{"id":327,"date":"2026-08-31T05:10:35","date_gmt":"2026-08-31T05:10:35","guid":{"rendered":"https:\/\/hoge.gg\/no\/slik-stopper-du-et-styringsangrep-forsvaret-2026\/"},"modified":"2026-08-31T05:10:35","modified_gmt":"2026-08-31T05:10:35","slug":"slik-stopper-du-et-styringsangrep-forsvaret-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/slik-stopper-du-et-styringsangrep-forsvaret-2026\/","title":{"rendered":"Slik stopper du et styringsangrep: forsvaret i 2026"},"content":{"rendered":"

Sommeren 2026 ble pr\u00f8ven p\u00e5 en angrepstype som ikke ligner noe annet i kryptosikkerhet. Fra 9. juni til 6. august forsvant rundt 22 millioner dollar, over 200 millioner kroner (dollaren sto rundt 9,4 kroner i slutten av august), ut av desentraliserte kasser i minst sju separate styringsangrep p\u00e5 tvers av Ethereum, Solana og Base, if\u00f8lge en gjennomgang fra sikkerhetsselskapet Blockaid<\/a>. Ingen av dem br\u00f8t en eneste kodelinje. Angriperne hacket ingenting. De stemte.<\/p>

Uken etter at b\u00f8lgen offisielt var over, t\u00f8mte en angriper Term Finance for 8,5 millioner dollar, rundt 80 millioner kroner, ved \u00e5 kj\u00f8pe seg til flertall i protokollens egne avstemninger. Det oppsiktsvekkende var ikke at Term falt, men at protokollen faktisk hadde forsvar: en sju dagers tidsl\u00e5s, en vetorett for innskyterne og tydelig adskilte roller. Det holdt likevel ikke. Vi har tidligere forklart hva et styringsangrep er, og g\u00e5tt gjennom hvordan Term Finance falt selv med tidsl\u00e5sen p\u00e5 plass<\/a>.<\/p>

Tre dager tidligere meldte Binance at de hadde stanset et lignende angrep mot en unavngitt DAO med rundt 48 timer igjen p\u00e5 klokka, uten at en krone gikk tapt. Forskjellen mellom Term og Binance-saken l\u00e5 ikke i verkt\u00f8yene. Begge angrepene fulgte samme oppskrift, og forsvaret som kunne stoppet dem, er godt kjent. Forskjellen l\u00e5 i hvor forsvaret satt, og om noen sto bak det da det gjaldt. Denne artikkelen er bl\u00e5lagets motstykke til de to forrige: her bygger vi forsvaret mot styringsangrep, lag for lag, og ser p\u00e5 hvorfor selv kjente tiltak svikter.<\/p>

Hva et styringsangrep egentlig angriper<\/h2>

Et styringsangrep utnytter ingen feil i koden. Det bruker reglene slik de er skrevet. Angrepsflaten er stemmegivning etter tokenvekt, standardmodellen der \u00e9n token er \u00e9n stemme. Poenget er strukturelt: en governance-token pakker sammen to rettigheter, en \u00f8konomisk interesse i protokollen og retten til \u00e5 styre den, og de to rettighetene er lette \u00e5 skille fra hverandre. Ethereum-grunnlegger Vitalik Buterin har kalt tokenen nettopp \u00aba bundle of two rights\u00bb<\/a>, og p\u00e5peker at den som l\u00e5ner stemmevekt uten \u00e5 eie den, har styringsmakt uten \u00f8konomisk interesse: stemmer angriperen bort verdien av tokenen, taper han ikke en krone selv.<\/p>

Det har en ubehagelig konsekvens for forsvaret. Du kan ikke lappe et hull som ikke finnes. En kodegjennomgang bekrefter at kontrakten gj\u00f8r det den skal, men styringsangrepet ligger et lag over koden. Da PeckShield og CertiK obduserte Term Finance, var konklusjonen at angrepet traff stemmemekanikken, ikke noen svakhet i selve kontrakten. Det er ogs\u00e5 derfor et bug bounty-program<\/a> sjelden fanger denne klassen: det er ingen s\u00e5rbarhet \u00e5 rapportere n\u00e5r alt skjer etter boka. Forsvaret m\u00e5 derfor gj\u00f8re noe annet enn \u00e5 tette hull. Det m\u00e5 gj\u00f8re den legitime mekanismen ul\u00f8nnsom \u00e5 misbruke.<\/p>

Forsvarets grunnligning: gj\u00f8r angrepet ul\u00f8nnsomt<\/h2>

Det beste utgangspunktet for et forsvar er et regnestykke risikokapitalisten a16z satte opp allerede i 2022. I \u00abDAO governance attacks, and how to avoid them\u00bb<\/a> beskriver Garimidi, Kominers og Roughgarden angriperens gevinst slik: gevinst er lik verdien av angrepet, minus kostnaden ved \u00e5 skaffe stemmevekt, minus kostnaden ved \u00e5 utf\u00f8re angrepet. Forsvarets hele oppgave er \u00e5 presse det tallet under null.<\/p>

Det gir tre h\u00e5ndtak, og de organiserer resten av denne artikkelen. Du kan krympe verdien \u00e9n avstemning kan n\u00e5. Du kan gj\u00f8re stemmevekt dyr og treg \u00e5 skaffe. Og du kan gj\u00f8re selve utf\u00f8relsen kostbar og treg. a16z peker samtidig p\u00e5 et problem som gj\u00f8r ren m\u00f8nstergjenkjenning nyttel\u00f8s, \u00abindistinguishability\u00bb: markedet kan ikke skille en angriper som hamstrer stemmevekt fra en helt legitim kj\u00f8per, for begge er villige til \u00e5 kj\u00f8pe store mengder token til stadig h\u00f8yere pris. Du kan alts\u00e5 ikke forsvare deg ved \u00e5 oppdage \u00abonde kj\u00f8pere\u00bb. Du m\u00e5 forsvare deg strukturelt, ved \u00e5 endre hva stemmene faktisk kan utrette. Sommerens b\u00f8lge er en katalog over hva som skjer n\u00e5r ingen av de tre h\u00e5ndtakene er dratt til.<\/p>

Protokoll<\/th>Dato<\/th>Kjede<\/th>Tappet<\/th>Mekanisme<\/th>Forsvaret som ville stoppet det<\/th><\/tr><\/thead>
Token of Power<\/td>9. juni 2026<\/td>Ethereum<\/td>1,59 mill. USD (~15 mill. kr)<\/td>Kj\u00f8pte flertall i et tilbud p\u00e5 bare 16 384 token og mintet 10 milliarder nye via forslag<\/td>Skille mynting fra \u00e9n avstemning; h\u00f8yere terskel<\/td><\/tr>
BonkDAO<\/td>6. juli 2026<\/td>Solana<\/td>20 mill. USD (~190 mill. kr)<\/td>Brukte ~4,4 mill. USD p\u00e5 ~1 % av tilbudet for \u00e5 n\u00e5 kvorum; syv lommeb\u00f8ker stemte<\/td>H\u00f8yere kvorum og forslagsdepositum<\/td><\/tr>
BarnBridge SMART Yield<\/td>15. juli 2026<\/td>Ethereum<\/td>777 000 USD (~7 mill. kr)<\/td>En posisjon verdt rundt 600 USD kapret oppgraderingsstien og feide inn gamle godkjenninger fra ~50 lommeb\u00f8ker<\/td>Adskilt oppgraderingsvei; tilbakekall av gamle godkjenninger<\/td><\/tr>
Unicly<\/td>Sommeren 2026<\/td>Ethereum<\/td>Uoppgitt<\/td>Stemmevekten var flash-l\u00e5nt for \u00e9n enkelt blokk<\/td>Snapshot fra en tidligere blokk<\/td><\/tr>
Term Finance<\/td>23. august 2026<\/td>Ethereum<\/td>8,5 mill. USD (~80 mill. kr)<\/td>Kj\u00f8pte flertall i hvelvenes avstemninger; hadde tidsl\u00e5s og veto, men ingen brukte dem<\/td>Noen bak vetoet; overv\u00e5king koblet til handling<\/td><\/tr><\/tbody><\/table><\/figure>

Lag 1: begrens hva \u00e9n avstemning kan n\u00e5<\/h2>

Det f\u00f8rste h\u00e5ndtaket krymper verdien av angrepet. De farligste kreftene i en protokoll, retten til \u00e5 minte nye token, til \u00e5 flytte kassen og til \u00e5 oppgradere kontraktene, b\u00f8r aldri kunne n\u00e5s gjennom \u00e9n vanlig avstemning. Blockaid formulerer det rett fram: mynting, kasseflytting og kontraktoppgraderinger \u00abshould never be reachable from a single vote\u00bb. a16z kaller det samme h\u00e5ndtaket \u00e5 begrense angrepets rekkevidde: la styringen bestemme parametere som gebyrer og rentekurver, ikke kj\u00f8re vilk\u00e5rlig kode.<\/p>

Sommerens saker viser hva som skjer n\u00e5r skillet mangler. Token of Power hadde et tilbud p\u00e5 bare 16 384 token; angriperen kj\u00f8pte flertall og lot et forslag minte 10 milliarder nye, if\u00f8lge Blockaid. BarnBridge SMART Yield falt fordi et forslag n\u00e5dde helt inn til oppgraderingsstien og kunne feie inn gamle token-godkjenninger fra rundt 50 lommeb\u00f8ker, og i Panther-saken n\u00e5dde en vedtatt avstemning p\u00e5 samme vis inn til protokollens oppgraderingsrettigheter. I hvert tilfelle sto den mektigste spaken rett ved siden av en billig avstemning.<\/p>

Motgiften er \u00e5 gjerde inn krefter som mynting og oppgradering bak en egen, h\u00f8yere terskel, eller \u00e5 gj\u00f8re dem umulige \u00e5 endre i det hele tatt. Den ekstreme varianten er styringsminimering: jo mindre en avstemning kan gj\u00f8re, desto mindre er det \u00e5 angripe. Uniswap kj\u00f8rte i \u00e5revis med minimal styring og lot gebyrbryteren st\u00e5 av helt til \u00abUNIfication\u00bb ble vedtatt i desember 2025<\/a>. Morpho dytter risikoen ut til kuratorer i isolerte markeder i stedet for \u00e5 samle den i \u00e9n stor styringsknapp. Den tryggeste stemmen er den som ikke kan holdes.<\/p>

Lag 2: gj\u00f8r stemmene dyre og trege \u00e5 skaffe<\/h2>

Det andre h\u00e5ndtaket \u00f8ker kostnaden ved \u00e5 skaffe stemmevekt. Her finnes de mest konkrete og best utpr\u00f8vde tiltakene.<\/p>

F\u00f8rst terskler. Blockaid anbefaler \u00e5 sette kvorum og forslagsdepositum \u00abhigh enough that control can’t be bought or borrowed cheaply\u00bb. Sommerens billigste saker viser hvor lavt lista l\u00e5: BonkDAO krevde bare rundt 1 prosent av tilbudet for \u00e5 n\u00e5 kvorum, kj\u00f8pt for rundt 4,4 millioner dollar, og syv lommeb\u00f8ker avgjorde en avstemning med over 18 000 medlemmer. Token of Powers mikroskopiske tilbud gjorde flertall nesten gratis.<\/p>

Deretter det viktigste enkelttiltaket mot flash loan-angrep: tell stemmene fra en tidligere blokk. Blockaid kaller det \u00e5 \u00abcount votes from a past block so flash-borrowed tokens carry no weight\u00bb. Beanstalk er selve l\u00e6reboksaken. I april 2022 flash-l\u00e5nte en angriper over \u00e9n milliard dollar<\/a> fra Aave, Uniswap og SushiSwap, skaffet to tredels flertall i \u00e9n enkelt transaksjon og forsvant med 182 millioner dollar, rundt 1,7 milliarder kroner. Et \u00f8yeblikksbilde av stemmevekten fra en tidligere blokk ville gjort de l\u00e5nte stemmene verdil\u00f8se. N\u00f8yaktig samme forsvar stopper Unicly-saken fra sommeren, der stemmevekten var flash-l\u00e5nt for \u00e9n enkelt blokk.<\/p>

Til slutt: reduser den frie flyten. Ligger stemmevekten fritt p\u00e5 b\u00f8rser, kan den kj\u00f8pes; er den l\u00e5st eller staket, m\u00e5 angriperen b\u00e5de finne den og binde kapital lenge. a16z kaller dette \u00e5 redusere token-likviditeten. Prisen er reell: l\u00e5sing senker deltakelsen og kan sementere de som allerede sitter med makt, slik veToken-modellen til Curve og Convex har vist. Ethvert forsvar p\u00e5 dette laget er en avveining mellom sikkerhet og \u00e5penhet.<\/p>

Lag 3: tidsl\u00e5sen, og hvorfor den ikke er en l\u00e5s<\/h2>

Det tredje h\u00e5ndtaket \u00f8ker kostnaden ved \u00e5 utf\u00f8re angrepet, og her bor det mest misforst\u00e5tte forsvaret av alle. En tidsl\u00e5s legger en forsinkelse mellom at et forslag vedtas og at det utf\u00f8res. Mange behandler den som en safe-d\u00f8r. Buterin har korrigert bildet skarpt: \u00abtimelocks are more like a paywall on a newspaper website than they are like a lock and key\u00bb<\/a>. En tidsl\u00e5s stopper ingenting av seg selv. Den kj\u00f8per tid, slik at mennesker rekker \u00e5 reagere: trekke seg ut, legge ned veto eller sette protokollen p\u00e5 pause.<\/p>

Det tekniske rammeverket er velkjent. OpenZeppelins TimelockController<\/a> gir brukerne en sjanse til \u00e5 komme seg ut f\u00f8r utf\u00f8relse, men bare hvis rollene er satt riktig: styringskontrakten skal v\u00e6re eneste forslagsstiller, og ekstra forslagsstillere eller kansellerere blir raskt en bakd\u00f8r. Selv med alt dette p\u00e5 plass er tidsl\u00e5sen verdil\u00f8s uten de to neste tingene: noen som f\u00f8lger med, og noen som har myndighet til \u00e5 handle.<\/p>

Term Finance er beviset. Protokollen hadde en sju dagers tidsl\u00e5s og en vetorett, og tapte likevel 68 prosent av hvelvenes verdier fordi ingen brukte vinduet. Den fulle obduksjonen ligger i v\u00e5r gjennomgang av Term-saken<\/a>; poenget her er enkelt: en tidsl\u00e5s er en betingelse for forsvar, ikke et forsvar i seg selv.<\/p>

N\u00f8dbremsen: veto, sikkerhetsr\u00e5d og hvem som st\u00e5r bak dem<\/h2>

Bak tidsl\u00e5sen m\u00e5 det st\u00e5 en n\u00f8dbrems noen faktisk kan trekke i. Blockaid presiserer at en reell tidsl\u00e5s skal ha \u00aban emergency cancel or pause behind it\u00bb. Sp\u00f8rsm\u00e5let er hvem som holder i den.<\/p>

Bransjen har pr\u00f8vd flere svar. Arbitrum har et Security Council p\u00e5 tolv valgte medlemmer<\/a> som kan handle raskt i n\u00f8dsfall. Optimism deler makten i to kamre, et Token House og et omd\u00f8mmebasert Citizens’ House. Mange protokoller har i praksis en guardian-multisig som kan sette systemet p\u00e5 pause. Alle disse er fors\u00f8k p\u00e5 \u00e5 plassere en menneskelig h\u00e5nd p\u00e5 bremsen uten \u00e5 gi den samme h\u00e5nden makt til \u00e5 stjele kassen.<\/p>

Det vanskelige er ikke \u00e5 opprette vetoet, men \u00e5 s\u00f8rge for at noen st\u00e5r bak det klokka tre om natta. Term hadde en vetorett for innskyterne, og likevel gikk syv dager uten at noen brukte den. Et veto ingen ut\u00f8ver, er teater. Her m\u00f8ter forsvaret et strukturelt problem: i en organisasjon der nesten ingen stemmer, hvem er det egentlig som overv\u00e5ker forslagene og trekker i bremsen? Svaret har i \u00f8kende grad blitt en klasse betalte profesjonelle, og det er b\u00e5de forsvarets styrke og dets nye svakhet, noe vi kommer tilbake til.<\/p>

Deteksjonslaget: \u00e5 se angrepet mens tidsl\u00e5sen teller ned<\/h2>

Vinduet mellom at et forslag dukker opp og at det utf\u00f8res, er forsvarets siste mil. Blockaid anbefaler \u00e5 overv\u00e5ke for \u00absudden vote concentration and unusual proposal payloads\u00bb, alts\u00e5 plutselig oppsamling av stemmevekt og forslag med uvanlig innhold. Det er nettopp her et voksende lag av verkt\u00f8y n\u00e5 patruljerer.<\/p>

Hypernative<\/a> tilbyr styringsoverv\u00e5king som varsler om risikable DAO- og multisig-forslag, avvik i stemmegivning, kassebevegelser og endringer blant signaturhavere, og markedsf\u00f8rer automatisk respons f\u00f8r tapet er endelig; Olympus DAO er blant kundene. Forensiske boter fanget faktisk Term f\u00f8rst: Decuritys Defimon-bot slo alarm f\u00f8r PeckShield og CertiK bekreftet at angrepet traff stemmemekanikken, ikke koden<\/a>. Men deteksjon hjelper bare hvis den er koblet til noen som kan trekke i bremsen i tide.<\/p>

Deteksjonslaget avsl\u00f8rer ogs\u00e5 grensen for revisjon. En kodegjennomgang fra et selskap som Halborn<\/a> sertifiserer kontrakten, ikke styringsdesignet; Terms kode var i orden. N\u00e5r skaden f\u00f8rst er skjedd, flytter forsvaret seg til etterforskning: \u00e5 f\u00f8lge pengene<\/a> p\u00e5 kjeden, som da Term-angriperen s\u00e5vidt startet med et lite ETH-bel\u00f8p vasket gjennom Tornado Cash. Sporet er kaldt, men ikke usynlig.<\/p>

Da forsvaret virket: Binance og de 48 timene<\/h2>

Den beste illustrasjonen p\u00e5 at forsvaret kan virke, kom bare uker f\u00f8r Term. 18. august 2026 meldte Binance at overv\u00e5kingssystemene deres hadde fanget et ondsinnet forslag mot en unavngitt DAO med en kasse p\u00e5 rundt 1,2 millioner dollar, med under 48 timer igjen til utf\u00f8relse, if\u00f8lge crypto.news<\/a>. Svakheten var en lav terskel for \u00e5 opprette forslag. B\u00f8rsen kontaktet prosjektet og koordinerte med andre b\u00f8rser om \u00e5 stenge innskudd for tokenen, slik at utgangsrampen for et eventuelt tyveri ble kuttet. Fellesskapet stemte forslaget ned, og ingen midler gikk tapt.<\/p>

Binances sikkerhetssjef Jimmy Su p\u00e5pekte at \u00abno external security provider had flagged\u00bb trusselen f\u00f8r deres eget team fant den. Det er verdt en advarsel: Binance oppga verken prosjekt, token eller transaksjon, s\u00e5 saken kan ikke etterpr\u00f8ves uavhengig og b\u00f8r leses som b\u00f8rsens egen framstilling. Men to l\u00e6rdommer st\u00e5r seg uansett. For det f\u00f8rste kj\u00f8pte overv\u00e5king pluss en reell forsinkelse akkurat den tiden Term aldri brukte. For det andre er utgangsrampen en del av angrepet: \u00e5 stenge b\u00f8rsene der byttet skal selges, er et forsvar selv n\u00e5r selve avstemningen ikke lar seg stoppe p\u00e5 kjeden.<\/p>

Signaturlaget: multisig, admin-n\u00f8kler og uavhengig signering<\/h2>

Selv etter at et ondsinnet forslag er vedtatt, g\u00e5r utf\u00f8relsen som regel gjennom privilegerte kontrakter styrt av en multisig eller admin-n\u00f8kler. Det gir et siste forsvarslag. Blockaid anbefaler \u00e5 stramme inn kontrollen over signaturhavere og admin-roller, og \u00e5 legge til \u00aban independent signing check\u00bb slik at en ondsinnet transaksjon ikke kan utf\u00f8res selv om den er vedtatt.<\/p>

Her m\u00f8ter styringssikkerhet n\u00f8kkelhygiene. Signaturhaverne som kan flytte kassen, fortjener samme granskning som kontraktene de styrer. Hvordan proffene deler den makten er et eget fag; vi har sett p\u00e5 MPC mot multisig<\/a> som to m\u00e5ter \u00e5 unng\u00e5 at \u00e9n n\u00f8kkel, eller \u00e9n kompromittert signaturhaver, avgj\u00f8r alt. Sikkerhetsselskaper tilbyr n\u00e5 med-signering som eget produkt: Hypernative og lommebok-infrastrukturen Safe har inng\u00e5tt samarbeid om nettopp \u00e5 legge en uavhengig kontroll foran multisig-transaksjoner.<\/p>

Et lite, men undervurdert tiltak h\u00f8rer ogs\u00e5 hjemme her: f\u00e5 brukerne til \u00e5 tilbakekalle gamle token-godkjenninger. BarnBridge-angriperen feide inn nettopp slike utdaterte godkjenninger fra rundt 50 lommeb\u00f8ker via en kapret oppgraderingssti. En godkjenning du glemte i 2023, kan bli v\u00e5penet mot deg i 2026.<\/p>

Angrepsvektor<\/th>Forsvarstiltak<\/th>Lag<\/th>Kilde\/verkt\u00f8y<\/th><\/tr><\/thead>
Flash-l\u00e5nte stemmer (Beanstalk, Unicly)<\/td>Tell stemmene fra en tidligere blokk<\/td>Stemmeskaffing<\/td>Blockaid, OpenZeppelin<\/td><\/tr>
Billig flertall (BonkDAO, Token of Power)<\/td>H\u00f8yt kvorum og forslagsdepositum; l\u00e5st tilbud<\/td>Stemmeskaffing<\/td>Blockaid, a16z<\/td><\/tr>
Mynting, kasse eller oppgradering fra \u00e9n avstemning<\/td>Ring-gjerd de farligste kreftene; parameterstyring<\/td>Rekkevidde<\/td>Blockaid, a16z<\/td><\/tr>
Umiddelbar utf\u00f8relse<\/td>Reell tidsl\u00e5s med n\u00f8dbrems<\/td>Utf\u00f8relse<\/td>Vitalik, OpenZeppelin<\/td><\/tr>
Ingen reagerer i tide (Term Finance)<\/td>Aktivt veto, sikkerhetsr\u00e5d og overv\u00e5king<\/td>Mennesker og deteksjon<\/td>Arbitrum, Blockaid, Hypernative<\/td><\/tr>
Ondsinnet transaksjon utf\u00f8res etter vedtak<\/td>Uavhengig med-signering<\/td>Signatur<\/td>Blockaid, Safe, Hypernative<\/td><\/tr>
Konsentrasjon og apati<\/td>Delegering, h\u00f8yere kvorum, alternative modeller<\/td>Struktur<\/td>Chainalysis, a16z<\/td><\/tr><\/tbody><\/table><\/figure>

Konsentrasjon er angrepsflaten: den tomme folkeforsamlingen<\/h2>

Alle tiltakene over demper symptomer. \u00c5rsaken ligger dypere, og den lar seg ikke lappe med kode. Chainalysis fant allerede i 2022 at i ti store DAO-er kontrollerer under \u00e9n prosent av innehaverne rundt 90 prosent av stemmevekten<\/a>. Oppm\u00f8tet er som regel ensifret. Den konsentrasjonen er selve angrepsflaten: n\u00e5r nesten ingen stemmer, avgj\u00f8r en liten og billig andel alt, slik de syv lommeb\u00f8kene gjorde i BonkDAO.<\/p>

Inn i det tomrommet har det vokst en profesjonell delegatklasse, og den er b\u00e5de forsvarets styrke og dets nye svakhet. Noen f\u00f8lger endelig med, men makten samles hos noen f\u00e5 firmaer og hvaler. Aave er advarselen for blue-chip-laget: selv i en protokoll med innskudd p\u00e5 rundt 26 milliarder dollar, over 240 milliarder kroner, endte en strid om stemmevekt med at hele laget av tjenesteleverand\u00f8rer forlot prosjektet. Marc Zeller i Aave Chan Initiative advarte om at en enkelt akt\u00f8r satt med nok stemmevekt til \u00e5 presse gjennom sitt eget budsjett mot fellesskapets vilje<\/a>. Du kan heve kvorum og betale delegater for \u00e5 m\u00f8te opp, slik Arbitrum har gjort, men apati er strukturelt. Forsvaret kan gj\u00f8re et angrep dyrere; det kan ikke fylle en tom folkeforsamling.<\/p>

Kan stemmemekanismen selv gj\u00f8res angrepssikker?<\/h2>

Det mest ambisi\u00f8se forsvaret pr\u00f8ver ikke \u00e5 vokte maskinen, men \u00e5 bygge den om slik at et angrep blir strukturelt umulig. Etter et ti\u00e5r med tokenstemming er flere eksperimenter i spill.<\/p>

Conviction voting, f\u00f8rst satt i produksjon av 1Hive, lar st\u00f8tte bygge seg opp over tid mens tokenene forblir bundet, og et forslag passerer f\u00f8rst ved en dynamisk terskel. Fordi det krever tidsbinding, dreper modellen flash loan-angrep nesten per definisjon; prisen er treghet og lav lesbarhet. Futarchy, en id\u00e9 fra \u00f8konomen Robin Hanson, lar deltakerne stemme over m\u00e5l og vedde p\u00e5 tro: for hvert forslag \u00e5pnes to betingede markeder, ett for at det vedtas og ett for at det forkastes, og bare utfallet markedet tror mest p\u00e5, blir st\u00e5ende. MetaDAO<\/a> p\u00e5 Solana har kj\u00f8rt modellen i praksis. Vitalik Buterin foreslo i februar 2026 KI-forvaltere<\/a>: personlige modeller som stemmer p\u00e5 dine vegne i tusenvis av rutinesaker og f\u00f8rst sp\u00f8r deg ved de f\u00f8lsomme, et direkte angrep p\u00e5 oppm\u00f8teproblemet konsentrasjonen lever av. Kvadratisk stemmegivning flater ut hvalenes overmakt, men faller for sybil-angrep uten en identitetssjekk.<\/p>

Ingen av dem er en s\u00f8lvkule. a16z-partner Ali Yahya oppsummerte ti\u00e5ret t\u00f8rt overfor Fortune: \u00abWe spent the last 10 years rediscovering the hard way that direct democracy is a bad idea\u00bb<\/a>. Den \u00e6rlige konklusjonen er at frontlinjen handler om \u00e5 designe stemmen slik at et angrep ikke bare er dyrt, men umulig, og at ingen enn\u00e5 har kommet helt dit.<\/p>

Modell<\/th>Hva det forsvarer mot<\/th>Svakhet eller kostnad<\/th>Modenhet<\/th><\/tr><\/thead>
Conviction voting (1Hive)<\/td>Flash loan og hastige angrep (krever tidsbinding)<\/td>Treg; lav lesbarhet<\/td>Produksjon, sm\u00e5 kasser<\/td><\/tr>
Futarchy (MetaDAO)<\/td>Kj\u00f8p av utfall; markedet avgj\u00f8r<\/td>Ung; avhengig av likviditet<\/td>Eksperimentell, Solana<\/td><\/tr>
KI-forvaltere (Vitalik)<\/td>Apati og oppmerksomhetsproblemet<\/td>Upr\u00f8vd; nye angrepsflater<\/td>Forslagsstadiet<\/td><\/tr>
Kvadratisk stemmegivning<\/td>Hvalenes overmakt<\/td>Faller for sybil uten identitetssjekk<\/td>Mest brukt i funding<\/td><\/tr>
Styringsminimering (Uniswap, Morpho)<\/td>Alt: fjerner angrepsflaten<\/td>Mindre fleksibilitet<\/td>Produksjon, blue-chip<\/td><\/tr><\/tbody><\/table><\/figure>

Juss som siste skanse: Finanstilsynet, MiCA og et svakt vern<\/h2>

N\u00e5r alt annet svikter, er det fristende \u00e5 tro at loven griper inn. Den gj\u00f8r det, men sent og upresist. I Norge tr\u00e5dte kryptoeiendelsloven, som gjennomf\u00f8rer EUs MiCA-regelverk via E\u00d8S-avtalen, i kraft 1. juli 2025, og Finanstilsynet<\/a> gir tillatelser til kryptotjenestetilbydere og utstedere. Men MiCA regulerer tilbydere og utstedere, ikke en protokolls styringsdesign. En DAO uten et selskap eller en tjenestetilbyder bak seg faller i stor grad utenfor.<\/p>

For et norsk offer er hjemlene de alminnelige: bedrageri og markedsmanipulasjon, med tynn rettspraksis og en motpart som kan v\u00e6re anonym bak en mikser. Usikkerheten illustreres av Mango Markets-saken. Avraham Eisenberg t\u00f8mte protokollen for 110 millioner dollar i 2022, men domfellelsene hans for svindel og markedsmanipulasjon ble opphevet i mai 2025<\/a> av dommer Arun Subramanian, blant annet fordi Mango var tillatelsesl\u00f8s og selvutf\u00f8rende. At regulatorer kan n\u00e5 en DAO, viser den amerikanske CFTC-saken mot Ooki DAO, der en uteblivelsesdom p\u00e5 643 542 dollar<\/a> slo fast at en DAO er en \u00abperson\u00bb etter loven, men ogs\u00e5 den kom sent og etter at skaden var skjedd. Juridiske innpakninger som Wyomings DUNA<\/a> gir en DAO rettslig personlighet og kan hjelpe, men ingenting av dette stopper en tapping i sanntid. Loven er en bakstopp, ikke en mur.<\/p>

Sjekklisten: slik leser du en DAOs forsvar f\u00f8r du setter inn penger<\/h2>

Ingen protokoll b\u00f8r vurderes p\u00e5 markedsf\u00f8ring alene. F\u00f8r du setter kapital inn i et system styrt av stemmer, still disse sp\u00f8rsm\u00e5lene, og let etter svarene i dokumentasjonen og p\u00e5 kjeden, ikke i reklamen:<\/p>

  • Finnes det en reell tidsl\u00e5s mellom vedtak og utf\u00f8relse, og hvor lang er den?<\/li>
  • Hvem eier vetoet eller n\u00f8dbremsen bak tidsl\u00e5sen, og har de brukt den f\u00f8r?<\/li>
  • Er mynting, kasseflytting og oppgraderinger adskilt fra en vanlig avstemning?<\/li>
  • Teller stemmene fra en tidligere blokk, slik at flash-l\u00e5nte stemmer ikke gjelder?<\/li>
  • Er kvorum og forslagsdepositum h\u00f8ye nok til at flertall ikke kan kj\u00f8pes billig?<\/li>
  • Ligger en stor del av tilbudet l\u00e5st eller staket, eller fritt tilgjengelig p\u00e5 b\u00f8rser?<\/li>
  • Hvem overv\u00e5ker forslagene, og er overv\u00e5kingen koblet til noen som kan handle raskt?<\/li>
  • Hvor mange signaturer kreves for \u00e5 flytte kassen, og hvem holder n\u00f8klene?<\/li><\/ul>

    Ikke noe enkelt punkt er nok. Term Finance krysset av p\u00e5 flere av dem, tidsl\u00e5s, veto, rolleadskillelse og utpr\u00f8vd infrastruktur, og falt likevel fordi forsvaret satt p\u00e5 feil lag og ingen sto bak det. M\u00f8nsteret som overlevde sommerens b\u00f8lge, var ikke ett smart tiltak, men forsvar i dybden koblet til et menneske som faktisk fulgte med. I en organisasjon som lover at koden er lov, er det til slutt oppmerksomhet, ikke kode, som avgj\u00f8r om kassen st\u00e5r ved neste avstemning.<\/p>

    Ofte stilte sp\u00f8rsm\u00e5l<\/h2>

    Hvordan kan en DAO forsvare seg mot et styringsangrep?<\/h3>

    Forsvaret er lagdelt. Begrens hva \u00e9n avstemning kan n\u00e5 ved \u00e5 skille mynting, kasse og oppgradering fra vanlig styring; gj\u00f8r stemmevekt dyr og treg \u00e5 skaffe med h\u00f8yt kvorum, forslagsdepositum og stemmetelling fra en tidligere blokk; legg en reell tidsl\u00e5s med en n\u00f8dbrems noen faktisk kan trekke i; overv\u00e5k for plutselig stemmekonsentrasjon; og krev uavhengig med-signering f\u00f8r en vedtatt transaksjon utf\u00f8res. Ingen enkelt tiltak er nok alene.<\/p>

    Hjelper en tidsl\u00e5s mot styringsangrep?<\/h3>

    Bare hvis noen bruker den. En tidsl\u00e5s stopper ingenting av seg selv; den kj\u00f8per tid, og Vitalik Buterin sammenligner den med en betalingsmur, ikke en l\u00e5s. Term Finance hadde en sju dagers tidsl\u00e5s og en vetorett og tapte likevel 68 prosent av hvelvenes verdier fordi ingen reagerte i vinduet. En tidsl\u00e5s er en forutsetning for forsvar, men verdil\u00f8s uten overv\u00e5king og en h\u00e5nd p\u00e5 bremsen.<\/p>

    Kan et styringsangrep stoppes etter at avstemningen er vedtatt?<\/h3>

    Ja, i vinduet f\u00f8r utf\u00f8relse. Det er akkurat det tidsl\u00e5sen finnes for: \u00e5 gi tid til \u00e5 legge ned veto, sette protokollen p\u00e5 pause eller kutte utgangsrampen. Da Binance fanget et angrep i august 2026, koordinerte b\u00f8rsen med andre om \u00e5 stenge innskudd for tokenen slik at byttet ikke kunne selges, og fellesskapet stemte forslaget ned f\u00f8r det ble utf\u00f8rt. Uten noen som handler i vinduet, hjelper det derimot ingenting.<\/p>

    Er et styringsangrep ulovlig i Norge?<\/h3>

    Det er uavklart. MiCA og Finanstilsynet regulerer kryptotjenestetilbydere og utstedere, ikke en protokolls styringsdesign, og en DAO uten et selskap bak seg faller i stor grad utenfor. Et offer m\u00e5 st\u00f8tte seg p\u00e5 alminnelige hjemler som bedrageri og markedsmanipulasjon, med tynn rettspraksis. At Mango Markets-domfellelsene ble opphevet i 2025, viser hvor usikker den strafferettslige veien er.<\/p>

    Hva er forskjellen p\u00e5 et styringsangrep og et vanlig hack?<\/h3>

    Et vanlig hack bryter koden og utnytter en feil. Et styringsangrep bruker reglene slik de er skrevet: angriperen skaffer nok stemmevekt til \u00e5 vedta et forslag som flytter pengene, uten \u00e5 bryte en eneste kodelinje. Derfor fanger verken kodegjennomganger eller bug bounty-programmer det som regel, og forsvaret m\u00e5 ligge i styringsdesignet, ikke i selve kontrakten.<\/p>