N\u00e5r et sikkerhetsfirma dukker opp i overskriftene, er det som oftest fordi noe har g\u00e5tt galt. Trail of Bits er annerledes: navnet dukker opp b\u00e5de n\u00e5r noe g\u00e5r galt, og n\u00e5r noen vil vise at de har gjort alt riktig. Selskapet fra New York har revidert kontraktene til Uniswap, Compound, MakerDAO og Aave, bygget verkt\u00f8yene Slither og Echidna som store deler av bransjen bruker gratis, og vunnet flere millioner dollar i amerikanske myndigheters konkurranser om kunstig intelligens og cybersikkerhet. Samtidig er Trail of Bits ogs\u00e5 navnet som dukker opp i to av 2025s mest ubehagelige revisjonshistorier: Balancer og Bunni, to protokoller som begge var revidert av selskapet og likevel mistet over 100 millioner dollar til sammen i l\u00f8pet av h\u00f8sten 2025.<\/p>
Denne artikkelen er en del av HOGE Wires serie om sikkerhetshendelser i krypto, der vi tidligere har sett n\u00e6rmere p\u00e5 alt fra brokollaps til styringsovertakelser. Denne gangen ser vi p\u00e5 revisjonsbransjen selv, med Trail of Bits som eksempel, fordi de f\u00e6rreste brukere faktisk vet hva en revisjon er, hva den koster, og enda viktigere: hva den ikke dekker.<\/p>
Kort fortalt: Trail of Bits er et uavhengig sikkerhetsselskap grunnlagt i 2012, med et sted mellom 125 og 140 ansatte avhengig av kilde, og over 620 offentlige revisjonsrapporter if\u00f8lge selskapets egen oversikt<\/a>. De driver seks fagfelt parallelt: applikasjonssikkerhet, kryptografi, blokkjede, kunstig intelligens og maskinl\u00e6ring, systemsikkerhet og forsyningskjede. Det som skiller dem fra mange konkurrenter, er at de publiserer forskningen sin \u00e5pent, i stedet for \u00e5 beholde metodene som forretningshemmeligheter.<\/p> Trail of Bits ble startet i 2012 av Dan Guido og Alexander Sotirov, to sikkerhetsforskere som if\u00f8lge selskapet selv hadde drevet med hacking siden de var femten \u00e5r gamle (Trail of Bits, om selskapet)<\/a>. Guido er fortsatt administrerende direkt\u00f8r, mens Sotirov er teknologisjef. Allerede \u00e5ret etter oppstarten vant det nystiftede firmaet flere kontrakter i DARPA-programmet Cyber Fast Track, det amerikanske forsvarets forskningsbyr\u00e5, og har siden hatt et tett og langvarig forhold til amerikanske myndigheters cybersikkerhetsprogrammer.<\/p> Den akademiske og konkurransepregede bakgrunnen preger fortsatt kulturen i selskapet. Trail of Bits skrev CTF Field Guide, en gratis h\u00e5ndbok for \u00e5 konkurrere i \u00abCapture the Flag\u00bb-turneringer innen hacking, og bruker den blant annet til \u00e5 rekruttere ansatte rett fra konkurransemilj\u00f8et. I 2016 endte selskapet p\u00e5 andreplass i DARPAs Cyber Grand Challenge, det f\u00f8rste fors\u00f8ket p\u00e5 en fullautomatisert hackerkonkurranse uten mennesker i sl\u00f8yfen. Nesten ti \u00e5r senere, i 2025, gjentok de bragden: da tok Trail of Bits andreplassen i DARPAs etterf\u00f8lger AI Cyber Challenge (AIxCC), denne gangen med kunstig intelligens som verkt\u00f8y fremfor bare tradisjonell automatisering. Vi kommer tilbake til den konkurransen lenger ned.<\/p> I dag er selskapet fortsatt privateid, uten de store venturekapital-rundene som preger resten av teknologibransjen. Finansieringen har i stor grad kommet fra betalte oppdrag og offentlige forskningskontrakter, ikke fra eksterne investorer. Det gir selskapet en uvanlig grad av uavhengighet: de kan takke nei til oppdrag, publisere ubehagelige funn om egne tidligere kunder, og bruke tid p\u00e5 \u00e5pen forskning som ikke gir umiddelbar inntjening.<\/p> En vanlig misforst\u00e5else er at en sikkerhetsrevisjon er en slags automatisk skanning som spytter ut en rapport. Trail of Bits selv beskriver det annerledes: et oppdrag starter med at teamet definerer omfang sammen med kunden, deretter leser ingeni\u00f8rene koden manuelt linje for linje, kj\u00f8rer egne verkt\u00f8y for statisk analyse og fuzzing, og til slutt kommer tilbake for \u00e5 verifisere at rettingene faktisk l\u00f8ser problemet. Grunnleggeren Dan Guido har beskrevet filosofien slik i et intervju: \u00abWe’re the big brains that you want to use to think really hard about software while you’re building it\u00bb (Decential Media)<\/a>. Han har ogs\u00e5 sagt at m\u00e5let er \u00e5 aldri finne den samme feilen to ganger: \u00abI never want to find the same bug twice\u00bb, alts\u00e5 at kunnskapen fra ett oppdrag skal bli til verkt\u00f8y og sjekklister som forhindrer neste generasjons feil.<\/p> For kryptoprosjekter g\u00e5r arbeidet typisk gjennom flere lag. F\u00f8rst kommer manuell kodegjennomgang, der erfarne revisorer leter etter kjente feilm\u00f8nstre som reentrancy, tilgangskontroll og heltallsoverflyt. Deretter kj\u00f8res automatiserte verkt\u00f8y som fanger opp det menneskelige \u00f8yet lett overser. Til slutt bygges det egne test-suiter med \u00abinvarianter\u00bb, regler som alltid skal holde uansett hva som skjer i kontrakten (for eksempel at summen av alle brukersaldoer aldri kan overstige den faktiske beholdningen), som deretter angripes med fuzzing i timevis eller dagevis for \u00e5 se om reglene lar seg bryte. For nyere oppdrag, spesielt de som involverer kunstig intelligens-produkter, bruker selskapet en egenutviklet metode de kaller TRAIL for \u00e5 modellere hvordan data beveger seg mellom ulike tillitssoner, noe vi kommer tilbake til i avsnittet om Perplexity.<\/p> Det som trolig har gjort mest for Trail of Bits’ rykte utenfor egne kunder, er at selskapet gir bort verkt\u00f8yene sine gratis. Under paraplyen \u00abCrytic\u00bb p\u00e5 GitHub ligger et titalls prosjekter, men tre av dem har blitt en slags bransjestandard som selv konkurrerende revisjonsfirmaer bruker i sine egne oppdrag.<\/p> Slither<\/a> er et statisk analyseverkt\u00f8y skrevet i Python som leser gjennom Solidity- og Vyper-kode uten \u00e5 kj\u00f8re den, og flagger mistenkelige m\u00f8nstre ut fra et bibliotek med dedikerte sjekker. Verkt\u00f8yet er lisensiert under AGPLv3 og kan kj\u00f8res lokalt p\u00e5 sekunder, noe som gj\u00f8r det til et naturlig f\u00f8rstesteg f\u00f8r en dyrere manuell gjennomgang. Echidna er skrevet i Haskell og gj\u00f8r noe annet: det \u00abfuzzer\u00bb kontrakten, alts\u00e5 bombarderer den med tilfeldige og delvis intelligente kombinasjoner av input for \u00e5 se om noen av utviklerens egne p\u00e5stander (invarianter) kan bevises falske. Etterf\u00f8lgeren Medusa<\/a>, bygget p\u00e5 Go-Ethereum-klienten og selskapets erfaring fra Echidna, gj\u00f8r i prinsippet det samme, men parallelliserer arbeidet p\u00e5 tvers av flere prosessorkjerner og bruker informasjon fra Slither til \u00e5 styre hvilke verdier den tester, noe som gj\u00f8r kampanjene raskere og mer treffsikre.<\/p>Fra CTF-lag til sikkerhetsgigant: historien om Trail of Bits<\/h2>
Slik jobber Trail of Bits: fra revisjon til trusselmodellering<\/h2>
Verkt\u00f8ykassen med \u00e5pen kildekode: Slither, Echidna og Medusa<\/h2>