{"id":134,"date":"2026-07-03T04:58:32","date_gmt":"2026-07-03T04:58:32","guid":{"rendered":"https:\/\/hoge.gg\/no\/governance-attack-defi-forklart\/"},"modified":"2026-07-03T04:58:32","modified_gmt":"2026-07-03T04:58:32","slug":"governance-attack-defi-forklart","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/governance-attack-defi-forklart\/","title":{"rendered":"Governance attack: n\u00e5r stemmemakt t\u00f8mmer en DeFi-protokoll"},"content":{"rendered":"<p class=\"wp-block-paragraph\">De fleste kryptoangrepene vi dekker, utnytter en feil i koden: en bug, en glemt tilgangssjekk eller en oracle som lar seg manipulere. Et governance attack er noe helt annet. Her gj\u00f8r koden n\u00f8yaktig det den er programmert til, men angriperen har skaffet seg nok stemmer til \u00e5 bestemme hva den skal gj\u00f8re. I stedet for \u00e5 bryte seg inn, stemmer angriperen seg inn.<\/p><p class=\"wp-block-paragraph\">Etter hvert som stadig mer verdi ligger i desentraliserte protokoller styrt av en DAO, har dette blitt en av de dyreste angrepsformene i DeFi. Her g\u00e5r vi gjennom hvordan et governance attack fungerer steg for steg, de mest kjente sakene fra Beanstalk til Compound, hvordan protokollene forsvarer seg, og hva norske investorer b\u00f8r vite om reglene fra Finanstilsynet og Skatteetaten.<\/p><h2 class='wp-block-heading'>Hva er et governance attack?<\/h2><p class=\"wp-block-paragraph\">En DAO (decentralized autonomous organization) styres ikke av et styre, men av innehaverne av en governance token. Hver token er i praksis en stemme. Vil protokollen endre en parameter, betale ut fra kassen (treasury) eller oppgradere en kontrakt, legges det fram et forslag (proposal) som token-innehaverne stemmer over. G\u00e5r forslaget gjennom, utf\u00f8rer smartkontrakten det automatisk.<\/p><p class=\"wp-block-paragraph\">Et governance attack utnytter nettopp denne mekanismen. Angriperen skaffer seg nok stemmemakt til \u00e5 presse gjennom et forslag som intet \u00e6rlig flertall ville godtatt, for eksempel en overf\u00f8ring av hele treasury til en adresse angriperen kontrollerer. Det finnes tre hovedveier til stemmene: kj\u00f8pe token i markedet, l\u00e5ne dem midlertidig gjennom et flash loan, eller utnytte en bug som deler ut stemmer gratis. Felles for alle er at selve avstemningen skjer etter reglene; det er utfallet som er ondsinnet.<\/p><p class=\"wp-block-paragraph\">Regnestykket bak et governance attack er kaldt \u00f8konomisk. Angrepet l\u00f8nner seg s\u00e5 lenge det koster mindre \u00e5 skaffe eller l\u00e5ne nok stemmer enn det som kan hentes ut av treasury. Derfor er de mest utsatte protokollene ofte sm\u00e5 eller mellomstore DAO-er som sitter p\u00e5 en stor kasse i forhold til markedsverdien av sin egen governance token; da blir stemmene billige og byttet stort.<\/p><h2 class='wp-block-heading'>Slik fungerer angrepet steg for steg<\/h2><ul class='wp-block-list'><li><strong>Skaff stemmemakt.<\/strong> Angriperen kj\u00f8per token over tid, l\u00e5ner en stor mengde via et flash loan, eller finner en feil som tildeler stemmer.<\/li><li><strong>Legg fram et forslag.<\/strong> Forslaget er ofte forkledd. Beanstalk-angriperen pakket tyveriet inn i et forslag om \u00e5 donere til Ukraina.<\/li><li><strong>Stem det gjennom.<\/strong> Egen stemmemakt, kombinert med lav valgdeltakelse fra alle andre, gj\u00f8r at forslaget passerer.<\/li><li><strong>Vent p\u00e5 eventuell timelock.<\/strong> Har protokollen en forsinkelse mellom vedtak og utf\u00f8relse, m\u00e5 angriperen vente. Finnes ingen timelock, skjer alt umiddelbart.<\/li><li><strong>Utf\u00f8r.<\/strong> Treasury t\u00f8mmes, nye token mintes, eller kontrollen over n\u00f8kler og kontrakter overtas.<\/li><\/ul><p class=\"wp-block-paragraph\">Den farligste varianten er flash loan-angrepet: uten snapshot-stemming og uten timelock kan alle stegene skje i \u00e9n og samme transaksjon, innenfor en enkelt Ethereum-blokk. Angriperen l\u00e5ner, stemmer, t\u00f8mmer og betaler tilbake l\u00e5net f\u00f8r noen rekker \u00e5 reagere.<\/p><h2 class='wp-block-heading'>Beanstalk: da et l\u00e5n p\u00e5 \u00e9n milliard dollar t\u00f8mte protokollen<\/h2><p class=\"wp-block-paragraph\">Det tydeligste eksempelet kom 17. april 2022. En angriper tok opp et flash loan p\u00e5 rundt \u00e9n milliard dollar fra Aave, brukte pengene til \u00e5 kj\u00f8pe en enorm mengde av Beanstalks governance token Stalk, og fikk dermed nok stemmer til \u00e5 presse gjennom to forslag (BIP-18 og BIP-19) i samme transaksjon. Forslagene s\u00e5 ut som veldedige donasjoner til Ukraina, men inneholdt kode som overf\u00f8rte hele protokollens treasury til angriperen.<\/p><p class=\"wp-block-paragraph\">Da l\u00e5net var tilbakebetalt, satt angriperen igjen med rundt 76 millioner dollar (cirka 750 millioner kroner) av totalt cirka 182 millioner dollar (cirka 1,79 milliarder kroner) som forsvant fra protokollen, if\u00f8lge <a href='https:\/\/www.coindesk.com\/tech\/2022\/04\/17\/attacker-drains-182m-from-beanstalk-stablecoin-protocol'>CoinDesk<\/a> og <a href='https:\/\/www.bloomberg.com\/news\/articles\/2022-04-18\/defi-project-beanstalk-loses-182-million-in-flash-loan-attack'>Bloomberg<\/a>. Grunnfeilen var at Beanstalk telte stemmene umiddelbart, uten noe vern mot flash loan; stemmemakt l\u00e5nt i ett sekund veide like tungt som token eid i et helt \u00e5r.<\/p><h2 class='wp-block-heading'>Mango Markets: da stemmesystemet \u00ablegaliserte\u00bb tyveriet<\/h2><p class=\"wp-block-paragraph\">Mango Markets-saken fra 11. oktober 2022 viser en annen vri. Traderen Avraham Eisenberg manipulerte f\u00f8rst oraklet ved \u00e5 pumpe prisen p\u00e5 protokollens token MNGO over 13 ganger p\u00e5 en halvtime, og l\u00e5nte deretter ut cirka 110 millioner dollar (cirka 1,08 milliarder kroner) mot de kunstig oppbl\u00e5ste posisjonene. Det var i utgangspunktet en oracle-manipulasjon, ikke et rent governance attack.<\/p><p class=\"wp-block-paragraph\">Det interessante er hva som skjedde etterp\u00e5. Eisenberg brukte sine egne MNGO-stemmer til \u00e5 legge fram og stemme gjennom et forslag i Mango DAO som omd\u00f8pte tyveriet til en \u00abbug bounty\u00bb, lot ham beholde cirka 47 millioner dollar (cirka 460 millioner kroner) og ba DAO-en om \u00e5 avst\u00e5 fra anmeldelse. Stemmesystemet ble alts\u00e5 brukt som et verkt\u00f8y for \u00e5 gi tyveriet et skinn av legitimitet. Eisenberg ble senere tiltalt av <a href='https:\/\/www.cftc.gov\/PressRoom\/PressReleases\/8647-23'>amerikanske CFTC<\/a> og d\u00f8mt, men i mai 2025 opphevet en f\u00f8deral domstol i New York straffedommene, <a href='https:\/\/www.trmlabs.com\/resources\/blog\/breaking-federal-judge-overturns-all-criminal-convictions-in-mango-markets-case-against-avraham-eisenberg'>if\u00f8lge TRM Labs<\/a>. Saken ble st\u00e5ende som en av de skarpeste testene av \u00abcode is law\u00bb-tankegangen.<\/p><h2 class='wp-block-heading'>Compound og \u00abGolden Boys\u00bb: n\u00e5r angrepet holder seg innenfor reglene<\/h2><p class=\"wp-block-paragraph\">Ikke alle governance-angrep inneb\u00e6rer en bug eller et flash loan. I juli 2024 samlet en gruppe kjent som \u00abGolden Boys\u00bb, ledet av storinnehaveren Humpy, opp nok COMP til \u00e5 presse gjennom Proposal 289 i Compound. Forslaget flyttet 499 000 COMP, verdt rundt 24 millioner dollar (cirka 236 millioner kroner), inn i et nytt \u00abgoldCOMP\u00bb-hvelv som gruppen selv skulle styre. Det passerte med 682 191 mot 633 636 stemmer, med en valgdeltakelse p\u00e5 bare rundt 20 prosent, <a href='https:\/\/www.theblock.co\/post\/307943\/24-million-compound-finance-proposal-passed-by-whale-over-dao-objections'>if\u00f8lge The Block<\/a>.<\/p><p class=\"wp-block-paragraph\">Store deler av fellesskapet kalte det et governance attack, selv om ingen regel var brutt. Etter press trakk Golden Boys forslaget mot at Compound i stedet delte ut 30 prosent av reservene til dem som staker COMP, <a href='https:\/\/cointelegraph.com\/news\/golden-boys-behind-compound-governance-attack-agree-to-rescind-proposal'>melder Cointelegraph<\/a>. Saken viser gr\u00e5sonen: lav deltakelse pluss konsentrert eierskap gir kapringsrisiko uten en eneste kodefeil. Debatten fortsetter i 2025 og 2026; selv etablerte akt\u00f8rer har blitt anklaget for lignende man\u00f8vrer f\u00f8r viktige avstemninger, og store DAO-er som ENS diskuterer n\u00e5 egne security councils for \u00e5 beskytte milliardtunge treasuries.<\/p><h2 class='wp-block-heading'>Andre kjente saker: Build Finance, Audius og Tornado Cash<\/h2><p class=\"wp-block-paragraph\">Build Finance DAO ble kapret 10. februar 2022. En angriper samlet nok BUILD-token til \u00e5 stemme gjennom et forslag som ga full kontroll over token-kontrakten, treasury og retten til \u00e5 mynte nye token. Deretter ble det laget 1,1 millioner nye BUILD, som ble brukt til \u00e5 t\u00f8mme likviditetspooler for rundt 470 000 dollar (cirka 4,6 millioner kroner), <a href='https:\/\/www.theblock.co\/post\/134180\/build-finance-dao-suffers-hostile-governance-takeover-loses-470000'>if\u00f8lge The Block<\/a>.<\/p><p class=\"wp-block-paragraph\">Musikkplattformen Audius ble rammet 23. juli 2022. En bug i initialiseringskoden lot angriperen kj\u00f8re en oppstartsfunksjon p\u00e5 nytt, tildele seg selv stemmer og stemme gjennom forslag nummer 85. Cirka 18 millioner AUDIO (verdt rundt 6 millioner dollar) ble flyttet ut, og angriperen satt igjen med cirka 1,08 millioner dollar (cirka 10,6 millioner kroner) etter \u00e5 ha vekslet til ETH, <a href='https:\/\/cointelegraph.com\/news\/hacker-drains-1-08m-from-audius-following-passing-of-malicious-proposal'>melder Cointelegraph<\/a>.<\/p><p class=\"wp-block-paragraph\">Tornado Cash-DAO-en ble kapret 20. mai 2023. Angriperen la fram et forslag som lignet et tidligere, men med skjult kode: en selvdestruksjonsfunksjon som via et delegatecall tildelte 1,2 millioner falske stemmer. Med full kontroll ble 483 000 TORN (rundt 2,1 millioner dollar, cirka 21 millioner kroner) tappet fra governance-kontrakten, f\u00f8r angriperen overraskende ga kontrollen tilbake, <a href='https:\/\/www.coindesk.com\/tech\/2023\/05\/21\/attacker-takes-over-tornado-cash-dao-with-vote-fraud-token-slumps-40'>if\u00f8lge CoinDesk<\/a>.<\/p><h2 class='wp-block-heading'>Governance-angrep i tall<\/h2><figure class='wp-block-table'><table><thead><tr><th>Protokoll<\/th><th>Dato<\/th><th>Metode<\/th><th>Tapt (USD)<\/th><th>Tapt (NOK, ca.)<\/th><th>Utfall<\/th><\/tr><\/thead><tbody><tr><td>Beanstalk<\/td><td>Apr. 2022<\/td><td>Flash loan + ondsinnet forslag<\/td><td>~182 mill.<\/td><td>~1,79 mrd.<\/td><td>Fond tapt, angriper netto ~76 mill. USD<\/td><\/tr><tr><td>Mango Markets<\/td><td>Okt. 2022<\/td><td>Oracle + DAO-vedtak<\/td><td>~110 mill.<\/td><td>~1,08 mrd.<\/td><td>~47 mill. USD beholdt; dom opphevet 2025<\/td><\/tr><tr><td>Compound (fors\u00f8k)<\/td><td>Jul. 2024<\/td><td>Oppkj\u00f8p + lav deltakelse<\/td><td>~24 mill.<\/td><td>~236 mill.<\/td><td>Forslag trukket etter forlik<\/td><\/tr><tr><td>Audius<\/td><td>Jul. 2022<\/td><td>Init-bug + forslag 85<\/td><td>~6 mill.<\/td><td>~59 mill.<\/td><td>~1,08 mill. USD tatt ut; feil rettet<\/td><\/tr><tr><td>Tornado Cash<\/td><td>Mai 2023<\/td><td>Skjult selvdestruksjon<\/td><td>~2,1 mill.<\/td><td>~21 mill.<\/td><td>Kontroll gitt tilbake<\/td><\/tr><tr><td>Build Finance<\/td><td>Feb. 2022<\/td><td>Fiendtlig oppkj\u00f8p + minting<\/td><td>~0,47 mill.<\/td><td>~4,6 mill.<\/td><td>Treasury t\u00f8mt, DAO forlatt<\/td><\/tr><\/tbody><\/table><\/figure><h2 class='wp-block-heading'>Slik forsvarer protokollene seg<\/h2><p class=\"wp-block-paragraph\">Det finnes ingen enkelt bryter som stopper alle governance-angrep, men en kombinasjon av tiltak gj\u00f8r dem langt vanskeligere og dyrere:<\/p><ul class='wp-block-list'><li><strong>Snapshot-basert stemming.<\/strong> Stemmevekten l\u00e5ses til et blokknummer i fortiden. Da hjelper det ikke \u00e5 l\u00e5ne token i dag, og flash loan-angrepet mister all kraft.<\/li><li><strong>Timelock.<\/strong> En p\u00e5budt forsinkelse mellom vedtak og utf\u00f8relse. Compound og Uniswap bruker to dager, mens Aave har egne executors for kort (\u00e9n dag) og lang (sju dager) frist. Forsinkelsen gir fellesskapet tid til \u00e5 oppdage og stanse et ondsinnet forslag.<\/li><li><strong>Quorum.<\/strong> Et minstekrav til deltakelse. Forholdet mellom faktisk oppslutning og quorum er kanskje den beste enkeltindikatoren p\u00e5 hvor utsatt en DAO er.<\/li><li><strong>Forsinket stemmerett.<\/strong> En sperre mellom kj\u00f8p av token og retten til \u00e5 stemme, slik at \u00abkj\u00f8p, stem og t\u00f8m i \u00e9n blokk\u00bb blir umulig.<\/li><li><strong>Off-chain stemming og security council.<\/strong> Verkt\u00f8y som Snapshot flytter selve avstemningen utenfor kjeden, mens en multisig eller et security council fungerer som siste skanse.<\/li><li><strong>Overv\u00e5king.<\/strong> Tjenester som Forta varsler om mistenkelige forslag i sanntid.<\/li><\/ul><p class=\"wp-block-paragraph\">Problemet er at forsvaret ikke er jevnt fordelt. Forskning fra 2025 peker p\u00e5 at mange DAO-er som forvalter enorme verdier, fortsatt gjentar feilene fra 2022, uten snapshot, uten timelock og uten flash loan-vern, <a href='https:\/\/arxiv.org\/html\/2505.00888v1'>if\u00f8lge en gjennomgang publisert p\u00e5 arXiv<\/a>. For en investor er tilstedev\u00e6relsen av disse tiltakene et konkret kvalitetsstempel.<\/p><h2 class='wp-block-heading'>Hva betyr dette for norske investorer?<\/h2><p class=\"wp-block-paragraph\">For norske brukere er det viktig \u00e5 forst\u00e5 hvor regelverket rekker, og hvor det ikke gj\u00f8r det. Kryptoeiendelsloven, som gjennomf\u00f8rer EUs MiCA-forordning, tr\u00e5dte i kraft i Norge 1. juli 2025 etter at regelverket ble innlemmet i E\u00d8S-avtalen. Tilbydere av kryptotjenester (CASP-er) som b\u00f8rser og oppbevaringstjenester m\u00e5 ha tillatelse fra <a href='https:\/\/www.finanstilsynet.no\/tema\/kryptoeiendeler-mica\/'>Finanstilsynet<\/a>, og en overgangsordning lar allerede registrerte akt\u00f8rer fortsette fram til 30. juni 2026 eller til s\u00f8knaden er avgjort.<\/p><p class=\"wp-block-paragraph\">Men her ligger et hull: MiCA regulerer tjenesteyterne, ikke den interne styringen i en desentralisert protokoll. Et governance attack p\u00e5 en utenlandsk DAO faller derfor stort sett utenfor Finanstilsynets direkte tilsyn. Beskyttelsen du f\u00e5r gjennom en regulert norsk eller europeisk b\u00f8rs, f\u00f8lger ikke med n\u00e5r du flytter penger inn i en DAO; der er due diligence ditt eget ansvar.<\/p><p class=\"wp-block-paragraph\">Skatten l\u00f8per uansett. Taper du penger fordi en governance token kollapser etter et angrep, er et realisert tap fradragsberettiget, mens gevinster skattlegges; satsen er 22 prosent for inntekts\u00e5ret 2025. Beholdningen f\u00f8res som formue i kroner ved \u00e5rsslutt. Fra 1. januar 2026 gjelder dessuten det internasjonale rapporteringsrammeverket CARF, som betyr at b\u00f8rsene rapporterer direkte til <a href='https:\/\/www.skatteetaten.no\/presse\/nyhetsrommet\/nye-rapporteringsregler-for-krypto-gir-skatteetaten-helt-nye-kontrollmuligheter\/'>Skatteetaten<\/a>. \u00c5 \u00abglemme\u00bb \u00e5 f\u00f8re krypto i skattemeldingen er dermed ikke lenger et reelt alternativ.<\/p><h2 class='wp-block-heading'>Slik reduserer du risikoen<\/h2><ul class='wp-block-list'><li>Sjekk om protokollen faktisk har timelock, quorum og snapshot-stemming f\u00f8r du setter inn kapital.<\/li><li>Se p\u00e5 hvor konsentrert stemmemakten er; noen f\u00e5 store delegates er et faresignal.<\/li><li>V\u00e6r ekstra skeptisk til DAO-er med stor treasury og lav valgdeltakelse.<\/li><li>F\u00f8lg med p\u00e5 aktive forslag i protokollene du er eksponert mot.<\/li><li>Spre risiko, og ikke la for mye kapital ligge i \u00e9n ung og l\u00f8st styrt DAO.<\/li><\/ul><p class=\"wp-block-paragraph\">Governance attacks minner om at desentralisering ikke bare handler om kode, men om hvem som faktisk holder stemmene. \u00abCode is law\u00bb kutter begge veier: reglene beskytter deg akkurat s\u00e5 lenge de er skrevet godt nok, og angriperen som f\u00f8lger dem til punkt og prikke, kan v\u00e6re vanskeligere \u00e5 stoppe enn en klassisk hacker.<\/p><p class=\"wp-block-paragraph\">Av Henrik Solberg, seniorredakt\u00f8r i HOGE Wire.<\/p>","protected":false},"excerpt":{"rendered":"<p>Et governance attack lar en angriper kj\u00f8pe eller l\u00e5ne nok stemmemakt til \u00e5 t\u00f8mme en DeFi-protokoll. Vi forklarer mekanikken, de st\u00f8rste sakene og forsvaret.<\/p>\n","protected":false},"author":4,"featured_media":135,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-134","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security-exploits"],"_links":{"self":[{"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/posts\/134","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/comments?post=134"}],"version-history":[{"count":0,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/posts\/134\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/media\/135"}],"wp:attachment":[{"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/media?parent=134"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/categories?post=134"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hoge.gg\/no\/wp-json\/wp\/v2\/tags?post=134"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}