{"id":355,"date":"2026-09-06T05:08:53","date_gmt":"2026-09-06T05:08:53","guid":{"rendered":"https:\/\/hoge.gg\/no\/audit-bug-bounty-forsikring-hvem-betaler-hack-2026\/"},"modified":"2026-09-06T05:08:53","modified_gmt":"2026-09-06T05:08:53","slug":"audit-bug-bounty-forsikring-hvem-betaler-hack-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/audit-bug-bounty-forsikring-hvem-betaler-hack-2026\/","title":{"rendered":"Audit, bug bounty og forsikring: hvem betaler etter hacket?"},"content":{"rendered":"

F\u00f8rste halv\u00e5r av 2026 forsvant rundt 972 millioner dollar, i overkant av 9 milliarder kroner, ut av kryptoprosjekter fordelt p\u00e5 207 separate hendelser. Det er det h\u00f8yeste antallet angrep som noen gang er registrert i l\u00f8pet av et halv\u00e5r, selv om det samlede tapet for f\u00f8rste gang p\u00e5 lenge falt under \u00e9n milliard dollar, if\u00f8lge Immunefis halv\u00e5rsrapport<\/a>. Ved \u00e5ttem\u00e5nedersmerket hadde kompromitterte private n\u00f8kler for f\u00f8rste gang g\u00e5tt forbi rene kodefeil som den angrepsvektoren som koster mest, skriver crypto.news<\/a>. Og mens tapene hopet seg opp, var under to prosent av alle verdiene i DeFi dekket av noen erstatningsordning, if\u00f8lge CoinDesk<\/a>.<\/p>

Det etterlater et ubehagelig sp\u00f8rsm\u00e5l som nesten ingen stiller f\u00f8r det er for sent: n\u00e5r revisjonen er best\u00e5tt, koden er stemplet som trygg og lommeboken din likevel t\u00f8mmes p\u00e5 tolv sekunder, hvem betaler deg tilbake? Tre ulike bransjer selger noe som ligner en garanti, revisjonsselskapet, bug bounty-plattformen og cover-markedet. Denne gjennomgangen rangerer dem ikke etter hvor kjent firmaet er eller hvor forseggjort rapporten ser ut, men etter ett eneste m\u00e5l: hvor mange kroner som faktisk n\u00e5r frem til offeret etter et angrep. Konklusjonen er ikke betryggende. To av de tre lagene var aldri konstruert for \u00e5 betale deg i det hele tatt.<\/p>

De tre lagene, og hva hvert av dem faktisk leverer<\/h2>

Sikkerhet i DeFi selges som et stablet forsvar, men lagene gj\u00f8r helt forskjellige jobber, og de fleste brukere oppdager forskjellen f\u00f8rst n\u00e5r pengene er borte. Revisjonen er en inspeksjon: et team leser koden i noen uker og leverer en rapport. Bug bounty-programmet er en dus\u00f8r: en ekstern forsker som finner en feil f\u00f8r angriperen, f\u00e5r betalt for \u00e5 melde fra. Cover, det bransjen bevisst unng\u00e5r \u00e5 kalle forsikring, er en erstatningsordning: en pott med kapital som betaler ut til den som led tapet, hvis tapet faller innenfor vilk\u00e5rene.<\/p>

Legg merke til hvem hvert lag betaler. Revisoren betaler ingen; den selger en tjeneste og fraskriver seg ansvaret for utfallet. Dus\u00f8ren betaler forskeren, ikke offeret, og bare hvis noen rekker \u00e5 finne feilen i tide. Cover-potten er den eneste som er innrettet mot \u00e5 betale deg, kunden som ble drenert. Tabellen under oppsummerer forskjellen.<\/p>

Lag<\/th>Hva du kj\u00f8per<\/th>Hvem som f\u00e5r betalt<\/th>Utl\u00f8ser utbetaling<\/th>Realisert utbetaling til offeret<\/th><\/tr><\/thead>
Revisjon (audit)<\/td>En rapport p\u00e5 et gitt tidspunkt<\/td>Ingen (tjeneste, ikke garanti)<\/td>Ingenting; ansvar er fraskrevet<\/td>0 kroner<\/td><\/tr>
Bug bounty<\/td>L\u00f8pende jakt p\u00e5 feil<\/td>Forskeren som melder f\u00f8rst<\/td>En gyldig feil meldt f\u00f8r angrep<\/td>0 kroner (dus\u00f8r g\u00e5r til forsker)<\/td><\/tr>
On-chain cover<\/td>En erstatningspott<\/td>Medlemmet eller kunden som led tapet<\/td>Et dekket tap innenfor vilk\u00e5r<\/td>Utbetaling (om potten holder)<\/td><\/tr><\/tbody><\/table><\/figure>

Lag 1: revisjonsselskapet leverer en rapport, ikke en refusjon<\/h2>

Revisjonsselskapene er navnene alle kjenner: Trail of Bits, OpenZeppelin, CertiK, Halborn, Certora, Zellic. En seri\u00f8s revisjon er verdt pengene, den fanger en stor andel av de vanlige feilene f\u00f8r de n\u00e5r produksjon. Men den er en \u00f8yeblikksinspeksjon, ikke en forsikring, og kontraktene sier det rett ut. Standardavtalen leveres som den er, kunden holder revisoren skadesl\u00f8s, og ethvert erstatningsansvar er i praksis begrenset oppad til det honoraret som ble betalt. Du kj\u00f8per en gjennomlesning, ikke en garanti for at pengene dine er trygge.<\/p>

Tallene viser hvor stort dette gapet er. Sikkerhetshuset Ack3 sporet 135 angrep i f\u00f8rste halv\u00e5r 2026 med et samlet tap p\u00e5 939,86 millioner dollar. Av pengene som ble stj\u00e5let fra prosjekter som faktisk var revidert, forsvant 94,4 prosent gjennom kode eller infrastruktur som revisoren aldri hadde sett p\u00e5, if\u00f8lge Ack3s rapport<\/a>. Sytten av de tjue n\u00e6rmeste revisjonene ved rammede protokoller var seks m\u00e5neder gamle eller eldre da angrepet kom. Revisjonen dekket, med andre ord, sjelden den delen av systemet som faktisk brast.<\/p>

Suhail Kakar, utviklingssjef i TAC Blockchain, sa det uten omsv\u00f8p etter et av \u00e5rets st\u00f8rste angrep: \u00abrevidert av X betyr nesten ingenting. Kode er vanskelig, DeFi er vanskeligere\u00bb, uttalte han til Cointelegraph<\/a>. Poenget er ikke at revisjon er verdil\u00f8st, men at et revisjonsstempel ikke er en kvittering du kan l\u00f8se inn.<\/p>

Hvorfor \u00abrevidert av X\u00bb ikke betyr \u00abdekket av X\u00bb<\/h2>

Den vanligste misforst\u00e5elsen er at en revidert protokoll er en trygg protokoll. Fellen ligger i omfanget. En revisjon dekker bare den koden som fantes den dagen den kj\u00f8rte, i den konfigurasjonen som ble avtalt. Da Kelp DAO mistet rundt 291 millioner dollar i april 2026, konkluderte OpenZeppelins obduksjon med at \u00abkontraktene oppf\u00f8rte seg n\u00f8yaktig slik de var skrevet\u00bb, og listet opp<\/a> hva en revisjon ikke unders\u00f8ker: konfigurasjonen av tredjepartsintegrasjoner, enkeltpunkter for svikt i infrastrukturen og oppf\u00f8rselen til avhengigheter utenfor kjeden. Angrepet gikk gjennom en enkelt kompromittert verifikator, ikke gjennom en kodefeil.<\/p>

Balancer er det andre l\u00e6restykket: protokollen var revidert elleve ganger av fire forskjellige firmaer og ble likevel t\u00f8mt for over 100 millioner dollar i november 2025 gjennom en avrundingsfeil som hadde ligget i koden siden 2021. M\u00f8nsteret gjentar seg fordi pengene har flyttet seg bort fra koden. Mange av de dyreste bruddene skjer n\u00e5 p\u00e5 det menneskelige laget, ofte p\u00e5 signeringsskjermen der en tilsynelatende harml\u00f8s transaksjon skjuler noe annet, et tema vi gikk grundig inn i da vi s\u00e5 p\u00e5 kampen om signeringsskjermen<\/a>. Ronghui Gu, medgrunnlegger og sjef i CertiK, oppsummerte skiftet slik: \u00abangriperne f\u00e5r mer igjen for \u00e5 g\u00e5 etter n\u00f8kkelh\u00e5ndtering, multisig-styring og driftsinfrastruktur enn for \u00e5 lete etter feil i koden\u00bb, sa han til Forbes<\/a>.<\/p>

CertiKs egen halv\u00e5rsrapport bekrefter formen: kompromitterte lommeb\u00f8ker kostet mer enn 444 millioner dollar fordelt p\u00e5 33 hendelser, mens 204 rene kodefeil til sammen sto for rundt 152 millioner dollar, den vanligste, men billigste kategorien, if\u00f8lge Hack3d-rapporten<\/a>. Revisjonen er god p\u00e5 det vanligste angrepet, ikke p\u00e5 det dyreste. Det gj\u00f8r et revisjonsstempel til et svakt signal om hvorvidt du f\u00e5r igjen pengene om noe g\u00e5r galt.<\/p>

Lag 2: bug bounty betaler varsleren, ikke offeret<\/h2>

Det andre laget snur logikken. I stedet for \u00e5 lese koden p\u00e5 forh\u00e5nd, betaler bug bounty-programmet en h\u00e6r av eksterne forskere for \u00e5 lete etter feil kontinuerlig, og bel\u00f8nner den som melder f\u00f8rst. Immunefi er den st\u00f8rste plattformen. I f\u00f8rste halv\u00e5r 2026 betalte den ut rundt 13,45 millioner dollar (i overkant av 125 millioner kroner) for 837 gyldige feil, og passerte 140 millioner dollar i samlede utbetalinger til forskere i juni, if\u00f8lge The Block<\/a>. Plattformen oppgir over 92 000 registrerte forskere, beskytter mer enn 180 milliarder dollar i verdier p\u00e5 tvers av over 650 protokoller, og hevder \u00e5 ha forhindret over 25 milliarder dollar i tap.<\/p>

Mitchell Amador, grunnlegger og sjef i Immunefi, leser tallene optimistisk: \u00abkryptosikkerhet er en kamp mot en motstander, og den slutter aldri \u00e5 utvikle seg. Den \u00e6rlige lesningen av tallene er enkel: bransjen l\u00e6rer\u00bb, sier han til The Block<\/a>. Men legg merke til hvem som f\u00e5r pengene. En dus\u00f8r betaler forskeren som fanget feilen f\u00f8r angriperen, ikke brukeren som ble t\u00f8mt etterp\u00e5. Det er forebygging, ikke erstatning. Rekker angriperen f\u00f8rst, finnes det ingen dus\u00f8r \u00e5 hente for offeret. Den st\u00f8rste enkeltutbetalingen i Immunefis historie, 10 millioner dollar til forskeren satya0x for en feil i Wormhole i 2022, gikk nettopp til en som stoppet et tap, ikke til noen som led det.<\/p>

Konkurranserevisjon og oppkj\u00f8psb\u00f8lgen: hvor prisen p\u00e5 en advarsel settes<\/h2>

Mellom den faste revisjonen og den \u00e5pne dus\u00f8ren ligger konkurranserevisjonen, der hundrevis av forskere kappes om en premiepott for en avgrenset kodebase. Modellen konsoliderte seg kraftig i 2026. Code4rena, som var med p\u00e5 \u00e5 finne opp formatet, annonserte nedleggelse i mai 2026, og Immunefi tok over kundene, forskerne og regelverket, meldte The Block<\/a>. Cantina, den offentlige armen til Spearbit, hadde allerede sl\u00e5tt seg sammen \u00e5ret f\u00f8r. Uansett merkelapp betaler ogs\u00e5 dette laget for en advarsel som kommer f\u00f8r angrepet. Det gj\u00f8r portef\u00f8ljen av forebyggende tjenester bredere, men det flytter ikke risikoen for tap over p\u00e5 noen andre enn deg selv.<\/p>

Lag 3: on-chain cover er det eneste laget som er bygget for \u00e5 erstatte deg<\/h2>

Det tredje laget er det eneste som betaler offeret. On-chain cover, det bransjen bevisst kaller \u00abcover\u00bb og ikke \u00abforsikring\u00bb, er en pott med kapital som medlemmer bidrar til, og som betaler ut til den som led et dekket tap. Nexus Mutual dominerer kategorien fullstendig, med rundt 85 prosent av all on-chain-dekning og en kapitalpott p\u00e5 81,56 millioner dollar (i overkant av 750 millioner kroner), if\u00f8lge The Token Dispatch<\/a>. Siden 2019 har fellesskapet tegnet cover for mer enn 7 milliarder dollar (rundt 65 milliarder kroner) til sammen og betalt ut alle gyldige krav, opplyser Nexus Mutual selv<\/a>.<\/p>

Det h\u00f8res solid ut, og innenfor sine grenser er det det. Nexus har betalt reelle krav gjennom flere av ti\u00e5rets st\u00f8rste hendelser, fra TribeDAO til Euler til kundekrav etter FTX-kollapsen. Tabellen under viser noen av de bekreftede utbetalingene.<\/p>

Hendelse<\/th>Type cover<\/th>Utbetalt<\/th><\/tr><\/thead>
TribeDAO \/ Rari Capital<\/td>Protokolldekning<\/td>5,08 mill. USD<\/td><\/tr>
FTX<\/td>Depotdekning<\/td>4,9 mill. USD<\/td><\/tr>
Euler Protocol<\/td>Protokolldekning<\/td>2,39 mill. USD (+ 1 mill. via Sherlock Excess)<\/td><\/tr>
Yearn Finance<\/td>Protokolldekning<\/td>2,32 mill. USD<\/td><\/tr><\/tbody><\/table><\/figure>

Men se p\u00e5 summen. Over sju \u00e5r har Nexus betalt ut i overkant av 18 millioner dollar (rundt 170 millioner kroner) i krav til sammen, if\u00f8lge samme oversikt<\/a>. Det er mindre enn hva ett eneste middels stort angrep koster i 2026. Den aktive dekningen fordeler seg i dag p\u00e5 rundt 26,6 millioner dollar i enkeltprotokolldekning, 16 millioner i generell kryptodekning og mindre poster for fond og likvidasjon, oppgir Nexus<\/a>. Laget som faktisk er bygget for \u00e5 betale deg, er ogs\u00e5 det desidert minste.<\/p>

\u00abCover\u00bb, ikke \u00abforsikring\u00bb: hvorfor ordvalget betyr noe for norske brukere<\/h2>

Ordet \u00abcover\u00bb er ikke markedsf\u00f8ringspynt, det er en juridisk presisering. Nexus Mutual er en diskresjon\u00e6r gjensidig ordning: medlemmene, ikke et regulert forsikringsselskap, vurderer og stemmer over krav. Det gir ingen kontraktsfestet rett til utbetaling slik en forsikringspolise gj\u00f8r. Under norsk rett er forsikring en konsesjonspliktig virksomhet under tilsyn av Finanstilsynet<\/a>, med krav til kapital, klagerett og, for mange skadeforsikringer, en garantiordning i bunn. En on-chain cover-pott har ingen av delene. Faller den, eller stemmer medlemmene ned kravet ditt, finnes det ingen tilsynsmyndighet \u00e5 klage til og ingen garantifond som tr\u00e5r inn.<\/p>

Regelverket som ellers rammer inn kryptobransjen, hjelper ikke her. MiCA gjelder i Norge gjennom E\u00d8S, og kryptoeiendelsloven tr\u00e5dte i kraft 1. juli 2025 med Finanstilsynet som tilsynsmyndighet for tilbydere av kryptotjenester. Men MiCA regulerer tjenestetilbydere og utstedere, ikke smartkontraktkoden, og fullt desentralisert DeFi faller utenfor helt. DORA, som har gjeldt for kryptoforetak siden 17. januar 2025, stiller krav til driftsstabilitet og IT-sikkerhet hos den sentrale tilbyderen, men n\u00e5r ikke inn i koden og p\u00e5legger ingen \u00e5 erstatte et tap. Verken tilsyn eller lovverk st\u00e5r bak on-chain cover; det gj\u00f8r bare kapitalpotten selv.<\/p>

Markedet som krymper: da Sherlock falt fra 60 millioner til en halv million dollar<\/h2>

Det mest urovekkende med erstatningslaget er ikke at det er lite, men at det skrumper. Sherlocks dekningspott falt fra rundt 60 millioner dollar til 505 000 dollar p\u00e5 ett \u00e5r. InsurAce, som p\u00e5 topp hadde 150 millioner dollar, st\u00e5r igjen med rundt 132 000. Unslashed Finance kj\u00f8rer p\u00e5 kode som ikke er oppdatert siden slutten av 2024, if\u00f8lge The Token Dispatch<\/a>. Til sammen er under to prosent av DeFis verdier dekket, skriver CoinDesk<\/a>.<\/p>

Hugh Karp, som grunnla Nexus Mutual, kaller mangelen p\u00e5 dekning \u00aben av de st\u00f8rste barrierene for reell DeFi-bruk\u00bb, og har beskrevet det bransjen klarer \u00e5 betale ut som \u00aben br\u00f8kdel av det markedet trenger\u00bb, overfor CoinDesk<\/a>. Problemet er ikke at ingen har bygget produktet. Problemet er at nesten ingen kj\u00f8per det.<\/p>

Regnestykket som dreper ettersp\u00f8rselen: avkastning mot premie<\/h2>

Grunnen er kald matematikk. En cover-premie koster typisk et par prosent av bel\u00f8pet du dekker per \u00e5r. Men avkastningen i DeFi har falt, og n\u00e5r premien spiser store deler av rentene, forsvinner hele poenget med \u00e5 ta risikoen. Tabellen under, basert p\u00e5 tall fra The Token Dispatch, viser hvorfor.<\/p>

Protokoll<\/th>Avkastning (APY)<\/th>Cover-premie<\/th>Netto etter dekning<\/th><\/tr><\/thead>
Aave V3 (USDC)<\/td>3,14 %<\/td>1,5-2,5 %<\/td>0,6-1,6 %<\/td><\/tr>
Maple Finance<\/td>4,77-4,90 %<\/td>3-6 %<\/td>-1,1 % til +1,9 %<\/td><\/tr>
Sky (tidl. MakerDAO)<\/td>3,6 %<\/td>0,11 %<\/td>2,8-3,5 %<\/td><\/tr><\/tbody><\/table><\/figure>

For en Maple-posisjon kan full dekning gj\u00f8re nettoavkastningen negativ: du betaler for privilegiet av \u00e5 l\u00e5ne ut. Bare der premien er uvanlig lav, som hos Sky, overlever regnestykket. Resultatet er at rasjonelle brukere jager avkastning og dropper beskyttelse, akkurat slik CoinDesks overskrift beskrev det. Erstatningslaget krymper ikke fordi det svikter n\u00e5r det testes, men fordi markedet har priset det ut.<\/p>

N\u00e5r ingen av lagene betaler: kjeden som ble stoppet<\/h2>

Hva skjer da n\u00e5r alle tre lagene svikter samtidig? Se p\u00e5 Tectonic. Den 30. august 2026 ble l\u00e5ngiverprotokollen p\u00e5 Cronos t\u00f8mt for rundt 75 millioner dollar (i overkant av 700 millioner kroner) etter at en angriper pumpet prisen p\u00e5 et tynt omsatt token og l\u00e5nte mot den oppbl\u00e5ste verdien. Revisjonen stoppet det ikke, ingen dus\u00f8r ble utl\u00f8st, og det fantes ingen cover. Det eneste som hentet penger tilbake, var et ekstraordin\u00e6rt grep: Cronos-validatorene stanset hele kjeden og rullet den tilbake, noe som reverserte rundt 68,7 millioner dollar som fortsatt l\u00e5 p\u00e5 Cronos, meldte CoinDesk<\/a>. Men de rundt 6 millioner dollar som allerede var brodd over til Ethereum, var tapt for godt.<\/p>

En kjede-tilbakerulling er ikke et sikkerhetsnett du kan regne med. Den krever et f\u00e5tall validatorer villige til \u00e5 bryte med prinsippet om at kjeden er uforanderlig, og den fungerer bare s\u00e5 lenge pengene ikke har rukket \u00e5 forlate kjeden. Den andre m\u00e5ten ofre av og til gj\u00f8res hele p\u00e5, er at en sentralisert akt\u00f8r dekker tapet av egen lomme, slik Bybit gjorde med frisk kapital etter tyveriet p\u00e5 1,5 milliarder dollar i februar 2025. Men det er en forretningsbeslutning fra en b\u00f8rs med balanse til \u00e5 b\u00e6re det, ikke en rettighet, og nettopp den typen mellomledd er desentralisert DeFi bygget for \u00e5 fjerne, slik vi skrev om da b\u00f8rsen ble lommeboken din<\/a>. Sp\u00f8rsm\u00e5let om hvem som til slutt sitter igjen med regningen, tok vi ogs\u00e5 opp i gjennomgangen av oppgj\u00f8ret etter et styringsangrep<\/a>.<\/p>

Sporing er ikke tilbakebetaling: sju prosent kommer hjem<\/h2>

Etter angrepet kommer etterforskningen, og her er kryptobransjen faktisk blitt god. Adresser klynges, midler f\u00f8lges gjennom miksere og broer, og gjerningsmenn navngis ofte innen timer. Men \u00e5 spore penger er ikke det samme som \u00e5 f\u00e5 dem tilbake. I f\u00f8rste halv\u00e5r 2026 endte bare 16 av 224 hendelser med at noe ble gjenvunnet eller frosset, 7,1 prosent, og verdien som kom tilbake var 143,38 millioner dollar av 1,32 milliarder, alts\u00e5 under elleve prosent, if\u00f8lge Global Ledgers analyse<\/a>. Tyvene har typisk et vindu p\u00e5 rundt 45 dager til \u00e5 vaske midlene gjennom desentraliserte b\u00f8rser, miksere og broer f\u00f8r sporet blir kaldt. For offeret betyr det at selv en perfekt attribuering som regel ender som en rapport, ikke en refusjon, det samme m\u00f8nsteret som p\u00e5 revisjonslaget.<\/p>

Bug Bounty Cover og hybridene: n\u00e5r lagene smelter sammen<\/h2>

Bransjen har begynt \u00e5 reparere gapet ved \u00e5 sy lagene sammen. Sherlock selger en pakke der en revisjon leveres sammen med inntil \u00e9n million dollar i dekning og et bug bounty-program opp\u00e5. Nexus Mutual har lansert Bug Bounty Cover i samarbeid med Immunefi, Cantina og Sherlock: protokollen betaler bare 20 prosent av en kritisk dus\u00f8r selv, og potten dekker resten opp til grensen, opplyser Nexus<\/a>. Presedensen finnes: Euler-tapet i 2023 utl\u00f8ste \u00e9n million dollar i Sherlock Excess Cover, betalt gjennom nettopp en slik hybrid.<\/p>

Nexus har ogs\u00e5 utvidet kapasiteten ved \u00e5 integrere restaking-spesialisten Symbiotic mot slutten av 2025, if\u00f8lge CoinDesk<\/a>, og lansert Bitcoin-denominert dekning slik at BTC-eksponering kan beskyttes uten \u00e5 ta valutarisiko. Retningen er riktig, men skalaen forblir liten. S\u00e5 lenge avkastningsmatematikken taler mot \u00e5 kj\u00f8pe, kommer hybridene til \u00e5 beskytte protokollteam og profesjonelle akt\u00f8rer mer enn vanlige brukere.<\/p>

Slik vurderer du hvem som faktisk betaler: en sjekkliste for 2026<\/h2>

Hvordan bruker du dette som innskyter? Ikke les stempelet, les vilk\u00e5rene. En rask sjekkliste for 2026:<\/p>