrevet en egen artikkel om hvordan Skynet-poengsystemet deres fungerer, samt kontroversen rundt Kraken-saken i 2024, der selskapet holdt tilbake omdiskuterte «hvitehatt»-midler i flere dager. Det som er verdt å legge til her, er hvor mye bransjen har spesialisert seg langs blokkjede- og språklinjer i tiden siden.

For alt som er skrevet i Rust og Move, språket Sui og Aptos bruker, er Zellic, OtterSec og MoveBit blitt referansepunktene, omtrent på samme måte som Trail of Bits og OpenZeppelin er det for Solidity og EVM-kjeder. Zellic kjøpte for øvrig opp konkurranseplattformen Code4rena i 2024, noe vi kommer tilbake til lenger ned. Problemet, som Cetus-hacket under viser med all mulig tydelighet, er at spesialisering på et språk ikke er det samme som ufeilbarlighet i det språket.

Cetus-hacket: tre revisjoner, samme sårbarhet

22. mai 2025 mistet Sui-baserte DEX-en Cetus rundt 223 millioner dollar, litt over 2,1 milliarder kroner, på under 15 minutter. Angriperen utnyttet en avrundingsfeil i et delt matematikkbibliotek kalt integer-mate, kombinert med en ekstremt smal likviditetsposisjon som fikk en overflow-kontroll til å returnere feil verdi. Der offeret trodde det satte inn ett enkelt token for å hente ut en liten mengde likviditet, fikk angriperen i stedet tilgang til hele den opprinnelige, store likviditetsmengden bak posisjonen.

Det som gjør saken til et særlig godt eksempel for denne artikkelen, er ikke tapet i seg selv, men revisjonshistorikken. Cetus hadde blitt gjennomgått av tre forskjellige spesialistfirmaer før hacket. MoveBits revisjon i april 2023 nevnte kontroll av såkalte «value overflows» som en del av metodikken, men fanget aldri opp det spesifikke overflow-mønsteret som senere ble utnyttet. OtterSecs revisjon i mai 2023 kom faktisk nærmest: rapporten pekte på at konvertering av en u256-verdi til u64 i en beslektet funksjon kunne forårsake regnefeil dersom verdien oversteg maksgrensen, men funnet ble klassifisert som et forslag til forbedring, ikke som et kritisk avvik som måtte rettes før lansering. Zellics revisjon, avsluttet i april 2025, bare en måned før angrepet, fant heller ikke feilen.

Tre uavhengige spesialistfirmaer, alle med reell fartstid fra nettopp Move-språket, gjennomgikk beslektet kode og bommet på den samme underliggende svakheten. Det er trolig det klareste eksempelet i hele denne artikkelen på hvorfor «ferskhet» alene ikke er nok: en revisjon fra bare én måned før hacket ga fortsatt falsk trygghet, fordi ingen av de tre noen gang klarte å knytte det riktige funnet til riktig alvorlighetsgrad.

Konkurranseformatet: Code4rena, Sherlock, Cantina og Immunefi

Ved siden av tradisjonelle revisjonsfirmaer med fast pris, har bransjen utviklet en konkurransemodell der mange uavhengige sikkerhetsforskere, gjerne kalt «wardens» eller «watsons» avhengig av plattform, konkurrerer om å finne feil i samme kodebase mot en delt premiepott. Sherlock og det tidligere Code4rena var lenge de to største plattformene for dette, mens Cantina, Spearbits offentlige gren, tilbyr både åpne konkurranser og mer kuraterte team gjennom et eget «Fellowship»-program.

Mekanikken varierer noe mellom plattformene. På Cantina kjører rene konkurranser typisk over alt fra tre dager til fire uker, med premiepotter fra 25.000 til over 500.000 dollar og alt fra 30 til godt over 500 deltakere, noe som gir bred, motstridende dekning av kodebasen fra svært mange vinkler samtidig. Sherlock kombinerer konkurranseformatet med en egen forsikringsmekanisme: en del av premiepotten går til en dekningspool som kan utbetale erstatning til et protokollteam dersom en sårbarhet som var innenfor konkurransens omfang, likevel blir utnyttet i etterkant, en modell som i praksis setter plattformens egne penger på spill for kvaliteten på funnene.

Modellen fikk en solid knekk 13. mai 2026, da Code4rena kunngjorde at plattformen gradvis avvikler driften, og at konkurrenten Immunefi overtar både wardens og pågående bug bounty-kunder. Ironisk nok hadde Zellic, revisjonsfirmaet fra forrige avsnitt, kjøpt opp Code4rena bare to år tidligere, i 2024, og på kjøpstidspunktet ble det uttalt at plattformen ville fortsette å drive uavhengig. Nedleggelsen kom samtidig som den totale verdien låst i DeFi falt kraftig gjennom 2026, og antallet sikkerhetshendelser gikk opp, en kombinasjon som gjorde det stadig vanskeligere å holde konkurranseformatet lønnsomt for plattformen selv.

Immunefi er i dag den klart største rene bug bounty-plattformen, med enkeltprogrammer på opptil 15 millioner dollar. Selskapets eget forskningsarbeid er for øvrig et av de sterkeste argumentene for å kombinere en tradisjonell revisjon med et løpende program: av 593 bug bounty-program som har vært aktive i fem år eller mer, har nesten 94 prosent avdekket minst én bekreftet, betalt kritisk sårbarhet i løpet av den tiden, en andel som stiger jevnt fra 61 prosent etter det første året, via 74 prosent etter to år og 87 prosent etter tre. Immunefis egen «Hack Impact Estimate»-modell, bygget på data fra januar 2021 til februar 2026, anslår gjennomsnittlig skadeomfang fra et vellykket angrep til rundt 25 millioner dollar, godt over 200 millioner kroner, et tall som gjør selv de dyreste bug bounty-utbetalingene rimelige i sammenligning. Poenget er ikke at revisjon er overflødig, men at en engangsgjennomgang og et løpende program fanger opp systematisk forskjellige typer feil.

Da revisjonen ikke var poenget: KelpDAO og infrastruktursvikten

Ack3-tallene fra innledningen peker på noe TRM Labs også har dokumentert for første halvår 2026: angrep mot infrastruktur og nøkkelhåndtering står for et lite mindretall av hendelsene målt i antall, men for godt over halvparten av den samlede verdien som forsvinner. Det tydeligste enkelteksempelet er KelpDAO.

18. april 2026 mistet den likvide restaking-protokollen rundt 292 millioner dollar, nesten 2,8 milliarder kroner, i det som ved første øyekast så ut som et klassisk brokollaps. Root cause var derimot ikke en feil i selve smartkontrakten, men en kompromittert verifiseringsnode i LayerZero-broen, kombinert med DDoS-angrep mot RPC-noder, som til sammen lot angriperen forfalske en tilsynelatende gyldig kryssjede-melding. OpenZeppelins egen etterforskningsrapport oppsummerte det presist: kontraktene fungerte nøyaktig slik de var skrevet for å gjøre. Hendelsen spredte seg raskt til resten av DeFi ettersom store mengder av de stjålne rsETH-tokenene allerede lå som sikkerhet i Aave, og trakk med seg over 13 milliarder dollar i samlet likviditet på under 48 timer.

Ingen revisjon av selve restaking-kontraktene ville fanget opp dette. Problemet lå i konfigurasjonen av en ekstern bro og driften av noder utenfor prosjektets egen kode, nøyaktig den typen risiko som havner under «omfang» i sekskriterie-tabellen tidligere i artikkelen.

Et annet, uavhengig datasett peker i samme retning. CertiKs eget Hack3d-rammeverk, som måler første halvår 2026 separat fra Ack3, kom til 1,31 milliarder dollar tapt fordelt på 344 hendelser i samme periode, et annet tall enn Ack3s fordi metodikk og avgrensning er forskjellig, men konklusjonen samsvarer likevel: kompromitterte lommebøker alene sto for 444,5 millioner dollar fordelt på bare 33 hendelser, mens kodesårbarheter, kategorien en tradisjonell revisjon faktisk er designet for å fange opp, sto for hele 204 hendelser men et langt lavere samlet beløp. Jo dyrere hendelsen er, desto mindre sannsynlig er det at en smartkontrakt-revisjon alene noensinne kunne forhindret den. Tabellen under samler KelpDAO sammen med de andre store sakene nevnt så langt, for å vise hvor ulikt «revidert» kan bety fra sak til sak.

Ethereum Foundation vil gjøre revisjoner billigere

Et av de mer konkrete forsøkene på å løse et reelt strukturelt problem, nemlig at ordentlige revisjoner er dyre nok til at mindre team ofte dropper dem helt, kom fra Ethereum Foundation i april 2026. Stiftelsen lanserte et tilskuddsprogram på 1 million dollar, litt over 9,5 millioner kroner, som gir utviklere tilgang til over 20 revisjonsfirmaer, blant dem Certora, BlockSec, Quantstamp, Spearbit, Sherlock, Zellic, Hacken, Cyfrin og Dedaub, gjennom plattformen Areta.

Utvalgte team kan få dekket opptil 30 prosent av revisjonskostnaden, men først etter at funnene faktisk er rettet, ikke bare etter at rapporten er levert, en detalj som knytter finansieringen direkte til oppfølging fremfor til selve gjennomgangen. Chainlink og teamet bak Ethereum-klienten Nethermind bidrar til å vurdere hvilke prosjekter som slipper til i de månedlige kohortene. Programmet er lite i kronebeløp sammenlignet med de virkelig store hendelsene i denne artikkelen, men det sier noe om hvor bransjen selv mener svakheten ligger: ikke primært i mangel på dyktige revisorer, men i at de beste revisjonene ofte er for dyre for nettopp de minste og mest sårbare prosjektene.

Slik sjekker du en revisjonsrapport selv

Du trenger ikke ta et prosjekts ord for at revisjonen faktisk sier det de hevder. Solodit, som ble kjøpt opp av sikkerhetsselskapet Cyfrin tidlig i 2024, samler funn fra de aller fleste store revisjonsfirmaene og konkurranseplattformene i én søkbar database, og lar deg lese den faktiske teksten i tidligere funn, ikke bare overskriften. De fleste seriøse firmaer, deriblant Trail of Bits, publiserer i tillegg egne arkiv med hundrevis av offentlige rapporter direkte på egne nettsider.

Utover selve rapportarkivene finnes DeFiSafety, som gir prosjekter en uavhengig prosesskvalitet-score fra 0 til 100 basert på dokumentasjon, testing, tilgangskontroll og driftsrutiner, ikke bare selve kodegjennomgangen. Og for den som vil helt ned i detaljene: bytekoden som faktisk kjører på kjeden kan sammenlignes direkte mot commit-hashen som er nevnt i revisjonsrapporten, via en vanlig block explorer, en øvelse som raskt avslører om koden som ble revidert faktisk er den samme koden som er i produksjon i dag.

Når du faktisk åpner en rapport, se spesielt etter to ting utover selve funnlisten. Det første er hvordan firmaet vekter alvorlighetsgrad mot sannsynlighet, siden et funn med middels alvorlighetsgrad men høy sannsynlighet for å faktisk bli utnyttet ofte er farligere i praksis enn et kritisk funn som krever en usannsynlig kombinasjon av forhold for å ramme noen. Det andre er oppfølgingsstatusen på hvert enkelt funn: seriøse firmaer skiller tydelig mellom «Fixed» (rettet og bekreftet i en navngitt versjon) og «Acknowledged» eller «risk accepted» (prosjektet er informert, men har bevisst valgt å ikke rette det før lansering). Et prosjekt som viser frem en rapport uten samtidig å vise den oppdaterte statusen på hvert funn, viser deg bare halve bildet.

Hva det faktisk koster å bli revidert

Prisbildet i bransjen har blitt tydeligere etter hvert som flere firmaer publiserer egne referansepunkter. For enkle, standardiserte kontrakter ligger prisen typisk mellom 8.000 og 25.000 dollar, om lag 76.000 til 238.000 kroner. Standard DeFi-protokoller havner gjerne mellom 25.000 og 80.000 dollar, 238.000 til 760.000 kroner, mens komplekse systemer med mye egenutviklet logikk fra de aller mest etablerte firmaene koster fra 80.000 dollar og oppover, i enkelte tilfeller godt over tre millioner kroner for de aller største engasjementene. Konkurranseformatet har en annen prisstruktur, gjerne en fast premiepott på mellom 20.000 og over 200.000 dollar for hele konkurransen samlet.

Det beste eksempelet på hva et virkelig stort budsjett faktisk kjøper, er Aaves eget «Security by Design»-program for versjon 4, gjennomført fra mars 2025 til februar 2026. Aave Labs satte av 1,5 millioner dollar, i overkant av 14 millioner kroner, og brukte tre firmaer parallelt, Trail of Bits, ChainSecurity og Blackthorn, til sammen over 345 dagsverk med gjennomgang, en egen suite med invariant-tester og en seks uker lang offentlig kodekonkurranse på toppen. Resultatet, ifølge Aave Labs egen gjennomgang: ingen funn av kritisk eller høy alvorlighetsgrad. Det er ingen garanti for at ingenting noensinne vil gå galt i fremtiden, men det illustrerer godt hvor mye et budsjett i den øvre delen av skalaen faktisk kjøper, sammenlignet med et minimumsoppdrag på noen titalls tusen dollar.

Regelverket: hva Finanstilsynet faktisk krever

Her kommer det som overrasker mange norske lesere: verken norsk eller europeisk regelverk krever at et kryptoprosjekt blir sikkerhetsrevidert i det hele tatt. Kryptoeiendelsloven, som gjennomfører MiCA-forordningen i Norge etter at den trådte i kraft 1. juli 2025 gjennom EØS-avtalen, regulerer tilbydere av kryptoeiendelstjenester, såkalte CASP-er: børser, oppbevaringsløsninger og lignende sentraliserte aktører. Finanstilsynet vurderer egnetheten til ledelsen, behandler søknader om tillatelse og fører løpende tilsyn med etterlevelse. Ingenting i dette regelverket stiller krav til at den underliggende smartkontrakt-koden skal revideres av noen bestemt type firma, og det finnes verken en norsk eller en europeisk godkjenningsordning for revisorer av smartkontrakter, i sterk kontrast til den strenge, lovregulerte godkjenningen som gjelder for revisorer av ordinære regnskaper.

DORA-forordningen (Digital Operational Resilience Act), som har vært i kraft for CASP-er siden 17. januar 2025, kommer nærmest et krav om ekstern gjennomgang, men også den er myntet på operasjonell IT-motstandsdyktighet og hendelseshåndtering hos den sentraliserte tilbyderen, ikke på revisjon av selve smartkontrakt-koden en protokoll bygger på. En kryptobørs regulert av Finanstilsynet må dermed dokumentere robusthet i egne IT-systemer, mens den underliggende DeFi-protokollen børsen kanskje lister et token fra, ikke er omfattet av noen tilsvarende plikt overhodet.

Fullt ut desentraliserte protokoller uten noen sentral tilbyder faller for øvrig helt utenfor MiCA-regelverket. Det betyr at dersom en slik protokoll blir hacket, uansett hvor mange ganger den er revidert tidligere, har brukerne ingen klageinstans hos Finanstilsynet å henvende seg til. Omdømme, ikke regelverk, er dermed det som i praksis holder revisjonsbransjen ansvarlig. Suhail Kakar, som jobber med utviklerrelasjoner hos TAC Blockchain, formulerte problemet presist etter Balancer-hacket i november 2025: «Balancer went through 10+ audits. The vault was audited three separate times by different firms still got hacked for $110M. This space needs to accept that ‘audited by X’ means almost nothing. Code is hard, DeFi is harder.»

David Schwed, driftssjef i sikkerhetsselskapet SVRN og grunnlegger av masterprogrammet i cybersikkerhet ved Yeshiva University, pekte i juni 2026 på en beslektet, nyere fare: at kunstig intelligens gjør det fristende å behandle en automatisert kodegjennomgang som en fullverdig erstatning for et menneskelig sikkerhetsprogram. «‘Claude, audit my smart contract, make no mistakes’ is not a security program,» sa han til CoinDesk. Poenget hans overlapper med hovedbudskapet i denne artikkelen: verktøyet, enten det er en KI-modell eller et etablert revisjonsfirma, er aldri bedre enn forståelsen til den som tolker resultatet.

Tre ting norske lesere bør ta med seg

Oppsummert handler det meste av denne artikkelen om tre praktiske vaner.

• Spør alltid om lenken til selve rapporten, ikke bare navnet på revisjonsfirmaet. En logo uten en fungerende lenke til en publisert rapport er verdt svært lite.
• Sjekk datoen og omfanget nøye. Kode endrer seg, og en revisjon fra for et år siden sier lite om koden som faktisk kjører i dag, særlig etter en større oppgradering eller ny funksjonalitet.
• Se etter om prosjektet kombinerer en tradisjonell revisjon med et løpende bug bounty-program, gjerne gjennom Immunefi eller Cantina. Gitt at nesten 94 prosent av langvarige bug bounty-program til slutt finner en kritisk feil, er kombinasjonen systematisk sterkere enn en engangsrevisjon alene.

Og til slutt, kanskje det viktigste: husk at selv de beste revisorene i verden, med de beste verktøyene og mest erfarne folkene, har bommet på ekte, utnyttbare feil i kode som allerede lå i produksjon. Det er ikke et argument mot å bruke dem, revidert kode er fortsatt langt tryggere i snitt enn urevidert kode. Det er derimot et argument for å aldri behandle ordet «revidert» som et synonym for «trygt».

Ofte stilte spørsmål

Hva er et revisjonsselskap i krypto?

Et revisjonsselskap i krypto er et team av sikkerhetsingeniører som gjennomgår kildekoden til en smartkontrakt for å finne sårbarheter, enten før den settes i produksjon eller etter at den allerede kjører. De største, som OpenZeppelin, Trail of Bits, Halborn og CertiK, kombinerer manuell kodelesing med automatiserte verktøy og formell verifikasjon, og leverer en rapport der funnene er sortert etter alvorlighetsgrad. Modellen ligner regnskapsrevisjon i navn, men det finnes ingen tilsvarende offentlig godkjenningsordning for smartkontrakt-revisorer noe sted i verden.

Betyr en revisjon at en smart kontrakt er trygg?

Nei. En revisjon reduserer risikoen for kjente feiltyper i koden slik den forelå på revisjonstidspunktet, men den garanterer ingenting om fremtidig kode, om infrastruktur som broer og orakler, eller om hvorvidt teamet bak prosjektet faktisk har ærlige hensikter. Ifølge sikkerhetsselskapet Ack3 forsvant 94,4 prosent av pengene stjålet fra reviderte prosjekter i første halvår 2026 gjennom kode eller infrastruktur revisorene aldri hadde sett på, og protokoller som Balancer og Cetus ble hacket etter henholdsvis over ti og tre separate revisjoner. Selv de mest erfarne revisjonsfirmaene i verden har gått glipp av reelle, utnyttbare feil i kode de selv har gjennomgått, så en revisjon bør leses som risikoreduksjon, ikke som en garanti.

Hvilket revisjonsselskap er best for smart-kontrakt-revisjon?

Det finnes ikke noe entydig svar, fordi det beste valget avhenger sterkt av hvilken blokkjede og hvilket programmeringsspråk prosjektet er skrevet i. OpenZeppelin og Trail of Bits har lengst merittliste på Solidity og EVM-kjeder, Zellic, OtterSec og MoveBit er de nærmeste referansene for Rust og Move på Sui og Aptos, mens Halborn og CertiK dekker et bredere spekter som inkluderer infrastruktur, pentesting og institusjonelle kunder. Se etter dokumentert spesialisering på riktig språk og kjede, fremfor å velge bare basert på merkenavn.

Hva koster en smart-kontrakt-revisjon?

Prisen varierer sterkt med kompleksitet. Enkle, standardiserte kontrakter koster typisk mellom 8.000 og 25.000 dollar, om lag 76.000 til 238.000 kroner. Standard DeFi-protokoller havner gjerne mellom 25.000 og 80.000 dollar, 238.000 til 760.000 kroner, mens komplekse systemer fra de mest etablerte firmaene starter fra 80.000 dollar og kan koste flere millioner kroner for de aller største engasjementene, slik som Aaves eget 1,5 millioner dollar-program for versjon 4.

Krever Finanstilsynet at kryptoprosjekter blir revidert?

Nei. Verken kryptoeiendelsloven, som gjennomfører MiCA i Norge, eller noe annet europeisk regelverk krever sikkerhetsrevisjon av smartkontrakt-kode. Finanstilsynet fører tilsyn med tilbydere av kryptoeiendelstjenester (CASP), altså børser og oppbevaringsløsninger, ikke med koden til desentraliserte protokoller. Fullt desentraliserte prosjekter faller helt utenfor MiCA-regelverket, og det finnes ingen norsk eller europeisk godkjenningsordning for revisorer av smartkontrakter.

Skrevet av Anneke de Vries, HOGE Wire.