{"id":469,"date":"2026-09-26T05:10:27","date_gmt":"2026-09-26T05:10:27","guid":{"rendered":"https:\/\/hoge.gg\/no\/certik-bors-2026-hvem-betaler-revisoren\/"},"modified":"2026-09-26T05:10:27","modified_gmt":"2026-09-26T05:10:27","slug":"certik-bors-2026-hvem-betaler-revisoren","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/certik-bors-2026-hvem-betaler-revisoren\/","title":{"rendered":"CertiK vil p\u00e5 b\u00f8rs: hvem betaler for sikkerhetsstempelet?"},"content":{"rendered":"

CertiK er navnet som st\u00e5r stemplet p\u00e5 koden bak en stor del av kryptoverdenens verdier. Firmaet reviderer smartkontrakter, overv\u00e5ker protokoller i sanntid og gir prosjekter en tallkarakter som investorer leser som en slags kvalitetsgaranti. N\u00e5 vil selskapet gj\u00f8re noe ingen konkurrent har gjort f\u00f8r: selge aksjer i seg selv til allmennheten. Administrerende direkt\u00f8r Ronghui Gu har snakket \u00e5pent om ambisjonen om \u00e5 bli det f\u00f8rste b\u00f8rsnoterte Web3-sikkerhetsselskapet.<\/p>

Det reiser et sp\u00f8rsm\u00e5l som er st\u00f8rre enn ett selskap. Med Bitcoin rundt 798 000 kroner (CoinGecko<\/a>) og hundrevis av milliarder i verdi l\u00e5st i smartkontrakter, har \u00abrevidert av CertiK\u00bb blitt et av bransjens mektigste ord. Men hva er stempelet egentlig verdt, n\u00e5r det er den reviderte kunden som velger og betaler revisoren, og n\u00e5r ingen offentlig tilsynsmyndighet st\u00e5r bak karakteren? En b\u00f8rsnotering gj\u00f8r ikke det sp\u00f8rsm\u00e5let mindre. Den gj\u00f8r det skarpere.<\/p>

Fra et universitetslaboratorium til bransjens stempel<\/h2>

CertiK ble grunnlagt i 2018 i New York av to akademikere: Ronghui Gu, i dag professor ved Columbia University, og Zhong Shao, leder for datavitenskap ved Yale. Utgangspunktet var ikke krypto i det hele tatt. I 2016 bygde de to CertiKOS, den f\u00f8rste fullstendig formelt verifiserte flerkjerne-operativsystemkjernen, et akademisk gjennombrudd der man matematisk beviser at koden oppf\u00f8rer seg som spesifisert. Navnet CertiK er en sammentrekning av \u00abcertified kernel\u00bb. Da de rettet den samme metoden mot blokkjedekode, vokste et av bransjens st\u00f8rste sikkerhetsselskaper fram.<\/p>

I dag oppgir CertiK at selskapet har over 5 000 kunder, har revidert rundt 20 000 prosjekter og oppdaget mer enn 115 000 s\u00e5rbarheter (certik.com<\/a>). Overv\u00e5kingsplattformen Skynet f\u00f8lger prosjekter med en samlet markedsverdi p\u00e5 n\u00e6r 500 milliarder dollar, i overkant av 4 700 milliarder kroner. Det er tall som forklarer hvorfor et CertiK-stempel har f\u00e5tt s\u00e5 tung vekt: f\u00e5 andre akt\u00f8rer opererer i samme skala, og for mange prosjekter er en revisjon fra nettopp CertiK blitt en forventning fra investorer og b\u00f8rser f\u00f8r notering.<\/p>

Den akademiske bakgrunnen er verdt \u00e5 dvele ved, for den forklarer b\u00e5de styrken og begrensningen ved CertiKs l\u00f8fte. Formell verifikasjon var lenge forbeholdt kritisk infrastruktur som flykontroll og chipdesign, der en enkelt feil kan koste liv. \u00c5 bringe den samme strengheten til smartkontrakter h\u00f8rtes ut som et kvantesprang: et matematisk bevis for at pengene er trygge. Problemet er at kode sjelden lever isolert. En smartkontrakt snakker med orakler, broer, styringssystemer og mennesker, og det er i skj\u00f8tene mellom delene de fleste tapene oppst\u00e5r.<\/p>

N\u00f8kkeltall<\/th>Verdi<\/th><\/tr><\/thead>
Grunnlagt<\/td>2018, New York<\/td><\/tr>
Grunnleggere<\/td>Ronghui Gu (Columbia) og Zhong Shao (Yale)<\/td><\/tr>
Kunder<\/td>over 5 000<\/td><\/tr>
Reviderte prosjekter<\/td>rundt 20 000<\/td><\/tr>
Oppdagede s\u00e5rbarheter<\/td>over 115 000<\/td><\/tr>
Overv\u00e5ket markedsverdi (Skynet)<\/td>n\u00e6r 500 mrd. USD (~4 700 mrd. kr)<\/td><\/tr>
Hentet kapital<\/td>over 240 mill. USD (~2,3 mrd. kr)<\/td><\/tr><\/tbody><\/table>
Kilder: CertiK, CoinDesk. Omregnet med en kurs p\u00e5 rundt 9,48 kroner per dollar.<\/figcaption><\/figure>

B\u00f8rsdr\u00f8mmen: det f\u00f8rste b\u00f8rsnoterte sikkerhetsfirmaet i Web3<\/h2>

P\u00e5 World Economic Forum i Davos i januar 2026 l\u00f8ftet Gu ambisjonen om at CertiK skal bli det f\u00f8rste b\u00f8rsnoterte Web3-sikkerhetsselskapet. Overfor CoinDesk<\/a> nyanserte han likevel tidslinjen kraftig. \u00abJeg sier uttrykkelig at vi ikke har en konkret plan\u00bb, sa han, samtidig som han innr\u00f8mmet at interessen er der: \u00abVi har allerede mottatt flere henvendelser.\u00bb<\/p>

\u00d8konomien bak antyder at en notering ikke er urealistisk. CertiK har hentet over 240 millioner dollar, rundt 2,3 milliarder kroner, og Gu sier at selskapet har mer penger p\u00e5 bok enn det har hentet, et sjeldent l\u00f8nnsomhetssignal i en bransje der de fleste brenner kapital. Emisjonsrunden i 2022 verdsatte selskapet til rundt 2 milliarder dollar, omtrent 19 milliarder kroner. Bak eiertabellen st\u00e5r tunge navn: Binance var den f\u00f8rste og st\u00f8rste investoren, og listen omfatter blant andre Coinbase, mens CoinDesk ogs\u00e5 nevner Sequoia og Goldman Sachs. Selv verdsettelsen er uklar, medgir Gu: \u00abFolk vet fortsatt ikke hvordan man skal verdsette et Web3-innf\u00f8dt selskap.\u00bb<\/p>

En krypton\u00e6r akt\u00f8r p\u00e5 vei mot offentlige markeder er ikke unikt lenger. Kryptob\u00f8rsen Coinbase gikk p\u00e5 b\u00f8rs allerede i 2021, og alt fra handelsplasser til NFT-merkevarer fl\u00f8rter n\u00e5 med notering; les gjerne v\u00e5r analyse av Pudgy p\u00e5 Wall Street og PENGU-ETF-dr\u00f8mmen<\/a>. Men CertiK er et spesialtilfelle. Selskapet selger ikke en tjeneste du kan m\u00e5le i volum eller avkastning; det selger tillit. Og tillit er en vare der insentivene fortjener et n\u00e6rmere ettersyn.<\/p>

Sv\u00e6rt f\u00e5 rene sikkerhetsselskaper i kryptobransjen er b\u00f8rsnoterte, og det er ikke tilfeldig. En notering krever \u00e5penhet om inntekter, kundeforhold og risiko, akkurat de tingene et selskap som lever av diskresjon helst holder tett til brystet. For CertiK ville et prospekt m\u00e5tte forklare hvor stor andel av inntektene som kommer fra de st\u00f8rste kundene, hvordan honorarene settes, og hvor ofte reviderte prosjekter senere blir hacket. Nettopp den \u00e5penheten er b\u00e5de det mest interessante og det mest krevende ved planen.<\/p>

Hva CertiK selger, og hvem som betaler<\/h2>

CertiKs produktkatalog er bredere enn ordet \u00abrevisjon\u00bb antyder. Kjernen er smartkontraktrevisjon, der manuelle granskere kombineres med formell verifikasjon og etter hvert KI-verkt\u00f8y. Rundt dette ligger Skynet, som overv\u00e5ker protokoller kontinuerlig og gir en Skynet-score; penetrasjonstesting; drift av bug bounty-programmer; og SkyInsights, en tjeneste for KYC og antihvitvasking. Skynet-scoren er blitt et tall mange nybegynnere sjekker f\u00f8rst, en enkel indikator fra null til hundre som fors\u00f8ker \u00e5 oppsummere hvor trygt et prosjekt er. Til sammen tegner det bildet av en sikkerhetsleverand\u00f8r som f\u00f8lger et prosjekt fra kodegjennomgang til l\u00f8pende overv\u00e5king.<\/p>

Et poeng som ofte forsvinner, er at kunden styrer b\u00e5de omfanget og offentliggj\u00f8ringen. Prosjektet bestemmer hvilke kontrakter som skal granskes, hvor mye tid granskerne f\u00e5r, og om sluttrapporten i det hele tatt skal publiseres. En revisjon av en begrenset del av koden kan markedsf\u00f8res som om hele protokollen er dekket, og funn som ikke ble rettet, forsvinner lett i finstilt ordbruk. Stempelet forteller sjelden leseren hvor grensene for granskingen egentlig gikk.<\/p>

Men forretningsmodellen har en innebygd spenning. Det er prosjektet som skal revideres, som velger revisoren, betaler regningen og bestemmer om rapporten skal offentliggj\u00f8res. Revisoren tjener p\u00e5 gjentatte oppdrag, og en kunde som f\u00e5r en knusende rapport, kommer sjelden tilbake. Dette kalles issuer-pays-modellen, alts\u00e5 at utstederen betaler. Den er ikke unik for krypto. Den er den samme modellen som en gang bidro til \u00e5 f\u00f8re verdens\u00f8konomien ut i en av dens verste kriser.<\/p>

Ratingbyr\u00e5enes speil: issuer-pays og 2008<\/h2>

Sammenligningen som ligger n\u00e6rmest, er kredittvurderingsbyr\u00e5ene. Moody’s, S&P og Fitch ga toppkarakterer til gjeldspapirer, og det var utstederne av de samme papirene som betalte for karakteren. En utsteder som ikke likte et utkast, kunne i praksis shoppe rundt etter et byr\u00e5 som ga en bedre karakter, et fenomen kjent som \u00abratings shopping\u00bb. Da finanskrisen traff i 2008, viste det seg at en mengde subprime-baserte produkter med AAA-stempel var alt annet enn trygge. Byr\u00e5ene hadde et \u00f8konomisk motiv for \u00e5 holde de betalende kundene forn\u00f8yde, og karakterene fulgte etter.<\/p>

Parallellen til smartkontraktrevisjon er ubehagelig presis. Et prosjekt bestiller en revisjon, f\u00e5r et stempel og bruker stempelet i markedsf\u00f8ringen mot investorer og brukere. Ordet \u00abrevidert\u00bb gj\u00f8r samme jobb som en h\u00f8y kredittkarakter gjorde f\u00f8r 2008: det senker den opplevde risikoen og l\u00f8sner p\u00e5 lommeboka. Et prosjekt kan ogs\u00e5 innhente flere revisjoner og bare vise fram den peneste. Forskjellen ligger i hva som skjer n\u00e5r stempelet svikter, og hvem som eventuelt rydder opp.<\/p>

Egenskap<\/th>Kredittvurderingsbyr\u00e5<\/th>Smartkontraktrevisor<\/th><\/tr><\/thead>
Hvem betaler<\/td>Utstederen av gjelden<\/td>Prosjektet som revideres<\/td><\/tr>
Hvem velger leverand\u00f8ren<\/td>Den betalende utstederen<\/td>Den betalende kunden<\/td><\/tr>
Offentlig tilsyn (EU\/E\u00d8S)<\/td>Ja, ESMA f\u00f8rer direkte tilsyn<\/td>Nei, ingen myndighet akkrediterer eller f\u00f8rer tilsyn<\/td><\/tr>
Lovp\u00e5lagt ansvar ved feil<\/td>Ja, egen ansvarsregel i regelverket<\/td>Nei, reguleres av kontrakt mellom partene<\/td><\/tr>
Klassisk sammenbrudd<\/td>AAA p\u00e5 subprime i 2008<\/td>\u00abRevidert\u00bb prosjekt hacket eller rugget<\/td><\/tr><\/tbody><\/table>
Issuer-pays-konflikten finnes begge steder, men bare det ene markedet har et tilsyn.<\/figcaption><\/figure>

Forskjellen ingen snakker om: ratingbyr\u00e5ene har et tilsyn<\/h2>

Her ligger den viktigste forskjellen for en norsk leser. Etter finanskrisen bestemte EU at issuer-pays-konflikten ikke kunne overlates til markedet alene. Siden 2011 har den europeiske verdipapir- og markedstilsynsmyndigheten ESMA hatt direkte tilsyn med kredittvurderingsbyr\u00e5er registrert i EU, gjennom det som forkortes CRA-forordningen (ESMA<\/a>). Regelverket adresserer nettopp issuer-pays-modellen og krever at byr\u00e5ene h\u00e5ndterer interessekonflikter (Europakommisjonen<\/a>).<\/p>

For smartkontraktrevisorer finnes ingen tilsvarende ordning. Ingen myndighet, verken Finanstilsynet<\/a> i Norge eller ESMA p\u00e5 EU-niv\u00e5, akkrediterer eller f\u00f8rer tilsyn med selskaper som CertiK. MiCA-regelverket, som gjelder i Norge gjennom E\u00d8S-avtalen, regulerer kryptotjenesteytere og utstedere, ikke kvaliteten p\u00e5 en kodegjennomgang. DORA stiller krav til digital operasjonell motstandsdyktighet, men p\u00e5legger ingen \u00e5 bestille en smartkontraktrevisjon, langt mindre \u00e5 best\u00e5 den. Fullt desentraliserte DeFi-protokoller faller i praksis utenfor MiCA helt. Resultatet er at et \u00abrevidert av CertiK\u00bb-stempel ikke er noe offentlig godkjenningsstempel. Det er en privat tjeneste solgt til en betalende kunde, uten en myndighet som kontrollerer at jobben ble gjort grundig.<\/p>

Dette betyr ikke at revisjon er verdil\u00f8st, tvert imot. En grundig gjennomgang fanger reelle feil f\u00f8r de n\u00e5r produksjon, og de beste granskerne har spart brukere for enorme tap. Poenget er mer presist: et privat stempel og et offentlig godkjenningsstempel er to helt forskjellige ting, og \u00e5 blande dem sammen er nettopp det markedsf\u00f8ringen inviterer til. N\u00e5r regulatoren ikke st\u00e5r bak, m\u00e5 leseren selv gj\u00f8re jobben med \u00e5 vurdere hva stempelet faktisk dekker.<\/p>

Huione-saken: da stempelet havnet p\u00e5 verdens st\u00f8rste svindelmarked<\/h2>

Ingen enkeltsak illustrerer konflikten bedre enn Huione. Analysebyr\u00e5et Elliptic<\/a> har beskrevet Huione Guarantee som det st\u00f8rste ulovlige nettmarkedet som noen gang har v\u00e6rt i drift, med minst 24 milliarder dollar, rundt 228 milliarder kroner, i omsetning. Den Telegram-baserte markedsplassen solgte hvitvaskingstjenester, stj\u00e5lne persondata og infrastruktur for svindel, i noen tilfeller til og med elektriske lenker til bruk p\u00e5 mennesker holdt i tvangsarbeid.<\/p>

I september 2024 lanserte Huione-sf\u00e6ren en egen stablecoin, USDH, markedsf\u00f8rt som \u00absensurresistent\u00bb og som noe som unngikk vanlige fryse- og overf\u00f8ringsrestriksjoner. CertiK reviderte USDH-kontrakten, en jobb selskapet fullf\u00f8rte 25. desember 2024. Da koblingen ble kjent tidlig i 2025, kom reaksjonene raskt. CertiK beklaget offentlig: \u00abVi beklager oppriktig til fellesskapet. Vi erkjenner at arbeid med h\u00f8yrisikoprosjekter kan f\u00f8re til etiske betenkeligheter og videre implikasjoner. CertiK st\u00f8tter eller bifaller ikke noen av aktivitetene Huione har utf\u00f8rt\u00bb (DL News<\/a>).<\/p>

Detaljene nyanserer bildet noe. Oppdraget kom via en tredjepart som hadde best\u00e5tt CertiKs KYC-kontroll. Da CertiK flagget problemer og ba om ytterligere identitetsbekreftelse, nektet tredjeparten, og CertiK oppf\u00f8rte stablecoinen med lavest mulig Skynet-score og et varsel. Selskapet ga ogs\u00e5 revisjonshonoraret til SENS Research Foundation. Men for mange kritikere var skaden allerede skjedd; stempelet hadde v\u00e6rt der. Taylor Monahan, ledende sikkerhetsforsker i MetaMask, skrev kort p\u00e5 X: \u00abCertiK, det er dette du jobber for.\u00bb<\/p>

Myndighetene s\u00e5 alvorlig p\u00e5 Huione. Det amerikanske finansdepartementets enhet FinCEN fastslo 1. mai 2025 at Huione Group var en \u00abfinansinstitusjon av prim\u00e6r bekymring for hvitvasking\u00bb under paragraf 311 i Patriot Act, og anslo at gruppen hadde hvitvasket minst 4 milliarder dollar, rundt 38 milliarder kroner, mellom august 2021 og januar 2025 (Federal Register<\/a>). En endelig regel som stengte gruppen ute fra det amerikanske banksystemet, kom i oktober 2025 (Federal Register<\/a>). Poenget er ikke at CertiK \u00f8nsket noe av dette. Poenget er at et betalt stempel havnet p\u00e5 et produkt knyttet til et kriminelt \u00f8kosystem, og at modellen gjorde det mulig.<\/p>

Kraken, Swaprum og m\u00f8nsteret \u00abrevidert, men …\u00bb<\/h2>

Huione er ikke det eneste stridstemaet i CertiKs historie. I juni 2024 utnyttet CertiK-forskere en feil i innskuddssystemet til b\u00f8rsen Kraken og tok ut rundt 3 millioner dollar, cirka 28 millioner kroner, i reelle midler over flere dager. Kraken hevdet at forskerne ikke ville levere tilbake pengene uten \u00e5 forhandle om en bel\u00f8nning. Krakens sikkerhetssjef Nick Percoco var krass: \u00abDette er ikke white-hat-hacking, det er utpressing\u00bb (CoinDesk<\/a>). CertiK avviste beskrivelsen og kalte det legitim forskning; feilen ble rettet p\u00e5 47 minutter, og midlene ble til slutt returnert, noen av dem rutet gjennom Tornado Cash (DL News<\/a>).<\/p>

S\u00e5 er det de reviderte prosjektene som likevel gikk galt. Swaprum, en DeFi-protokoll CertiK hadde revidert, forsvant i et rug pull p\u00e5 rundt 3 millioner dollar (DL News<\/a>). Merlin DEX p\u00e5 zkSync ble tappet for i st\u00f8rrelsesorden 1,8 millioner dollar av sine egne utviklere kort tid etter en h\u00f8y CertiK-vurdering. Ingen av disse sakene beviser at CertiK gjorde en d\u00e5rlig teknisk jobb i hvert enkelt tilfelle. Men de viser hvor lett stempelet forveksles med en garanti det aldri var ment \u00e5 v\u00e6re.<\/p>

Det t\u00e5ler \u00e5 gjentas: at et prosjekt er revidert, sier lite om det er trygt. De samme mekanismene g\u00e5r igjen i hack etter hack, fra tappede broer til kompromitterte n\u00f8kler. Vi har sett hvordan bro-hackene gjentar seg med de samme feilene<\/a>, ofte i prosjekter som hadde papirene i orden.<\/p>

Revisjonsparadokset: CertiKs egne tall snur argumentet<\/h2>

Det mest sl\u00e5ende argumentet mot \u00e5 behandle en revisjon som en garanti kommer fra CertiK selv. Selskapets Hack3d-rapport for f\u00f8rste halv\u00e5r 2026 anslo samlede tap i Web3 til over 1,31 milliarder dollar, rundt 12,4 milliarder kroner, fordelt p\u00e5 344 hendelser (GlobeNewswire<\/a>). Det interessante er ikke totalen, men fordelingen.<\/p>

Den dyreste kategorien var ikke kodefeil, men kompromitterte lommeb\u00f8ker og n\u00f8kler: over 444 millioner dollar, rundt 4,2 milliarder kroner, p\u00e5 bare 33 hendelser. To aprilhendelser, Kelp DAO og Drift Protocol, sto alene for n\u00e6r 44 prosent av alle tapene i halv\u00e5ret, og begge var svikt i drifts- og infrastruktursikkerhet, ikke tradisjonelle kodes\u00e5rbarheter. Kodefeil var den vanligste kategorien i antall, med 204 hendelser, men ogs\u00e5 den billigste per hendelse, med rundt 152 millioner dollar totalt.<\/p>

Angrepstype<\/th>Tap (USD)<\/th>Tap (NOK, omtrentlig)<\/th>Hendelser<\/th><\/tr><\/thead>
Kompromittert lommebok\/n\u00f8kkel<\/td>over 444 mill.<\/td>~4,2 mrd.<\/td>33<\/td><\/tr>
Phishing<\/td>~366 mill.<\/td>~3,5 mrd.<\/td>63<\/td><\/tr>
Kodes\u00e5rbarhet<\/td>~152 mill.<\/td>~1,4 mrd.<\/td>204<\/td><\/tr>
Samlet (alle typer)<\/td>over 1 310 mill.<\/td>~12,4 mrd.<\/td>344<\/td><\/tr><\/tbody><\/table>
CertiK Hack3d, f\u00f8rste halv\u00e5r 2026. Kodefeil er vanligst, men billigst; n\u00f8kkel- og driftssvikt koster mest.<\/figcaption><\/figure>

Gu selv har trukket konklusjonen tydelig. \u00abAngripere f\u00e5r mer igjen for \u00e5 g\u00e5 etter n\u00f8kkelh\u00e5ndtering, multisig-styring og driftsinfrastruktur enn for \u00e5 jakte p\u00e5 feil i kode\u00bb, sa han til Forbes<\/a>. Han peker ogs\u00e5 p\u00e5 et strukturelt problem: \u00abEt prosjekt blir revidert \u00e9n gang f\u00f8r lansering, best\u00e5r, og ser s\u00e5 aldri p\u00e5 den koden igjen. Faresonen lukker seg ikke etter lansering.\u00bb Med andre ord sikrer en engangsrevisjon den minste biten av risikoen, og gj\u00f8r det p\u00e5 det tidspunktet der prosjektet er minst i bruk.<\/p>

Formen p\u00e5 tapene forteller noe viktig om produktet. N\u00e5r de dyreste tapene forsvinner gjennom n\u00f8kler, drift og sosial manipulasjon i stedet for gjennom kodefeil, dekker en klassisk kodegjennomgang bare et hj\u00f8rne av risikobildet. Det er delvis derfor CertiK selv har flyttet vekten mot kontinuerlig overv\u00e5king gjennom Skynet: en engangsrapport aldrer raskt, mens en levende protokoll endrer seg, oppgraderes og kobles til nye avhengigheter hver uke. Men kontinuerlig overv\u00e5king er ogs\u00e5 en abonnementstjeneste, alts\u00e5 enda en gjentakende inntektsstr\u00f8m fra den samme betalende kunden.<\/p>

Formell verifikasjon: hva et bevis faktisk kan love<\/h2>

CertiKs faglige stolthet er formell verifikasjon, den samme metoden Gu og Shao brukte p\u00e5 CertiKOS. Kort forklart oversetter man koden og en spesifikasjon av hva den skal gj\u00f8re til matematikk, og beviser s\u00e5 at koden oppfyller spesifikasjonen for alle mulige tilstander, ikke bare for de tilfellene en tester tilfeldigvis pr\u00f8ver. Det er kraftigere enn vanlig testing, og det er grunnen til at Gu kan snakke om revisjon \u00absom kan vise at det ikke finnes feil\u00bb.<\/p>

Men et bevis er bare s\u00e5 godt som spesifikasjonen det bevises mot. Formell verifikasjon kan garantere at koden gj\u00f8r det spesifikasjonen sier, men ikke at spesifikasjonen beskriver det utviklerne faktisk \u00f8nsket, eller at den dekker et angrep ingen hadde tenkt p\u00e5. Et orakel som leser en manipulerbar pris, kan v\u00e6re helt korrekt etter sin egen spesifikasjon og likevel t\u00f8mmes. N\u00f8kkelkompromittering, styringsangrep og sosial manipulasjon ligger fullstendig utenfor det et kodebevis kan si noe om. Formell verifikasjon er et av de sterkeste verkt\u00f8yene i verkt\u00f8ykassa, men det flytter tryggheten fra koden til spesifikasjonen, og spesifikasjonen skrives fortsatt av mennesker.<\/p>

N\u00e5r \u00abrevidert\u00bb ikke stopper prismanipulasjonsb\u00f8lgen<\/h2>

2026 ga et ferskt eksempel p\u00e5 hvordan tapene beveger seg vekk fra ren kode. En rekke DeFi-protokoller ble t\u00f8mt gjennom prismanipulasjon, ikke ved at koden hadde en klassisk bug, men ved at en angriper bl\u00e5ste opp prisen p\u00e5 en tynt omsatt token og l\u00e5nte mot den oppbl\u00e5ste verdien. Moonwell p\u00e5 Base tapte rundt 8,7 millioner dollar i august, Tectonic p\u00e5 Cronos rundt 75 millioner dollar, og Nostra p\u00e5 Starknet rundt 3,5 millioner dollar i september. Analyseselskapet TRM Labs registrerte 32 prismanipulasjonsangrep i 2026, mot 12 i hele 2025, og regner n\u00e5 denne typen som omtrent ett av \u00e5tte kryptohack (TRM Labs<\/a>).<\/p>

Mekanikken er ofte den samme. Angriperen finner en protokoll som godtar en tynt omsatt token som sikkerhet, kj\u00f8per opp den lille mengden som finnes, og driver prisen kunstig i v\u00e6ret p\u00e5 et marked med lite motstand. Deretter l\u00e5ner vedkommende mot den oppbl\u00e5ste sikkerheten og forsvinner med reelle midler f\u00f8r prisen faller tilbake. Ingen kodelinje er brutt; svakheten ligger i at protokollen stolte p\u00e5 en pris som var for lett \u00e5 flytte. En revisor kan p\u00e5peke risikoen, men om prosjektet likevel velger \u00e5 liste tokenen, er stempelet allerede gitt.<\/p>

Poenget for revisjonsdebatten er at slike angrep sjelden fanges av en tradisjonell kodegjennomgang. Koden gj\u00f8r akkurat det den skal; den leser en pris fra et orakel, og oraklet leser fra et marked som lot seg manipulere. Vi har tidligere g\u00e5tt gjennom hvordan orakel-angrep forfalsker prisrapporten<\/a> uten \u00e5 bryte en eneste kodelinje. En revisor kan flagge at et design er s\u00e5rbart for slik manipulasjon, men i praksis er dette et \u00f8konomisk og arkitektonisk problem like mye som et kodeproblem, og det er nettopp den typen risiko et engangsstempel er d\u00e5rligst rustet til \u00e5 fange.<\/p>

KI mot KI: CertiKs nyeste veddem\u00e5l<\/h2>

Svaret CertiK selv satser p\u00e5, er kunstig intelligens. I april 2026 lanserte selskapet AI Auditor, en automatisk kodeanalysemotor som if\u00f8lge CertiK oppn\u00e5dde 88,6 prosent treffsikkerhet mot 35 reelle hendelser fra 2026, med f\u00e5 falske positiver (Chainwire<\/a>). I mai fulgte AI Skill Scanner, som vurderer \u00abferdighetene\u00bb til tredjeparts KI-agenter f\u00f8r de installeres. Selskapet posisjonerer verkt\u00f8yene som et supplement til menneskelige granskere, ikke en erstatning.<\/p>

Bakteppet er at KI kutter begge veier. De samme modellene som hjelper forsvarere, hjelper ogs\u00e5 angripere, og de skriver stadig mer av koden som havner i produksjon. Gu har advart om en ny risikokategori: \u00abEn KI-agent med tilgang til en lommebok er i praksis en ny type privilegert n\u00f8kkelholder, bortsett fra at beslutningene kan manipuleres gjennom inndata p\u00e5 m\u00e5ter et menneske kanskje ville fanget opp.\u00bb Det er en p\u00e5minnelse om at n\u00f8kkelh\u00e5ndtering, temaet vi utforsker i gjennomgangen av gjenoppretting av smartkontoer<\/a>, blir viktigere, ikke mindre viktig, n\u00e5r autonome agenter f\u00e5r h\u00e5nd om midler.<\/p>

Ikke alle er overbevist om at mer KI er svaret p\u00e5 et tillitsproblem. Utviklere som jobber med revisjon, minner om at et verkt\u00f8y bare er s\u00e5 godt som den som tolker resultatene, og at automatikk uten menneskelig skj\u00f8nn lett gir en falsk trygghet. Suhail Kakar, utviklersjef i TAC, sa det spisst etter et annet hack: \u00ab\u2039Revidert av X\u203a betyr nesten ingenting. Kode er vanskelig, DeFi er vanskeligere\u00bb (Cointelegraph<\/a>). Utsagnet gjaldt et prosjekt CertiK ikke hadde revidert, men poenget er allment.<\/p>

David Schwed, driftsdirekt\u00f8r i sikkerhetsselskapet SVRN, har v\u00e6rt enda tydeligere p\u00e5 faren ved \u00e5 forveksle verkt\u00f8y med sikkerhet. \u00ab\u2039Claude, revider smartkontrakten min, og ikke gj\u00f8r feil\u203a er ikke et sikkerhetsprogram\u00bb, sa han til CoinDesk<\/a>, og la til: \u00abHvis den som kj\u00f8rer verkt\u00f8yet ikke kan vurdere det som kommer tilbake, har du ikke kj\u00f8pt sikkerhet, du har kj\u00f8pt en falsk f\u00f8lelse av den.\u00bb Samtidig roser han at KI kan gi kontinuerlig gransking til en br\u00f8kdel av kostnaden. Poenget er ikke at KI er verdil\u00f8st, men at et menneske fortsatt m\u00e5 kunne lese svaret.<\/p>

Hvorfor en b\u00f8rsnotering skjerper konflikten<\/h2>

Her m\u00f8tes de to tr\u00e5dene. En issuer-pays-modell presser allerede mot volum: jo flere reviderte kunder, desto mer inntekt. Legger man en b\u00f8rsnotering opp\u00e5, kommer et nytt krav om kvartalsvis vekst i aksjekursen. Presset for \u00e5 ta inn flere oppdrag, raskere, med tynnere marginer per jobb, blir strukturelt, ikke bare et sp\u00f8rsm\u00e5l om den enkelte granskerens integritet. Det er akkurat den dynamikken kredittvurderingsbyr\u00e5ene ikke klarte \u00e5 motst\u00e5 f\u00f8r 2008, og de var til og med underlagt tilsyn. CertiK er det ikke.<\/p>

Rettferdigvis peker b\u00f8rspilen ogs\u00e5 den andre veien. En notering tvinger fram reviderte regnskaper, offentlig rapportering og et juridisk ansvar overfor aksjon\u00e6rer som en privat akt\u00f8r slipper unna. Gu argumenterer for at CertiK beveger seg mot institusjonelle kunder som stiller h\u00f8yere krav: \u00abDisse institusjonene vil ha revisjon av institusjonell kvalitet, formell verifikasjon som kan vise at det ikke finnes feil.\u00bb Etter Huione-saken sier selskapet at det har strammet inn KYC, hentet inn eksterne risikoeksperter og \u00f8kt overv\u00e5kingen etter at en rapport er levert: \u00abEtter at vi har publisert en rapport, holder vi et sv\u00e6rt v\u00e5kent \u00f8ye med den.\u00bb En b\u00f8rsnotering kan i beste fall gj\u00f8re slike l\u00f8fter etterpr\u00f8vbare.<\/p>

Historien gir eksempler begge veier. Kredittvurderingsbyr\u00e5ene ble ikke avviklet etter 2008; de ble regulert, og bransjen lever videre med tilsyn og strengere krav. En b\u00f8rsnotert revisor kan p\u00e5 samme m\u00e5te bli tvunget til mer disiplin av markedet og av et framtidig regelverk. Men uten et tilsyn p\u00e5 plass er det bare markedet som disiplinerer CertiK, og markedet bel\u00f8nner vekst. Det er verdt \u00e5 huske at de fleste av 2026-tapene rammet prosjekter som allerede hadde et stempel.<\/p>

Sp\u00f8rsm\u00e5let er hvilken kraft som vinner: disiplinen fra offentlige markeder, eller vekstpresset fra de samme markedene. Erfaringen fra ratingbyr\u00e5ene gir grunn til edruelighet.<\/p>

Det norske og europeiske bakteppet<\/h2>

For en norsk investor eller utvikler er den praktiske l\u00e6rdommen at et CertiK-stempel ikke har noen juridisk status her hjemme. Finanstilsynet f\u00f8rer tilsyn med kryptotjenesteytere under MiCA, som gjelder i Norge gjennom E\u00d8S-avtalen, men verken Finanstilsynet eller ESMA godkjenner revisjonsselskaper eller deres rapporter. Skatteetaten bryr seg om gevinst og tap n\u00e5r du realiserer krypto, uansett hvor mange revisjoner prosjektet kan vise til. Et stempel er et markedsf\u00f8ringsargument, ikke et forbrukervern.<\/p>

For en norsk sluttbruker er den praktiske konsekvensen enkel \u00e5 oppsummere. Ser du \u00abrevidert av CertiK\u00bb i markedsf\u00f8ringen for et prosjekt, er det et signal, ikke en garanti. G\u00e5r noe galt med en desentralisert protokoll, finnes det sjelden en klageinstans, et innskuddsgarantifond eller en tilsynsmyndighet \u00e5 g\u00e5 til, slik du har n\u00e5r du handler gjennom en regulert bank eller b\u00f8rs. Ansvaret for \u00e5 forst\u00e5 risikoen ligger hos deg.<\/p>

Kontrasten til kredittvurderingsbyr\u00e5ene er nettopp poenget. EU besluttet etter 2008 at issuer-pays-konflikten var for farlig til \u00e5 st\u00e5 uten tilsyn, og ga ESMA direkte kontroll. For smartkontraktrevisjon finnes ingen slik beslutning. Kryptoderivater sorterer riktignok under MiFID II og markedsregulatoren, men selve kodegjennomgangen henger i et regulatorisk tomrom. Inntil det endrer seg, hviler ansvaret for \u00e5 tolke et stempel p\u00e5 leseren.<\/p>

Slik leser du et CertiK-stempel<\/h2>

Et stempel er et utgangspunkt, aldri en konklusjon. Noen enkle sp\u00f8rsm\u00e5l gj\u00f8r det mer nyttig:<\/p>