{"id":292,"date":"2026-08-25T05:08:38","date_gmt":"2026-08-25T05:08:38","guid":{"rendered":"https:\/\/hoge.gg\/no\/red-teaming-halborn-offensiv-sikkerhet-2026\/"},"modified":"2026-08-25T05:08:38","modified_gmt":"2026-08-25T05:08:38","slug":"red-teaming-halborn-offensiv-sikkerhet-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/red-teaming-halborn-offensiv-sikkerhet-2026\/","title":{"rendered":"Red teaming forklart: hvorfor Halborn angriper deg f\u00f8rst"},"content":{"rendered":"

Den 21. februar 2025 forsvant rundt 1,5 milliarder dollar, n\u00e6r 14 milliarder kroner, ut av en enkelt lommebok hos kryptob\u00f8rsen Bybit. Det var det st\u00f8rste tyveriet i kryptohistorien, tilskrevet den nordkoreanske gruppen Lazarus. Men det mest l\u00e6rerike med angrepet er ikke st\u00f8rrelsen. Det er hvor angrepet ikke<\/em> traff: smartkontraktene var i orden, signeringslogikken var i orden, og revisjonene hadde ikke oversett en eneste kodefeil. Pengene gikk ut fordi angriperne byttet ut grensesnittet signererne s\u00e5 p\u00e5, slik at flere av dem godkjente det de trodde var en helt rutinemessig overf\u00f8ring.<\/p>

Det er dette bildet som definerer kryptosikkerhet i 2026: verdiene lekker sjelden ut gjennom koden. De lekker ut gjennom nettgrensesnittet, n\u00f8klene, skyoppsettet og menneskene. En revisjon leser koden linje for linje, men den setter seg aldri i angriperens stol og pr\u00f8ver \u00e5 bryte seg inn i hele systemet slik en ekte motstander ville gjort. Det er akkurat der offensiv sikkerhet, eller red teaming, kommer inn, og det er derfor et firma som Halborn, bygget av folk som lever av \u00e5 angripe, har blitt et navn \u00e5 kjenne. Denne artikkelen forklarer hva offensiv sikkerhet er, fortalt gjennom firmaet som gjorde angrep til sitt fremste forsvar.<\/p>

Da verdens st\u00f8rste kryptotyveri gikk utenom koden<\/h2>

Bybit-angrepet er skoleeksempelet p\u00e5 et skifte som har p\u00e5g\u00e5tt i flere \u00e5r. If\u00f8lge den rettstekniske gjennomgangen fra sikkerhetsselskapet Sygnia ble ondsinnet JavaScript lagt inn i grensesnittet til Safe{Wallet}, multisig-verkt\u00f8yet Bybit brukte, slik at transaksjonen som ble vist p\u00e5 skjermen s\u00e5 legitim ut mens den underliggende meldingen sendte midlene til angriperen (sygnia.co<\/a>). Ingen smartkontrakt ble knekt i tradisjonell forstand. Menneskene som signerte gjorde jobben sin; de ble bare vist en l\u00f8gn.<\/p>

Tallene rundt angrepet forteller resten av historien. Blokkjedeanalyseselskapet Chainalysis ansl\u00e5r at over 3,4 milliarder dollar (godt over 31 milliarder kroner) ble stj\u00e5let fra kryptotjenester mellom januar og tidlig desember 2025, og at nordkoreanske akt\u00f8rer sto bak minst 2,02 milliarder dollar av dette, rundt 59 prosent (chainalysis.com<\/a>). Bybit alene utgjorde n\u00e6r halvparten av \u00e5rets samlede tap. N\u00e5r ett enkelt angrep gjennom et grensesnitt overg\u00e5r summen av alle kodefeil i et helt \u00e5r, er budskapet vanskelig \u00e5 overse: den som bare f\u00e5r koden revidert, sikrer den minst kostbare delen av angrepsflaten.<\/p>

Hva red teaming egentlig er (og hvorfor det ikke er en revisjon)<\/h2>

Offensiv sikkerhet snur det tradisjonelle sikkerhetsarbeidet p\u00e5 hodet. I stedet for \u00e5 bygge stadig h\u00f8yere murer og vente p\u00e5 angrep, hyrer man inn folk som oppf\u00f8rer seg n\u00f8yaktig som angriperne, for \u00e5 finne hullene f\u00f8r de kriminelle gj\u00f8r det. Halborn beskriver selv offensiv sikkerhet som \u00abet rammeverk som anbefaler bruk av proaktive (eller offensive) teknikker for aktivt \u00e5 motvirke angrep\u00bb, i motsetning til den passive modellen der man venter til noe skjer (halborn.com<\/a>).<\/p>

Begrepene overlapper, men de betyr ikke det samme. Et bl\u00e5tt lag (blue team) er de som forsvarer et system til daglig. Et r\u00f8dt lag (red team) er de som angriper det, uten forvarsel, for \u00e5 teste om forsvaret faktisk fungerer under press. Et lilla lag (purple team) er n\u00e5r de to jobber sammen og deler funn i sanntid. En penetrasjonstest er en avgrenset \u00f8velse mot ett system eller \u00e9n app, der m\u00e5let er \u00e5 finne s\u00e5 mange utnyttbare svakheter som mulig i et definert m\u00e5l. Et red team-oppdrag er bredere: det etterligner en konkret trusselakt\u00f8r, har som regel ett konkret m\u00e5l (for eksempel \u00e5 flytte midler eller n\u00e5 en kritisk server uoppdaget), og tester ikke bare koden, men ogs\u00e5 menneskene, rutinene og deteksjonsevnen.<\/p>

Filosofien bak det hele kalles gjerne \u00abassume breach\u00bb: i stedet for \u00e5 h\u00e5pe at ingen kommer seg inn, g\u00e5r man ut fra at en angriper f\u00f8r eller siden gj\u00f8r det, og tester hvor langt vedkommende da rekker f\u00f8r noen oppdager det. Halborn deler sin egen offensive tiln\u00e6rming inn i tre niv\u00e5er, det selskapet kaller de tre A-ene: irritasjon (\u00e5 kaste bort angriperens tid med falske spor), attribusjon (\u00e5 avsl\u00f8re hvem angriperen er) og angrep (direkte mottiltak, forbeholdt de alvorligste tilfellene). De fleste kommersielle oppdrag holder seg til de to f\u00f8rste, men tankegangen er den samme: man venter ikke passivt p\u00e5 \u00e5 bli truffet.<\/p>

Det avgj\u00f8rende skillet mot en revisjon ligger i selve sp\u00f8rsm\u00e5let. En revisjon sp\u00f8r: er denne koden riktig skrevet? Et red team sp\u00f8r: kan jeg komme meg inn, uansett hvordan? Den f\u00f8rste antar at problemet finnes i kildekoden. Den andre antar at problemet kan finnes hvor som helst, og at den beste m\u00e5ten \u00e5 finne det p\u00e5 er \u00e5 pr\u00f8ve \u00e5 utnytte det p\u00e5 ordentlig.<\/p>

Halborn: firmaet som ble bygget av angripere<\/h2>

Halborn ble grunnlagt i Miami i 2019 av Steven Walbroehl, en etisk hacker, og Rob Behnke, en vekstgr\u00fcnder. De to bootstrappet selskapet i rundt tre \u00e5r f\u00f8r de tok inn ekstern kapital, og den offensive kompetansen var utgangspunktet, ikke et tillegg. Walbroehl, i dag medgr\u00fcnder og teknologidirekt\u00f8r (CTO), har over femten \u00e5r bak seg innen penetrasjonstesting, etisk hacking, web- og skysikkerhet, og han er forfatter av SANS-instituttets kurs SEC554 om blokkjede- og smartkontraktsikkerhet. Med andre ord: en av grunnleggerne skrev bokstavelig talt en av l\u00e6reb\u00f8kene bransjen bruker for \u00e5 l\u00e6re opp angripere.<\/p>

I juli 2022 hentet selskapet 90 millioner dollar (rundt 840 millioner kroner) i en serie A-runde ledet av Summit Partners, en av de st\u00f8rste enkeltrundene noensinne for et rent blokkjedesikkerhetsfirma (summitpartners.com<\/a>). \u00abEttersp\u00f8rselen etter Web3-sikkerhet vokser bare\u00bb, sa Walbroehl da runden ble kjent. I dag beskriver Halborn seg som et fullt fjernstyrt selskap med over hundre offensive sikkerhetsingeni\u00f8rer (etter egne tall), og selskapets uttalte oppdrag er \u00ab\u00e5 identifisere og utbedre s\u00e5rbarheter i blokkjedeapplikasjoner og sikre integriteten i blokkjedeprosjekter i hvert utviklingstrinn\u00bb (halborn.com<\/a>). Kundelisten selskapet selv trekker frem inkluderer Coinbase, Polygon og Solana.<\/p>

Etter at Jacques Boschung, tidligere sjef i Kudelski Security, overtok som administrerende direkt\u00f8r h\u00f8sten 2024, har Behnke g\u00e5tt over i rollen som arbeidende styreleder og president. Men firmaets DNA er fortsatt det samme: dette er ikke revisorer som l\u00e6rte seg \u00e5 angripe, det er angripere som ogs\u00e5 reviderer. Skillet er ikke kosmetisk. Det avgj\u00f8r hvordan de n\u00e6rmer seg et oppdrag, hvilke folk de ansetter, og hvilke svakheter de faktisk finner.<\/p>

Angrepsflaten er mye st\u00f8rre enn smartkontrakten<\/h2>

For \u00e5 forst\u00e5 hvorfor red teaming er n\u00f8dvendig, m\u00e5 man forst\u00e5 hvor mange steder et kryptoprosjekt faktisk kan angripes. Smartkontrakten er bare ett av flere lag. Over den ligger nettgrensesnittet brukerne klikker p\u00e5, nettleserutvidelsen lommeboken kj\u00f8rer i, n\u00f8klene som signerer transaksjoner, skyserverne og CI\/CD-r\u00f8rledningene som distribuerer koden, RPC-nodene som mater applikasjonen med data, prisoraklene som forteller protokollen hva ting er verdt<\/a>, og til slutt menneskene som administrerer alt sammen. En revisjon dekker det nederste laget godt. De \u00f8vrige lagene er det red teaming som m\u00e5 teste.<\/p>

Tabellen under viser hvordan de store hendelsene i 2025 og 2026 fordeler seg p\u00e5 disse lagene, og hvilken type test som er best egnet til \u00e5 avdekke hver av dem.<\/p>

Angrepsflate (lag)<\/th>Hva angriperen gj\u00f8r<\/th>Testes best av<\/th>Eksempel 2025-2026<\/th><\/tr><\/thead>
Smartkontrakt \/ kode<\/td>Utnytter logikkfeil, heltallsoverflyt, reentrancy<\/td>Revisjon og red team<\/td>Cetus, rundt 223 millioner dollar (Sui)<\/td><\/tr>
Nettgrensesnitt \/ dApp-frontend<\/td>Bytter ut det brukeren ser, injiserer skript<\/td>Penetrasjonstest og red team<\/td>Bybit, rundt 1,5 milliarder dollar<\/td><\/tr>
N\u00f8kler og signering<\/td>Stjeler eller lurer frem gyldige signaturer<\/td>Red team og operasjonell gjennomgang<\/td>Kelp DAO, rundt 292 millioner dollar<\/td><\/tr>
Sky og infrastruktur<\/td>Kompromitterer servere, CI\/CD, RPC-noder<\/td>Penetrasjonstest og DevOps-sikkerhet<\/td>Diverse RPC- og infrastrukturvektorer<\/td><\/tr>
Mennesker<\/td>Sosial manipulering, phishing, innsidere<\/td>Red team med sosial manipulering<\/td>Lazarus-kampanjer og falske jobbtilbud<\/td><\/tr><\/tbody><\/table><\/figure>

Cetus-tapet i mai 2025 var en ekte kodefeil (en heltallsoverflyt i likviditetsmatematikken) og h\u00f8rer hjemme i nederste rad, men de tre andre store hendelsene i tabellen hadde ingenting med smartkontraktens logikk \u00e5 gj\u00f8re (halborn.com<\/a>). De traff lagene en tradisjonell revisjon aldri ser p\u00e5.<\/p>

Laget som fortjener mest oppmerksomhet nettopp n\u00e5, er n\u00f8klene og signeringen. En moderne lommebok er ikke bare en n\u00f8kkel; det er en nettleserutvidelse, et sett med tilkoblede tjenester og en rekke fullmakter brukeren har gitt fra seg over tid. En angriper trenger ikke \u00e5 stjele n\u00f8kkelen hvis vedkommende kan lure frem \u00e9n ondsinnet signatur eller misbruke en gammel godkjenning. Dette er terreng en penetrasjonstest av selve signeringsflyten kan avdekke, men som en ren kodegjennomgang av smartkontrakten aldri vil se.<\/p>

Slik foreg\u00e5r et red team-oppdrag, steg for steg<\/h2>

Et seri\u00f8st red team-oppdrag f\u00f8lger en gjenkjennelig livssyklus, og den ligner mer p\u00e5 etterretningsarbeid enn p\u00e5 en kodegjennomgang.<\/p>

  1. Avgrensning og spilleregler:<\/strong> kunden og teamet blir enige om hva som er innenfor, hva som er strengt forbudt, og hva m\u00e5let er. Uten klare spilleregler blir en simulert innbrudds\u00f8velse fort et reelt lovbrudd.<\/li>
  2. Trusseletterretning:<\/strong> teamet kartlegger hvilke akt\u00f8rer som faktisk angriper denne typen m\u00e5l, og hvilke teknikker de bruker, slik at simuleringen blir realistisk og ikke bare akademisk.<\/li>
  3. Rekognosering:<\/strong> \u00e5pen kildeetterretning (OSINT) om ansatte, infrastruktur, kodelagre og lekkede opplysninger. Halborn har blant annet tatt i bruk automatiseringsplattformen Trickest for \u00e5 skalere denne fasen.<\/li>
  4. Innledende tilgang:<\/strong> phishing, en utnyttbar tjeneste, en feilkonfigurert sky, eller en kombinasjon. M\u00e5let er \u00e5 skaffe det f\u00f8rste fotfestet inn i systemet.<\/li>
  5. Bevegelse og eskalering:<\/strong> n\u00e5r teamet er inne, beveger det seg sidelengs, skaffer h\u00f8yere rettigheter og n\u00e6rmer seg m\u00e5let, hele tiden med m\u00e5l om \u00e5 ikke bli oppdaget.<\/li>
  6. M\u00e5loppn\u00e5else:<\/strong> teamet demonstrerer at det kunne ha flyttet midler, signert en ondsinnet transaksjon eller tatt kontroll over en kritisk funksjon.<\/li>
  7. Rapport og gjennomgang:<\/strong> til slutt leveres ikke bare en liste med feil, men fortellingen om hele angrepskjeden, og en \u00e6rlig vurdering av hvor og n\u00e5r forsvaret burde ha fanget dem opp.<\/li><\/ol>

    Det siste punktet er ofte det mest verdifulle. En liste med s\u00e5rbarheter kan et automatisk verkt\u00f8y ogs\u00e5 produsere. Fortellingen om hvordan en menneskelig motstander faktisk kom seg fra utsiden og helt inn til hvelvet, og hvor det stille alarmklokkene aldri ringte, er det bare et red team som kan gi.<\/p>

    Oppdrag kommer i flere varianter. I en \u00abblack box\u00bb-test vet teamet nesten ingenting p\u00e5 forh\u00e5nd og m\u00e5 finne alt selv, slik en ekte utenforst\u00e5ende ville gjort. I en \u00abwhite box\u00bb-test f\u00e5r teamet full innsikt i kode og arkitektur, noe som gir dypere dekning p\u00e5 kortere tid. Uansett variant er den skriftlige tillatelsen fra kunden avgj\u00f8rende: uten den er selv en velmenende innbrudds\u00f8velse ganske enkelt et datainnbrudd. Nettopp derfor er avgrensningsfasen ikke byr\u00e5krati, men det som skiller et profesjonelt red team fra en kriminell.<\/p>

    Rab13s: da Halborn br\u00f8t seg inn i 280 blokkjeder<\/h2>

    Det tydeligste eksempelet p\u00e5 hva offensiv research kan finne, er Halborns egen signatursak, kjent som Rab13s. Under en gjennomgang av Dogecoins kodebase i mars 2022 oppdaget seniorforsker Hossam Mohamed en klynge av s\u00e5rbarheter som ikke bare rammet Dogecoin, men over 280 nettverk som deler samme kodearv, deriblant Litecoin og Zcash. Halborn anslo at verdier for mer enn 25 milliarder dollar sto i fare (halborn.com<\/a>, cointelegraph.com<\/a>).<\/p>

    Det var snakk om tre feil: to som kunne krasje noder (tjenestenektangrep) og \u00e9n kj\u00f8ring av vilk\u00e5rlig kode. Den alvorligste lot en angriper sende en spesiallaget konsensusmelding som kunne ta ned noder og i verste fall bane vei for et 51-prosentangrep. Dogecoin, Litecoin og Zcash lappet feilene f\u00f8r den offentlige avsl\u00f8ringen i mars 2023 (Dogecoin i versjon 1.14.6), men mange mindre forker gjorde det aldri. Rab13s viser poenget med proaktiv offensiv sikkerhet i konsentrert form: verdiene ble reddet nettopp fordi noen med angriperens tankesett lette etter feilen f\u00f8rst, i stedet for \u00e5 vente p\u00e5 at en kriminell skulle finne den.<\/p>

    Mennesket er koden ingen reviderer<\/h2>

    Hvis 2025 og 2026 har l\u00e6rt bransjen \u00e9n ting, er det at den svakeste komponenten sjelden er teknisk. Den er menneskelig. Lazarus fikk ikke tilgang til Bybit ved \u00e5 knekke kryptografi; gruppen manipulerte prosessen rundt signeringen. De st\u00f8rste nordkoreanske tyveriene starter gjerne med m\u00e5lrettet phishing<\/a>, falske jobbtilbud til utviklere, eller en kompromittert b\u00e6rbar PC.<\/p>

    Derfor er sosial manipulering en fast del av et fullverdig red team-oppdrag. Teamet sender testphishing til ansatte, pr\u00f8ver \u00e5 lure frem tilgang over telefon, og ser om et enkelt klikk kan bli til et fotfeste. Og trusselen blir verre med kunstig intelligens. \u00abAI-forsterket sosial manipulering vil spille en betydelig rolle i kryptohackernes verkt\u00f8ykasse\u00bb, sier Steven Walbroehl, medgr\u00fcnder og teknologidirekt\u00f8r i Halborn, som peker p\u00e5 at angripere n\u00e5 bruker AI til \u00e5 lage \u00absv\u00e6rt personlige, kontekstbevisste angrep som omg\u00e5r tradisjonell sikkerhetsoppl\u00e6ring\u00bb (cointelegraph.com<\/a>). En revisjon av smartkontrakten din vil aldri fange dette. Et red team som phisher dine egne ansatte, gj\u00f8r det.<\/p>

    Revisjon, penetrasjonstest og red team: hva er forskjellen?<\/h2>

    De tre disiplinene forveksles ofte, men de svarer p\u00e5 ulike sp\u00f8rsm\u00e5l og gir ulike resultater. Tabellen under oppsummerer hovedforskjellene.<\/p>

    Dimensjon<\/th>Sikkerhetsrevisjon (audit)<\/th>Penetrasjonstest<\/th>Red team-oppdrag<\/th><\/tr><\/thead>
    Hva testes<\/td>Kildekode og smartkontrakt<\/td>Ett system eller \u00e9n app<\/td>Hele organisasjonen, som en ekte motstander<\/td><\/tr>
    M\u00e5l<\/td>Finne kodefeil f\u00f8r lansering<\/td>Finne utnyttbare hull i et definert m\u00e5l<\/td>N\u00e5 et konkret m\u00e5l uoppdaget, for eksempel flytte midler<\/td><\/tr>
    Angriperrealisme<\/td>Lav (leser koden)<\/td>Middels<\/td>H\u00f8y (etterligner reell trusselakt\u00f8r)<\/td><\/tr>
    Vet forsvaret om det?<\/td>Ja<\/td>Som regel<\/td>Nei, det bl\u00e5 laget vet vanligvis ingenting<\/td><\/tr>
    Typisk varighet<\/td>1-4 uker<\/td>1-3 uker<\/td>Uker til m\u00e5neder<\/td><\/tr>
    Resultat<\/td>Funn sortert etter alvorlighetsgrad<\/td>Liste over utnyttede s\u00e5rbarheter<\/td>Fortelling om angrepskjeden og hvor deteksjonen sviktet<\/td><\/tr><\/tbody><\/table><\/figure>

    Poenget er ikke at det ene erstatter det andre. En moden sikkerhetsstrategi bruker alle tre: revisjon for \u00e5 sikre koden, penetrasjonstest for \u00e5 sikre de enkelte systemene, og red teaming for \u00e5 teste om helheten st\u00e5r imot en reell motstander. For prosjekter utenfor EVM, som Solana og Move-kjedene, finnes det dessuten egne spesialiserte revisormilj\u00f8er<\/a> som utfyller den offensive testingen.<\/p>

    Tallene bak skiftet: koden er ikke lenger hovedproblemet<\/h2>

    Argumentet for \u00e5 teste hele angrepsflaten, og ikke bare koden, er ikke en magef\u00f8lelse. Det ligger i tallene. Tabellen under sammenstiller de to store datasettene fra henholdsvis hele 2025 og f\u00f8rste halv\u00e5r 2026.<\/p>

    Kilde og periode<\/th>Samlet tap<\/th>Nordkorea<\/th>N\u00f8kkeltall<\/th><\/tr><\/thead>
    Chainalysis, hele 2025<\/td>Over 3,4 milliarder dollar<\/td>Over 2,02 milliarder dollar (rundt 59 prosent)<\/td>Bybit alene sto for n\u00e6r halvparten; de tre st\u00f8rste hackene utgjorde rundt 69 prosent av tapet<\/td><\/tr>
    TRM Labs, 1. halv\u00e5r 2026<\/td>Rundt 972 millioner dollar (207 hendelser)<\/td>Rundt 643 millioner dollar (rundt 66 prosent)<\/td>Smartkontrakt = 125 av 207 hendelser, men infrastruktur og n\u00f8kler sto for rundt 76 prosent av verdien<\/td><\/tr><\/tbody><\/table><\/figure>

    TRM Labs oppsummerer skiftet skarpest: i f\u00f8rste halv\u00e5r 2026 var smartkontraktsutnyttelser den vanligste kategorien (125 av 207 hendelser), men de sto for en liten del av verdien. Infrastruktur- og n\u00f8kkelkompromitteringer utgjorde rundt 15 prosent av hendelsene, men rundt 76 prosent av alle stj\u00e5lne verdier (trmlabs.com<\/a>). Med andre ord: revisjonen dekker den vanligste angrepsvektoren, ikke den dyreste. Det er den dyreste, den operasjonelle, red teaming er laget for \u00e5 teste.<\/p>

    AI red teaming: den nye angrepsflaten<\/h2>

    I takt med at AI-agenter begynner \u00e5 holde n\u00f8kler og signere transaksjoner p\u00e5 egen h\u00e5nd, oppst\u00e5r en helt ny angrepsflate. En agent som kan flytte penger, kan ogs\u00e5 manipuleres til \u00e5 flytte dem feil sted, gjennom \u00abprompt injection\u00bb og forgiftede data. Halborn har svart med egne tjenestelinjer for AI Red Teaming, som selskapet beskriver som \u00abmotstandertesting mot reelle AI-trusler\u00bb, og AI Security Assessment, som leter etter s\u00e5rbarheter i AI-modeller og datar\u00f8rledninger (halborn.com<\/a>).<\/p>

    Dette er ikke teoretisk. N\u00e5r en lommebok eller en agent kan delegere signeringsrettigheter til tredjeparter, flytter risikoen seg fra selve koden til fullmaktene som gis. Walbroehls advarsel om kontekstbevisste, AI-genererte angrep gjelder dobbelt her: motstanderen automatiserer n\u00e5 b\u00e5de rekognoseringen og selve manipulasjonen, og kan produsere overbevisende phishing i industriell skala. Et red team som ikke tester hvordan AI-komponentene kan lures, tester i praksis g\u00e5rsdagens system.<\/p>

    DORA og TIBER-NO: n\u00e5r red teaming blir lovp\u00e5lagt<\/h2>

    Lenge var offensiv testing noe de mest sikkerhetsbevisste selskapene kj\u00f8pte frivillig. Det er i ferd med \u00e5 endre seg. EUs forordning om digital operasjonell motstandsdyktighet, DORA, krever at \u00abidentifiserte\u00bb finansforetak gjennomf\u00f8rer s\u00e5kalt trusselledet penetrasjonstesting (Threat-Led Penetration Testing, TLPT) minst hvert tredje \u00e5r, mot levende produksjonssystemer, basert p\u00e5 reell trusseletterretning (DORA artikkel 26<\/a>, financialregulations.eu<\/a>). TLPT er verken en vanlig revisjon eller en vanlig penetrasjonstest; det er en strukturert, etterretningsledet red team-\u00f8velse, og fristen for de omfattede foretakene n\u00e6rmer seg (januar 2028).<\/p>

    For norske lesere er dette ikke en fjern EU-sak. Allerede i 2021 etablerte Norges Bank og Finanstilsynet rammeverket TIBER-NO, den norske utgaven av det europeiske TIBER-EU (finanstilsynet.no<\/a>, norges-bank.no<\/a>). TIBER st\u00e5r for \u00abThreat Intelligence-based Ethical Red Teaming\u00bb, alts\u00e5 etisk red teaming basert p\u00e5 trusseletterretning, og et eget TIBER Cyber Team (TCT-NO) koordinerer testene. S\u00e5 langt har deltakelsen v\u00e6rt frivillig, og bare en h\u00e5ndfull tester er gjennomf\u00f8rt. Men n\u00e5r DORA innlemmes i norsk rett gjennom E\u00d8S-avtalen, blir trusselledet testing obligatorisk for de mest betydningsfulle foretakene.<\/p>

    Hvem som havner innenfor, avgj\u00f8res av st\u00f8rrelse og systemviktighet, ikke av bransjeetikett. Store kryptotjenesteytere (CASP-er) som er autorisert under MiCA, kan i praksis bli omfattet p\u00e5 lik linje med banker og betalingsforetak dersom de er store nok. For et norsk kryptoselskap betyr det at sp\u00f8rsm\u00e5let ikke lenger bare er \u00abhar vi f\u00e5tt koden revidert?\u00bb, men \u00abt\u00e5ler hele virksomheten v\u00e5r et realistisk angrep, og kan vi bevise det for tilsynet?\u00bb.<\/p>

    Konsekvensen er tydelig: den samme disiplinen Halborn har levert til kryptoprosjekter i \u00e5revis, blir n\u00e5 et regulatorisk krav for bankene og de store tjenesteyterne. MiCA og DORA p\u00e5legger ingen \u00e5 f\u00e5 selve smartkontrakten revidert, men DORA p\u00e5legger de st\u00f8rste akt\u00f8rene \u00e5 la profesjonelle angripere teste hele forsvaret. Det er red teaming, satt i lovs form, og det peker mot en fremtid der den offensive testingen ikke lenger er et konkurransefortrinn, men en minstestandard.<\/p>

    Hva koster det \u00e5 bli angrepet p\u00e5 bestilling?<\/h2>

    Prisene varierer mye, og markedet er lite standardisert. En smartkontraktsrevisjon i toppsjiktet ligger typisk mellom 80 000 og 350 000 dollar (fra rundt 750 000 til over tre millioner kroner), avhengig av kompleksitet. Sherlocks egen prisreferanse for 2026 spenner fra rundt 5 000 dollar for enkle tokener til over 250 000 dollar for store, sammensatte protokoller (sherlock.xyz<\/a>). Penetrasjonstester og fullverdige red team-oppdrag prises som regel individuelt, og et bredt oppdrag som inkluderer sosial manipulering, sky og infrastruktur ligger ofte h\u00f8yere enn en ren kodegjennomgang, rett og slett fordi det tar lengre tid og krever flere spesialister.<\/p>

    For institusjoner er regnestykket likevel enkelt. Et red team-oppdrag som koster noen millioner kroner, er billig sammenlignet med et enkelt angrep som Bybit, der n\u00e6r 14 milliarder kroner forsvant p\u00e5 minutter. Den virkelige kostnaden er ikke fakturaen fra sikkerhetsfirmaet; det er alt du taper hvis du lar v\u00e6re \u00e5 teste, og en motstander gj\u00f8r det for deg.<\/p>

    Fra Miami til Wall Street: derfor ringer bankene n\u00e5 angriperne<\/h2>

    Halborns kanskje viktigste veddem\u00e5l i 2026 er at de neste kundene ikke er kryptoprosjekter, men tradisjonelle finansinstitusjoner p\u00e5 vei inn i digitale eiendeler. Under Boschung har selskapet dreid mot banker, tokeniserte verdipapirer og institusjonell infrastruktur, og lansert r\u00e5dgivning rettet mot foretak som skal bygge sikkerhet inn fra start. \u00abFinansbransjen er i endring, og institusjoner tar i bruk digitale eiendeler i et enest\u00e5ende tempo. Den underliggende infrastrukturen m\u00e5 holde tritt\u00bb, sa Boschung om selskapets institusjonelle satsing (thefullfx.com<\/a>).<\/p>

    Logikken henger sammen med DORA. Bankene er allerede vant til penetrasjonstesting og TIBER-\u00f8velser; for dem er det \u00e5 hyre inn et red team en kjent \u00f8velse, ikke et fremmed kryptofenomen. N\u00e5r disse akt\u00f8rene n\u00e5 tar inn kryptoforvaring og tokeniserte instrumenter, tar de med seg forventningen om offensiv testing, og det treffer et firma som Halborn midt i kjernekompetansen. Kryptobransjen l\u00e6rte offensiv sikkerhet av n\u00f8dvendighet; n\u00e5 kommer regulert finans og ettersp\u00f8r n\u00f8yaktig det samme.<\/p>

    Grensene: en ren red team-rapport er ingen garanti<\/h2>

    Offensiv sikkerhet er n\u00f8dvendig, men det er ikke tryllest\u00f8v. Et red team-oppdrag er ogs\u00e5 et \u00f8yeblikksbilde: det tester forsvaret slik det var den uken, mot de teknikkene teamet valgte. En ren rapport betyr ikke at neste ukes null-dagss\u00e5rbarhet er dekket. Og akkurat som for revisorer finnes det ingen offentlig myndighet som akkrediterer offensive sikkerhetsfirmaer eller setter en minstestandard for hva et red team skal dekke. Kvaliteten holdes oppe av omd\u00f8mme, ikke av regulering.<\/p>

    Den n\u00f8kternheten er verdt \u00e5 ta med seg. Suhail Kakar, utviklerrelasjonsansvarlig i TAC Blockchain, oppsummerte revisjonsbransjens ydmykhet etter et stort angrep slik: \u00abRevidert av X betyr nesten ingenting. Kode er vanskelig, DeFi er vanskeligere\u00bb (cointelegraph.com<\/a>). Det samme gjelder red teaming. Selv om koden er revidert og systemet er red team-testet, og selv om alt gj\u00f8res riktig, kan et prosjekt bli truffet. Det er derfor obduksjonen som f\u00f8lger et angrep<\/a>, og dus\u00f8rene som henter hjem stj\u00e5lne midler<\/a>, er blitt en s\u00e5 sentral del av bransjen.<\/p>

    Den \u00e6rligste konklusjonen er kanskje denne: en revisjon forteller deg om koden er riktig. Et red team forteller deg om du kan bli ranet. Begge svarene er verdifulle, men bare det andre svaret handler om hele huset, og ikke bare om l\u00e5sen p\u00e5 hovedd\u00f8ren. I en tid der pengene lekker ut gjennom menneskene, grensesnittet og n\u00f8klene, er det skillet ikke akademisk. Det er forskjellen p\u00e5 \u00e5 vite at koden din er trygg, og \u00e5 vite at du selv er det.<\/p>

    Frequently Asked Questions<\/h2>

    Hva er forskjellen p\u00e5 en sikkerhetsrevisjon og red teaming?<\/h3>

    En sikkerhetsrevisjon (audit) leser og vurderer kildekoden, typisk en smartkontrakt, for \u00e5 finne feil f\u00f8r lansering. Et red team-oppdrag etterligner en ekte angriper og tester hele systemet: kode, grensesnitt, n\u00f8kler, infrastruktur og mennesker. Revisjonen sp\u00f8r om koden er riktig skrevet, mens red teamet sp\u00f8r om noen kan bryte seg inn uansett. De utfyller hverandre og erstatter ikke hverandre.<\/p>

    Hva er DORA og TIBER-NO, og gjelder det norske kryptoselskaper?<\/h3>

    DORA er EUs forordning om digital operasjonell motstandsdyktighet, som blant annet krever trusselledet penetrasjonstesting (TLPT) for de st\u00f8rste finansforetakene. TIBER-NO er Norges Banks og Finanstilsynets rammeverk for slik testing. N\u00e5r DORA innlemmes i norsk rett gjennom E\u00d8S-avtalen, blir testingen obligatorisk for de mest betydningsfulle foretakene, noe som kan omfatte store kryptotjenesteytere (CASP-er) under MiCA. Selve smartkontrakten er derimot ikke lovp\u00e5lagt revidert.<\/p>

    Hva koster en penetrasjonstest eller et red team-oppdrag?<\/h3>

    Prisene er lite standardiserte. Smartkontraktsrevisjoner i toppsjiktet ligger ofte mellom 80 000 og 350 000 dollar, rundt 750 000 til over tre millioner kroner. Penetrasjonstester og red team-oppdrag prises som regel individuelt, og brede oppdrag som inkluderer sosial manipulering og infrastruktur ligger gjerne h\u00f8yere enn en ren kodegjennomgang fordi de tar lengre tid og krever flere spesialister.<\/p>

    Hva er Rab13s?<\/h3>

    Rab13s er navnet p\u00e5 en klynge s\u00e5rbarheter som Halborns forsker Hossam Mohamed avdekket under en gjennomgang av Dogecoins kodebase i 2022. Feilene rammet over 280 nettverk som deler samme kodearv, deriblant Litecoin og Zcash, og satte anslagsvis over 25 milliarder dollar i fare. De omfattet to tjenestenektfeil og \u00e9n kj\u00f8ring av vilk\u00e5rlig kode, og ble offentlig avsl\u00f8rt i 2023 etter at de st\u00f8rste kjedene hadde lappet dem.<\/p>

    Er red teaming nok til \u00e5 hindre at et prosjekt blir hacket?<\/h3>

    Nei. Red teaming reduserer risikoen betydelig ved \u00e5 avdekke svakheter en angriper ellers ville funnet, men det er et \u00f8yeblikksbilde og ingen garanti. Nye s\u00e5rbarheter oppst\u00e5r, teknikker endrer seg, og ingen myndighet akkrediterer offensive sikkerhetsfirmaer. Derfor kombineres red teaming med revisjon, bug bounty, overv\u00e5king og en plan for hva som skjer etter et angrep.<\/p>