6. september 2026 forsvant rundt 4 000 bitcoin, verdt omtrent 320 millioner dollar (n\u00e6r 3 milliarder kroner), ut av Liquid-federasjonens lommebok. \u00c5rsaken var ikke en stj\u00e5let n\u00f8kkel, men en feil i Elements, den \u00e5pne kildekoden som driver Liquid: en cache-feil lot angriperen lage L-BTC uten dekning og pegge dem ut som ekte bitcoin gjennom SideSwap. Personen bak omtalte seg selv som white-hat, ba Blockstream \u00abfix the bug first\u00bb, og sendte tilbake 3 400 bitcoin (rundt 268 millioner dollar) da nodene var lappet.<\/p>
S\u00e5 stoppet det opp. Angriperen holdt igjen 598,5 bitcoin, omtrent 47 millioner dollar eller 437 millioner kroner, og krevde ti prosent i dus\u00f8r betalt fra Blockstreams egne midler. Selskapet sa nei. I en uttalelse 11. september slo Blockstream fast<\/a> at det \u00e5 ta eiendeler uten tillatelse og nekte \u00e5 levere dem tilbake er \u00aba crime, not responsible disclosure. It is not white-hat activity. It is theft\u00bb, og la til at det ikke ville v\u00e6re med p\u00e5 \u00e5 skape presedens for at \u00e5pen kildekode utviklet for Bitcoin-fellesskapet skal tvinge utviklere til \u00e5 betale l\u00f8sepenger. Saken skal etter planen forf\u00f8lges gjennom politi, b\u00f8rser og etterforskere.<\/p> Liquid-striden fanger sp\u00f8rsm\u00e5let som ligger under hele bug bounty-\u00f8konomien i 2026: hva er egentlig en dus\u00f8rutbetaling n\u00e5r det er finneren, ikke prosjektet, som setter prisen? Og bak det et st\u00f8rre sp\u00f8rsm\u00e5l: hvis 2026 blir \u00e5ret med de h\u00f8yeste dus\u00f8rutbetalingene noensinne og samtidig det h\u00f8yeste antallet hackangrep noensinne, virker modellen da? Denne artikkelen ser p\u00e5 hva en bug bounty faktisk betaler ut, hvorfor takst og kvittering nesten aldri er samme tall, og p\u00e5 de tre strukturelle sprekkene, pluss insentivproblemet, som gj\u00f8r at rekord\u00e5r for dus\u00f8rer og rekord\u00e5r for tyveri kan skje i samme kalender\u00e5r.<\/p> Tallene for f\u00f8rste halv\u00e5r 2026 forteller to historier p\u00e5 \u00e9n gang. Immunefi, den st\u00f8rste dedikerte bug bounty-plattformen i krypto, betalte ut rundt 13,45 millioner dollar (om lag 125 millioner kroner) for 837 gyldige feilrapporter<\/a>, og passerte 140 millioner dollar i samlede utbetalinger til forskere siden starten. Plattformen har over 92 000 registrerte sikkerhetsforskere. Dette er bel\u00f8nningssiden i god form: mer penger til flere hoder enn noen gang.<\/p> Den andre historien st\u00e5r i samme rapport. I l\u00f8pet av det samme halv\u00e5ret ble det stj\u00e5let rundt 972 millioner dollar (n\u00e6r 9 milliarder kroner) fordelt p\u00e5 207 hendelser, det h\u00f8yeste antallet angrep som noen gang er registrert i en seksm\u00e5nedersperiode, selv om det samlede tapet var mindre enn halvparten av f\u00f8rste halv\u00e5r 2025. Immunefi-sjef Mitchell Amador oppsummerer det t\u00f8rt: \u00abCrypto security is adversarial, and it never stops evolving. The honest read on the numbers is simple: the industry is learning.\u00bb<\/p> Rekordutbetalinger og rekordmange angrep i samme periode er ikke en selvmotsigelse. Det er to forskjellige regnestykker. Dus\u00f8rene m\u00e5ler hvor mye bransjen betaler for \u00e5 hindre skade f\u00f8r den skjer. Tapstallene m\u00e5ler skaden som likevel skjer, og en stor del av den kommer fra angrep en dus\u00f8r aldri kunne ha stoppet.<\/p> Den enkleste m\u00e5ten \u00e5 forst\u00e5 balansen p\u00e5 er \u00e5 tenke p\u00e5 en dus\u00f8r som forsikring, ikke som et gjerde. En billig premie som fanger de feilene den kan n\u00e5, er fornuftig selv om den aldri dekker alt; faren oppst\u00e5r f\u00f8rst n\u00e5r noen forveksler premien med full dekning og tror at et h\u00f8yt tak i seg selv betyr at protokollen er trygg.<\/p> For \u00e5 forst\u00e5 gapet m\u00e5 man f\u00f8rst forst\u00e5 at annonsert tak og faktisk kvittering nesten aldri er det samme bel\u00f8pet, og deretter hvorfor de dyreste angrepene i 2026 ligger utenfor rekkevidden til en dus\u00f8r uansett hvor stort taket er. Vi tar det i den rekkef\u00f8lgen.<\/p> En bug bounty er et st\u00e5ende tilbud: finn en s\u00e5rbarhet i koden v\u00e5r, rapporter den ansvarlig, s\u00e5 betaler vi deg. Prisen skal i teorien gj\u00f8re det mer l\u00f8nnsomt \u00e5 levere feilen til prosjektet enn \u00e5 selge den p\u00e5 svarteb\u00f8rsen eller utnytte den selv. Det er noe annet enn en revisjon (audit), der et firma betales for \u00e5 lete gjennom koden i en avgrenset periode; en dus\u00f8r er kontinuerlig og betaler bare for treff. De to lagene utfyller hverandre, og ingen av dem er en garanti: et prosjekt kan best\u00e5 en plettfri revisjon og likevel bli t\u00f8mt, noe lesere som har fulgt hvordan et revidert stempel ikke alltid er til \u00e5 stole p\u00e5<\/a> allerede vet.<\/p> I praksis sorteres rapporter etter alvorlighetsgrad, fra lav til kritisk, og det er nesten alltid de kritiske funnene som utl\u00f8ser de store bel\u00f8pene. En triager hos plattformen avgj\u00f8r b\u00e5de om rapporten er ekte og hvilken kategori den havner i, og nettopp den vurderingen er der de fleste utbetalingstvistene oppst\u00e5r: en forsker mener funnet er kritisk, prosjektet mener det er h\u00f8yt, og forskjellen kan v\u00e6re mange hundre tusen kroner. Denne mekanikken blir viktig igjen n\u00e5r vi ser p\u00e5 hvordan AI-generert st\u00f8y overbelaster nettopp triage-leddet.<\/p> Reward-siden har minst fire akt\u00f8rer med ulike interesser. Prosjektet vil ha billig sikkerhet og forutsigbarhet. Plattformen (Immunefi, Sherlock, Cantina, HackenProof) st\u00e5r for triage, alvorlighetsgrad og utbetaling mot en avgift. Forskeren vil ha betalt for arbeidet og risikoen. Og angriperen dukker noen ganger opp som en femte, uinvitert part som utnevner seg selv til dus\u00f8rmottaker, slik vi s\u00e5 p\u00e5 Liquid.<\/p> Det er ogs\u00e5 nyttig \u00e5 skille mellom to typer dus\u00f8r. Den forebyggende dus\u00f8ren betaler for en feil som enn\u00e5 ikke er utnyttet. Recovery-dus\u00f8ren er derimot et tilbud etter at pengene allerede er ute: returner det stj\u00e5lne, behold en andel, slipp rettsforf\u00f8lgning. Grensen mellom en recovery-dus\u00f8r og ren utpressing er akkurat s\u00e5 tynn som Liquid-saken antyder, og vi kommer tilbake til den.<\/p> Det mest misforst\u00e5tte tallet i bransjen er det annonserte taket. Da stablecoin-protokollen Usual la ut en bug bounty p\u00e5 16 millioner dollar via Sherlock, ble den omtalt som den st\u00f8rste i teknologihistorien<\/a>. Uniswap v4 ligger p\u00e5 15,5 millioner, LayerZero p\u00e5 15, Wormhole og Sky (MakerDAO) p\u00e5 10 hver. Til sammen overstiger det annonserte markedet 162 millioner dollar. Det ser ut som en formue som venter p\u00e5 \u00e5 bli hentet.<\/p>Paradokset i tall<\/h2>
Hva en bug bounty faktisk er, og ikke er<\/h2>
Taket mot kvitteringen<\/h2>