Samme feil, ti år på rad: virker kryptoens obduksjoner?

Den 17. juni 2016 drenerte en angriper 3.641.694 ether ut av The DAO ved å kalle den samme funksjonen om og om igjen før kontrakten rakk å oppdatere saldoen. Feilen het reentrancy, og den endte med en hard fork som delte Ethereum i to kjeder. Ti år senere, i de første dagene av oktober 2026, registrerte sporingsdatabasen til DefiLlama en ny rekke tyverier: en avrundingsfeil i Set Protocol, mangelfull tilgangskontroll i en likvideringsbot hos MakerDAO, en logisk brist i broen til NEAR Intents. Ingen av dem var spektakulære. Alle var gamle kjenninger.

Mellom disse to datoene har kryptobransjen bygget noe nesten ingen annen bransje har: en kultur for å dissekere sine egne katastrofer i full offentlighet. Vi kaller det obduksjonen, eller post-mortem. Protokollen som nettopp ble tappet, legger ut en minutt-for-minutt-tidslinje, peker på rotårsaken i koden, forklarer hva som ble gjort og lover å fikse det. Sjangeren er blitt så etablert at den har sine egne ritualer, sine egne forfattere og til og med sitt eget gravsted på rekt.news.

Men hele sjangeren hviler på et løfte som sjelden sies høyt: vi publiserer obduksjonen slik at ingen gjentar feilen. Og nettopp der blir det ubehagelig. For hvis det løftet holdt, hvorfor tappes da protokoller i oktober 2026 av de samme feilklassene som drepte The DAO i 2016? Denne artikkelen stiller det spørsmålet rett ut: virker obduksjonene egentlig, eller skriver bransjen bare stadig vakrere rapporter om den samme feilen?

Oktober 2026: de gamle feilene, om igjen

Start med uken denne artikkelen ble skrevet. I begynnelsen av oktober 2026 var ingen av hackene store nok til å nå forsidene. En avrundingsfeil tappet Set Protocol for noen titusen dollar. En likvideringsbot i MakerDAOs ETH-A-marked mistet drøyt en halv million dollar fordi tilgangskontrollen var feil satt opp. En kontrakt kalt FlashLoopAdapter ga fra seg rundt 300.000 dollar av samme grunn. Broen til NEAR Intents mistet rundt 3,8 millioner dollar til en logisk feil, ifølge DefiLlama. Summene er små. Poenget er ikke summen.

Poenget er at hver eneste av dem tilhører en feilklasse bransjen har skrevet detaljerte obduksjoner om i årevis. Avrunding i den gale retningen. Tilgangskontroll som ikke sjekker hvem som egentlig kaller. Broer som stoler på for få aktører. Dette er ikke nye angrep. Det er pensum. En erfaren revisor kjenner dem alle igjen fra forelesning én, og likevel dukker de opp uke etter uke, protokoll etter protokoll, med en forutsigbarhet som burde få noen til å spørre om selve læringsmekanismen er i stykker.

Kontrasten til 2016 er nesten komisk. The DAO var reentrancy i sin reneste form, og den feilen er i dag det aller første eksempelet enhver nybegynner lærer. Likevel ble Curve Finance tappet for nær 70 millioner dollar så sent som i 2023 gjennom en reentrancy-lås som sviktet i Vyper-kompilatoren, ikke engang i protokollens egen kode. Hacken anslår at mer enn 200 millioner dollar er stjålet gjennom reentrancy-varianter siden The DAO. En feil alle kan, som ingen klarer å bli kvitt.

Obduksjonen ble kryptoens egen sjanger

Ideen om den skyldfrie obduksjonen er ikke oppfunnet i krypto. Den kommer fra driftskulturen i store programvareselskaper (Google og Etsy populariserte den «blameless post-mortem») og enda lenger tilbake fra luftfarten, der havarikommisjoner gransker ulykker for å lære, ikke for å straffe. Tanken er enkel: hvis folk tør å fortelle nøyaktig hva som gikk galt uten å frykte represalier, lærer hele systemet, og den samme ulykken skjer ikke igjen.

Krypto tok formatet og gjorde det til noe eget. Her er obduksjonen offentlig fra første stund, ofte skrevet i sanntid mens pengene fortsatt er på vei ut. Den leses av titusener, den siteres, og den får sin egen svarte humor hos rekt.news, der hvert hack får en nekrolog og en plass på en bestenliste over tidenes største tap. Bestelisten er ikke bare underholdning; den er bransjens kollektive hukommelse, en offentlig skammekrok som skal sikre at ingen glemmer.

Og i mangel på alt annet er obduksjonen ofte det eneste offeret får. Det finnes sjelden en forsikring, sjelden en domstol som rekker frem, sjelden en regulator med myndighet over en anonym protokoll. Rapporten, bestelisten og den offentlige diskusjonen er både rettssak, gravferd og lærebok på én gang. Da blir det desto viktigere å vite om læreboken faktisk blir lest, og om noen gjør leksa.

Tre nivåer av å «virke»

Spørsmålet om obduksjonen virker har ikke ett svar, det har tre. For den samme rapporten kan være en knallsuksess på ett nivå og en total fiasko på et annet, og mye av forvirringen i debatten kommer av at folk snakker om hvert sitt nivå uten å si det.

Det første nivået er den enkelte protokollen. Lærer teamet som nettopp ble hacket, nok til å unngå å bli tappet av den samme feilen en gang til? Det andre nivået er økosystemet. Lærer bransjen som helhet, slik at feilklassen forsvinner fra alle de andre protokollene som ennå ikke er bygget? Det tredje nivået er angrepsflaten selv. Holder obduksjonen tritt når angriperne flytter seg fra kode til nøkler til mennesker? Svarene er, i tur og orden: ja, nei, og nesten ikke. Resten av artikkelen går gjennom dem ett for ett.

Nivå 1: den enkelte protokollen lærer faktisk

På det laveste nivået virker obduksjonen bemerkelsesverdig godt. En protokoll som skriver en ærlig rapport og retter den konkrete feilen, dør nesten aldri av akkurat den feilen igjen. Det beste eksempelet er Euler Finance. I mars 2023 ble protokollen tappet for rundt 197 millioner dollar i et flash-lån-angrep. I stedet for å legge ned bygde teamet alt på nytt.

Euler v2 ble lansert etter det The Block beskriver som 31 separate revisjoner, fra firmaer som Certora, Omniscia, OtterSec, OpenZeppelin og Trail of Bits, i tillegg til en revisjonskonkurranse hos Cantina til 1,25 millioner dollar, en «Capture the Flag» med Hats Finance til 3,5 millioner dollar og et løpende dusørprogram. Daglig leder Michael Bentley har fortalt at mange hadde avskrevet dem, og at det ville vært helt normalt å avslutte prosjektet der og da. I stedet nådde protokollen nye toppnoteringer i total verdi låst etter relanseringen. Euler ble ikke tappet av det samme hullet to ganger.

Det samme mønsteret ser vi i mindre skala hos Gnosis Pay. I juni 2026 ble betalingsinfrastrukturen rammet av en signaturvaliderings-svakhet (en ERC-1271-feil som hadde ligget sovende i en Zodiac-modul siden 2023), men teamet fant rotårsaken på rundt to timer, dekket hele tapet selv slik at kundene ikke mistet en krone, og sendte den rettede koden til ny revisjon. crypto.news omtalte det som en mønster-obduksjon. Dette er sjangeren når den fungerer: rask deteksjon, ærlig rotårsak, brukerne holdt skadesløse, koden fikset og revidert på nytt.

Idealet er oppsummert i én setning av Dan Guido, medgründer og daglig leder i sikkerhetsfirmaet Trail of Bits, som i et intervju formulerte hele poenget med en obduksjon slik: «I never want to find the same bug twice». På den enkelte protokollens nivå er det et oppnåelig mål, og mange når det. Problemet oppstår i det øyeblikket vi hever blikket fra én protokoll til hele bransjen.

Nivå 2: økosystemet gjentar feilklassene

Hev blikket, og bildet snur. Enkeltprotokoller lærer, men bransjen som helhet gjør det knapt. De samme feilklassene vandrer fra protokoll til protokoll, tiår etter tiår, som om hver obduksjon ble skrevet, lest av de direkte berørte, og deretter lagt i en skuff ingen andre åpner.

Det skarpeste eksempelet er avrunding. I november 2025 ble Balancer v2 tappet for over 100 millioner dollar på tvers av ni kjeder gjennom en feil i hvilken retning tall ble avrundet. Det oppsiktsvekkende er ikke at det skjedde, men at det var kjent. Allerede i oktober 2021 hadde Trail of Bits gjennomgått Balancers Linear Pools og notert nøyaktig denne risikoen som funn TOB-BALANCER-004, men klassifisert alvorlighetsgraden som ubestemt, fordi aritmetiske kanttilfeller den gangen ikke ble regnet som en sannsynlig angrepsvektor. Firmaet publiserte en uvanlig ærlig retrospektiv i 2025 der de eide feilbedømmingen. Fire år fra et dokumentert varsel til en katastrofe, og så, uker senere, dukket den samme avrundingsklassen opp igjen hos Set Protocol i oktober 2026.

Orakelmanipulasjon er en like seiglivet klasse. Da Mango Markets ble tømt i 2022, skjedde det ved å blåse opp prisen på en tynt omsatt token og låne mot den oppblåste verdien. Mønsteret har siden gått igjen i generasjon etter generasjon, fra flash-lån-drevne prismanipulasjoner til varianter der selve prisrapporten forfalskes, og hver runde har fått sine egne obduksjoner. Likevel fortsetter nye protokoller å låne ut mot aktiva med tynn likviditet, som om lærdommen aldri ble skrevet ned.

Reentrancy forteller samme historie, bare over et lengre spenn: fra The DAO i 2016 til Vyper-kompilatorens svikt som rammet Curve i 2023. Tilgangskontroll-feil, der kontrakten ikke sjekker hvem som egentlig ringer, innføres på nytt hver gang noen skriver en ny funksjon under tidspress. Og broene fortsetter å stole på for få aktører, fra Ronin og Wormhole i 2022 til bro-logikken i NEAR Intents i oktober 2026. Tabellen under samler mønsteret.

Hvorfor lærdommen ikke sprer seg

Her brister luftfartsanalogien. Når ett fly faller ned av en bestemt grunn, finnes det en havarikommisjon som gransker, og en myndighet som kan sette hele flytypen på bakken til feilen er rettet. Krypto har obduksjonen, men ingen som kan sette flåten på bakken. Det finnes ingen sentral instans som påbyr at rapporten skal leses, ingen som akkrediterer revisorer slik et revisjonstilsyn gjør for regnskap, og ingen plikt til å offentliggjøre noe som helst.

Resultatet er at kunnskapen finnes, men ikke overføres. Hver måned settes det ut tusenvis av nye kontrakter, mange skrevet av folk som aldri har lest obduksjonen av Euler eller Balancer. De gjentar ikke feilen fordi de er uforsiktige; de gjentar den fordi de aldri fikk vite at den var gjort før. Lærdommen sitter i hodene til dem som allerede ble brent, ikke i et felles lager alle bygger videre på.

Oppå dette kommer insentivene. Et team som nettopp er hacket, har økonomisk interesse av å tone ned, utsette eller vinkle rapporten, ikke av å brette ut hvert pinlige detalj til konkurrentenes nytte. Anonyme team forsvinner helt, og da skrives obduksjonen i beste fall av utenforstående forskere som gjetter seg til rotårsaken. Den skyldfrie kulturen forutsetter at alle deltar i god tro for å lære; i krypto er det ekte penger, en ekte motstander og ofte ingen igjen til å svare for seg.

Kopier-lim-feilen: når koden forgrener seg

Det finnes en enda mer bokstavelig måte feil gjentar seg på: koden kopieres, og feilen blir med på lasset. Det tydeligste eksempelet er fortsatt Nomad-broen i august 2022. Rundt 190 millioner dollar forsvant i løpet av åtte timer, men det virkelig lærerike var hvordan. Etter at den første angriperen fant hullet, kunne hvem som helst gjenta det ved å kopiere en transaksjon som funket og bytte ut mottakeradressen med sin egen.

Sikkerhetsforskeren samczsun oppsummerte det slik overfor CryptoSlate: «All you had to do was find a transaction that worked, find/replace the other person’s address with yours, and then re-broadcast it». Nesten 300 adresser hev seg på i løpet av 150 minutter, med til sammen rundt 960 transaksjoner. Ingen kompetanse krevdes. Det var samme feil, replikert hundrevis av ganger, raskere enn noen rakk å skrive ett ord om obduksjon.

Det samme prinsippet gjelder gafler. Når en protokoll kopieres for å lage en ny, arver den også hullene som ennå ikke er funnet. Vyper-kompilatorens reentrancy-feil i 2023 rammet ikke bare Curve, men flere bassenger på én gang, fordi de alle lente seg på den samme bunnkoden. Åpen kildekode er kryptoens største styrke og samtidig kanalen som sprer en enkelt feil fortere enn noen advarsel kan nå frem. En obduksjon kan forklare feilen i detalj; den kan ikke gjøre noe med alle de allerede utplasserte kopiene som bærer den samme svakheten.

Nivå 3: angrepsflaten flytter seg

Selv om bransjen på et mirakuløst vis skulle lære seg hver eneste kodefeil, ville det ikke være nok, for angrepsflaten står ikke stille. Den flytter seg, og obduksjonen jager nesten alltid forrige krig. De tidlige årene handlet om kontraktsfeil: reentrancy, logiske brister, Parity-lommebøkene. Så kom de økonomiske angrepene med orakel og flash-lån rundt 2020 til 2022. Deretter broene og signaturverifiseringen. Og nå, i 2024 til 2026, har tyngdepunktet forskjøvet seg til nøkler, signering og governance.

2026 er vippepunktet. For første gang på rekord har kompromitterte private nøkler gått forbi kontraktsfeil som den ledende angrepsvektoren, ifølge crypto.news. Det er billigere å lure ett menneske enn å bryte én smartkontrakt. Angrepet flyttet seg fra koden til tastaturet, og helt ut i den fysiske verden: HOGE Wire har tidligere beskrevet hvordan skiftenøkkelen slår koden når angripere bruker fysisk tvang mot kryptoeiere. Når rotårsaken er en stjålet nøkkel eller en lurt signatur, finnes det ingen kode-diff å granske, og store deler av verdiene låses i dag bak nettopp signeringsoppsett som multisig, der det er menneskene rundt nøklene som er svakeste ledd.

Legg merke til hva som skjer i høyre kolonne. Jo lenger ned i tabellen, desto dårligere fungerer sjangeren. Obduksjonen ble født for å dissekere Solidity linje for linje, og den er fortsatt fenomenal til nettopp det. Men den er svakest akkurat der pengene nå forsvinner.

En obduksjon bygget for feil krig

Verktøyene i sjangeren er laget for kode: kodegjennomgang, diff-er mellom versjoner, statisk analyse, formell verifikasjon. Alt dette er briljant til å finne en reentrancy eller en avrundingsfeil. Men det hjelper lite mot en utvikler som ble lurt til å signere en ondsinnet transaksjon, eller en innleid «ingeniør» som egentlig var en nordkoreansk operatør. Sikkerhetsselskapet CredShields oppsummerte forskyvningen presist overfor crypto.news: angrepsflaten har flyttet seg «up the stack to governance, to signers, and to the people building the protocols themselves».

Årets største tap viser hva det betyr i praksis. Da Drift Protocol mistet rundt 285 millioner dollar 1. april 2026, lå ikke feilen i en sårbar kontraktslinje, men i en kompromittert signeringsprosess, ifølge crypto.news. En obduksjon som bare gjennomgår koden, finner ingenting galt, for koden gjorde akkurat det den skulle; det var tilliten til en nøkkel som sviktet. Det er nettopp den typen hack sjangeren har færrest verktøy mot.

Revisjonen sliter med det samme problemet, og det er verdt å stoppe ved. En protokoll kan passere ti revisjoner og likevel tømmes, fordi revisoren leser koden, ikke menneskene rundt den. Da HOGE Wire beskrev hvordan CertiK forsøker å bli et «tillitslag», var nettopp dette kjernen: når selve koden er ren, men nøklene, signererne og rutinene svikter, må granskingen flytte seg oppover i stabelen den også. Obduksjonen og revisjonen deler samme blindsone. Begge studerer gjenstanden, kontrakten, mens tapet i økende grad oppstår hos personene.

Det betyr ikke at obduksjonen er verdiløs mot nøkkeltyverier, men at den må skifte fokus fra «hvilken linje var feil» til «hvilken rutine, hvilken tilgang, hvilket menneske sviktet». De beste rapportene i 2026 gjør nettopp dette: de kartlegger signeringsflyten, hvem som hadde hvilke nøkler, og hvordan en tilsynelatende uskyldig forespørsel ble godkjent. Det er en annen slags obduksjon enn den sjangeren ble født til å skrive.

2026 i tall

Tallene underbygger forskyvningen. TRM Labs registrerte 207 hack i første halvår 2026, det høyeste antallet i noen seksmånedersperiode noensinne, men samlet tap falt til rundt 972 millioner dollar, under halvparten av de 2,3 milliardene som forsvant i samme periode året før. CertiK anslår skaden i tredje kvartal til rundt 1,26 milliarder dollar fordelt på 247 hendelser. Nordkoreanske grupper sto bak en dominerende andel av de største tyveriene, melder The Block.

Det mest talende tallet er fordelingen. Ifølge TRM sto infrastruktur- og nøkkelkompromisser for bare rundt 15 prosent av hendelsene, men hele rundt 76 prosent av verdien. Kontraktsfeil utgjorde flertallet av hendelsene, men en langt mindre del av pengene. Med andre ord: flere hack, mindre total verdi, men verdien konsentrert i en håndfull nøkkel- og infrastrukturangrep som obduksjonen håndterer dårligst.

Hva en god obduksjon likevel endrer

Det kan høres ut som om konklusjonen er at obduksjonen er bortkastet. Det er den ikke. Den feiler mest på det ene nivået folk tror den skal løse, nemlig å hindre at feilklasser gjentar seg i hele økosystemet. Men den gjør flere andre ting godt, og de er grunner nok til å fortsette.

For det første er den kollektiv hukommelse. Bestelisten hos rekt.news og de utallige rapportene utgjør et arkiv som nye revisorer, forskere og forsikringsaktører faktisk bruker. For det andre tvinger den frem åpenhet og ansvar: da de store børsene begynte å publisere grundige, eksterne rapporter dager etter et innbrudd, hevet de listen for alle andre. For det tredje, og kanskje viktigst, er obduksjonen råstoff for verktøy som kan skalere lærdommen bedre enn noe menneske. Hver godt dokumentert feil kan bli en testregel i statiske analyseverktøy, et punkt på en revisjonssjekkliste eller et mål i et dusørprogram.

Bybit satte standarden for hvor åpent det kan gjøres. Etter tidenes største kryptotyveri i februar 2025, på rundt 1,5 milliarder dollar, publiserte børsen eksterne, tekniske granskingsrapporter fra Sygnia og Verichains bare dager senere og lyste ut en stor dusør for å spore midlene, melder TechCrunch. Det var en sentralisert aktør som kunne det, nettopp fordi den hadde et selskap, et navn og et omdømme å forsvare, alt en anonym DeFi-protokoll mangler.

Det er her automatiseringen kommer inn. En menneskelig utvikler leser ikke tusen gamle obduksjoner før de skriver en ny kontrakt, men et verktøy kan i prinsippet sjekke koden mot alle kjente feilklasser på sekunder. Det er logikken bak satsingen HOGE Wire beskrev da CertiK satset på en automatisk, KI-drevet revisor: hvis lærdommen ikke sprer seg gjennom hoder, kan den kanskje spre seg gjennom maskiner som aldri glemmer en tidligere feil. Det er foreløpig et løfte mer enn en garanti, men det peker på den eneste realistiske veien til å lukke gapet mellom nivå 1 og nivå 2.

Til slutt har obduksjonskulturen født koordineringsmekanismer for selve nødsituasjonen. Security Alliance (SEAL) driver en Safe Harbor-ordning som på forhånd gir hvite hatter juridisk rom til å redde midler under et pågående angrep, mot å levere tilbake innen 72 timer og beholde en dusør på inntil én million dollar. Det hindrer ikke feilen, men det begrenser skaden når den først inntreffer, og det er i praksis det nærmeste bransjen kommer en felles brannvakt.

Norge: når obduksjonen er eneste klagevei

For en norsk kryptobruker er dette ikke en akademisk debatt. Det avgjør hvem som sitter igjen med regningen. Finanstilsynet fører tilsyn med kryptoaktører etter lov om kryptoeiendeler, som gjelder fra 1. juli 2025 og innlemmer MiCA via EØS-avtalen. Men loven treffer utstedere og tjenesteytere, altså sentraliserte aktører. Den når ikke de autonome DeFi-protokollene der mange av tapene over faktisk skjer.

Konsekvensen er konkret: taper du penger i et DeFi-angrep, finnes det ingen norsk regulator å klage til, ingen innskuddsgaranti og ingen tjenestetilbyder å holde ansvarlig. Obduksjonen er bokstavelig talt den eneste beretningen du får om hva som skjedde, og ofte ditt eneste håp om å se pengene igjen, gjennom en frivillig tilbakelevering eller en dusør. Nettopp derfor er effektiviteten så viktig: hvis obduksjonen ikke sprer lærdommen videre, flyttes restrisikoen rett over på deg som bruker.

Hvor grensen går mellom en tjeneste med ansvar og rent selvforvar avgjør om du i det hele tatt har noen klagerett, et skille HOGE Wire har gått grundig inn i med spørsmålet om smartkontoen er selvforvart eller en tjeneste under MiCA. Og innsatsen er ikke liten: 9. oktober 2026 handlet bitcoin for rundt 82.000 dollar, nær 790.000 kroner med en dollarkurs på omtrent 9,57 (Fortune, Exchange Rates UK). Egne regler for desentralisert finans er ventet først om noen år, så frem til da er den offentlige obduksjonen det eneste vernet mange norske brukere har.

Slik leser du en obduksjon med tanke på gjentakelse

Hvis obduksjonen er det eneste vernet mange brukere har, er det verdt å kunne skille en rapport som faktisk reduserer gjentakelse fra en som bare pynter på nederlaget. Disse tegnene skiller de gode fra de tomme:

• Den sier hvilken klasse feilen tilhører, ikke bare at «vi ble hacket», slik at andre kan lete etter samme klasse hos seg selv.
• Den deler gjenbrukbar teknisk detalj: kode, transaksjonshasher eller en test som fanger feilen.
• Den peker på rotårsaken, ikke bare symptomet, altså ikke «en sårbarhet ble utnyttet», men for eksempel «saldoen ble oppdatert etter utbetalingen».
• Den forteller hva som ble endret i rutiner, tilgang og nøkkelhåndtering, ikke bare i selve koden.
• Den kommer raskt, navngir tidslinjen og sier når og hvordan hacket ble oppdaget.

De dårlige rapportene kjennetegnes av det motsatte: vage formuleringer om et «sofistikert angrep», ingen rotårsak, bare en forsikring om at alt er fikset, skyld plassert utelukkende hos en tredjepart uten dokumentasjon, og null oppfølging i form av ny revisjon eller delt kode. Jo mer en obduksjon ligner en pressemelding, desto mindre lærer bransjen av den.

Konklusjon: ritualet som lærer sakte

Svaret på spørsmålet vi startet med er altså delt i tre. Obduksjonen virker for teamet som nettopp ble brent; det blir sjelden tappet av den samme feilen igjen. Den virker knapt for økosystemet, der de samme feilklassene vandrer videre fordi lærdommen sitter i enkelthoder og ikke i et felles lager. Og den blir løpt forbi av en angrepsflate som flytter seg fra kode til nøkler til mennesker fortere enn sjangeren klarer å omstille seg.

Det gjør obduksjonen mer til en nekrolog med fotnoter enn til en vaksine. Dens egentlige kraft er kulturell: den er bransjens hukommelse, dens ansvarlighetsmekanisme og, for brukere uten regulator i ryggen, en erstatning for den oppreisningen de ellers ikke får. Skal gapet mellom nivå 1 og nivå 2 lukkes, hjelper det ikke å skrive vakrere rapporter. Lærdommen må gjøres om til noe som skalerer: felles verktøy, standarder, automatisert gransking og koordinering som SEAL. Frem til da vil den samme feilen fortsette å komme tilbake, og ditt beste forsvar som leser er å lese hver obduksjon som en skeptiker.

Ofte stilte spørsmål

Hva er en exploit-post-mortem i krypto?

En post-mortem, eller obduksjon, er en offentlig rapport en protokoll publiserer etter et hack, der den forklarer tidslinjen, rotårsaken i koden eller rutinene, og hva som ble gjort. Sjangeren er lånt fra drifts- og luftfartskulturen, men i krypto skrives den ofte i sanntid og erstatter i praksis både forsikring og domstol.

Virker post-mortems, eller gjentar de samme feilene seg?

Det kommer an på nivået. En enkelt protokoll som skriver en ærlig rapport og retter feilen, blir sjelden tappet av akkurat den samme feilen igjen, men på økosystemnivå gjentar de samme feilklassene seg år etter år fordi lærdommen ikke overføres til nye team. Obduksjonen virker lokalt, men ikke for bransjen som helhet.

Hvorfor gjentar de samme kryptofeilene seg år etter år?

Det finnes ingen sentral instans som påbyr at rapporter skal leses eller anvendes, ingen plikt til å offentliggjøre noe, og tusenvis av nye kontrakter settes ut hver måned av folk som aldri leste de gamle obduksjonene. Gafler kopierer dessuten koden, og med den feilene som ennå ikke er oppdaget.

Hva er den vanligste angrepsvektoren i krypto i 2026?

For første gang på rekord har kompromitterte private nøkler gått forbi kontraktsfeil som den ledende angrepsvektoren i 2026. Nøkkel- og infrastrukturangrep sto for rundt 76 prosent av den stjålne verdien, men bare rundt 15 prosent av hendelsene, ifølge TRM Labs.

Har jeg som norsk bruker klagerett hvis en DeFi-protokoll blir hacket?

Finanstilsynet fører tilsyn med sentraliserte kryptoaktører etter lov om kryptoeiendeler, som innlemmer MiCA via EØS, men regelverket treffer ikke autonome DeFi-protokoller. Taper du penger i et rent DeFi-angrep, finnes det ingen norsk regulator å klage til og ingen innskuddsgaranti, så obduksjonen og en eventuell dusør er i praksis din eneste vei til oppreisning.

Anneke de Vries er sikkerhetsredaktør i HOGE Wire og skriver om kryptosikkerhet, obduksjoner og hvordan bransjen lærer (og ikke lærer) av sine egne hack.