{"id":502,"date":"2026-10-02T05:10:26","date_gmt":"2026-10-02T05:10:26","guid":{"rendered":"https:\/\/hoge.gg\/no\/hundre-ganger-google-kryptofeil-verdt-2026\/"},"modified":"2026-10-02T05:10:26","modified_gmt":"2026-10-02T05:10:26","slug":"hundre-ganger-google-kryptofeil-verdt-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/hundre-ganger-google-kryptofeil-verdt-2026\/","title":{"rendered":"Hundre ganger Google: hva en kryptofeil er verdt i 2026"},"content":{"rendered":"

Da Apple kalte to millioner dollar for en rekord<\/h2>

I oktober gikk Apple ut med det selskapet selv beskrev som en gjennomgripende fornyelse av sitt Security Bounty-program. Den \u00f8verste bel\u00f8nningen ble doblet til to millioner dollar for de mest avanserte angrepskjedene, den typen null-klikk-utnyttelser leiesoldat-spionvare bruker, og med bonuser for \u00e5 bryte Lockdown Mode eller finne feil i beta-programvare kan en enkelt rapport n\u00e5 passere fem millioner dollar. Apple kalte det rett ut en bransjerekord: \u00abThis is an unprecedented amount in the industry and the largest payout offered by any bounty program we’re aware of\u00bb, skrev selskapet p\u00e5 sitt eget sikkerhetsnettsted<\/a>. To millioner dollar er rundt 19 millioner kroner. Siden 2020 har Apple betalt ut over 35 millioner dollar til mer enn 800 forskere.<\/p>

Det er mye penger. Det er ogs\u00e5 feil. For i kryptoverdenen hadde ikke to millioner dollar n\u00e5dd topp fem. DeFi-protokollen Usual har et tak p\u00e5 16 millioner dollar, vel 150 millioner kroner, for \u00e9n kritisk feil. Broen Wormhole betalte en enkelt forsker ti millioner dollar, cirka 96 millioner kroner, allerede i februar 2022. Googles st\u00f8rste enkeltutbetaling i hele 2024 var i overkant av 110.000 dollar; Wormhole-forskeren fikk nesten hundre ganger s\u00e5 mye for \u00e9n eneste rapport. Verdens mest verdifulle teknologiselskap satte alts\u00e5 det selskapet tror er en verdensrekord, og landet et sted de fleste seri\u00f8se kryptoprogrammene passerte for lenge siden.<\/p>

Jobben er den samme p\u00e5 begge sider: finn en feil, la v\u00e6re \u00e5 utnytte den, meld den inn, f\u00e5 betalt. Prisen er det ikke. Dette er historien om hvorfor den samme ferdigheten er verdt tusenlapper hos \u00e9n arbeidsgiver og titalls millioner hos en annen, hva en kryptodus\u00f8r faktisk betaler ut n\u00e5r kvitteringen kommer, og hvorfor 2026 ble \u00e5ret de to verdenene begynte \u00e5 ligne p\u00e5 hverandre igjen.<\/p>

Samme avtale, to forskjellige verdener<\/h2>

En bug bounty er en st\u00e5ende avtale: et selskap lover en bel\u00f8nning til den som finner en sikkerhetsfeil og melder den inn ansvarlig i stedet for \u00e5 utnytte den eller selge den videre. Modellen er gammel. Netscape satte ut den f\u00f8rste moderne dus\u00f8ren i 1995, og i dag driver nesten alle store teknologiselskaper et slikt program, enten selv eller gjennom plattformer som HackerOne og Bugcrowd.<\/p>

I Web2, alts\u00e5 den tradisjonelle programvareverdenen, er dus\u00f8ren et supplement. Google, Apple og Microsoft har interne sikkerhetsteam, penetrasjonstestere og revisorer; dus\u00f8ren fanger opp det som slipper gjennom. En kritisk feil der betyr som regel at noen kunne ha stj\u00e5let data, kapret kontoer eller kj\u00f8rt egen kode p\u00e5 en maskin. Ubehagelig, men som oftest mulig \u00e5 rette, varsle om og forsikre seg mot.<\/p>

I krypto er regnestykket et annet. Her ligger pengene rett i koden. En smartkontrakt som holder hundrevis av millioner dollar, er b\u00e5de pengeskapet og l\u00e5sen, og hvem som helst kan lese kildekoden og pr\u00f8ve n\u00f8klene d\u00f8gnet rundt. Finner noen en feil, kan verdiene t\u00f8mmes p\u00e5 sekunder, og overf\u00f8ringen kan ikke angres. Det finnes ingen bank \u00e5 ringe, ingen transaksjon \u00e5 reversere, ingen sentral akt\u00f8r som kan fryse kontoen. Dus\u00f8ren er derfor ikke et supplement; for mange protokoller er den den siste forsvarslinjen, og i praksis en forsikringspremie betalt til den som finner hullet f\u00f8r en tyv gj\u00f8r det. Plattformene heter Immunefi, Sherlock og Cantina i stedet for HackerOne, men avtalen er den samme. Det er bel\u00f8pene som skiller.<\/p>

Tallene side om side<\/h2>

Det enkleste er \u00e5 sette tallene opp mot hverandre. De tre \u00f8verste radene er de rikeste programmene i tradisjonell programvare; de nederste er krypto. Alle bel\u00f8p er i amerikanske dollar, slik programmene selv oppgir dem; omregning til kroner er gjort med en kurs p\u00e5 rundt 9,6 (Norges Bank, tidlig oktober 2026).<\/p>

Program<\/th>Verden<\/th>Topp \/ tak<\/th>Typisk kritisk<\/th>Utbetalt (periode)<\/th><\/tr><\/thead>
Apple Security Bounty<\/td>Web2<\/td>2 mill. (opptil 5 mill. med bonus)<\/td>ikke publisert<\/td>35 mill.+ siden 2020 (800+ forskere)<\/td><\/tr>
Google VRP<\/td>Web2<\/td>300.000 (st\u00f8rste enkelt 2024: ~110.000)<\/td>ikke publisert<\/td>11,8 mill. i 2024 (660 forskere)<\/td><\/tr>
Microsoft<\/td>Web2<\/td>200.000 (st\u00f8rste enkelt)<\/td>ikke publisert<\/td>16,6 mill. i regnskaps\u00e5ret 2024 (343 forskere)<\/td><\/tr>
HackerOne (plattform)<\/td>Web2<\/td>varierer per program<\/td>3.000-5.000 (median)<\/td>81 mill. siste \u00e5r<\/td><\/tr>
Immunefi (plattform)<\/td>Krypto<\/td>opptil 16 mill. hos kundene<\/td>20.000 (median), 114.355 (snitt)<\/td>13,45 mill. i H1 2026 (837 rapporter)<\/td><\/tr>
Usual (via Sherlock)<\/td>Krypto<\/td>16 mill.<\/td>tak, ikke utbetalt<\/td>ikke aktuelt<\/td><\/tr>
Wormhole<\/td>Krypto<\/td>10 mill.<\/td>ikke aktuelt<\/td>10 mill. betalt til \u00e9n forsker (2022)<\/td><\/tr><\/tbody><\/table><\/figure>

To ting hopper ut av tabellen. For det f\u00f8rste: taket. Det rikeste tradisjonelle programmet, Apples, topper p\u00e5 to millioner dollar (fem med bonus). Det rikeste kryptoprogrammet, Usual, topper p\u00e5 seksten<\/a>. For det andre: medianen. En kritisk feil p\u00e5 HackerOne betaler typisk mellom 3.000 og 5.000 dollar<\/a>, alts\u00e5 rundt 30.000 til 48.000 kroner. En kritisk feil p\u00e5 Immunefi har en median p\u00e5 20.000 dollar<\/a>, n\u00e6r 190.000 kroner, og et snitt dratt opp mot 114.000 dollar av de aller st\u00f8rste funnene. Midt p\u00e5 skalaen betaler krypto fire til seks ganger mer; p\u00e5 toppen er avstanden mye st\u00f8rre.<\/p>

Og s\u00e5 er det helheten. Google betalte ut 11,8 millioner dollar i hele 2024<\/a>, fordelt p\u00e5 660 forskere. Microsoft betalte 16,6 millioner<\/a> i sitt regnskaps\u00e5r, til 343 forskere, med 200.000 dollar som st\u00f8rste enkeltutbetaling. Wormhole betalte alts\u00e5 en enkelt person nesten like mye som Google brukte p\u00e5 et helt \u00e5r.<\/p>

Hvorfor en kryptofeil er verdt hundre ganger mer<\/h2>

Gapet er ikke irrasjonelt. Det f\u00f8lger av hva som faktisk st\u00e5r p\u00e5 spill.<\/p>

En dus\u00f8r prises etter hva den forhindrer. I tradisjonell programvare er skaden ved en kritisk feil reell, men sjelden umiddelbar og total. Et datainnbrudd oppdages, varsles og etterforskes; kontoer nullstilles, kunder f\u00e5r beskjed, og selskapet har som regel en cyberforsikring i bunn. Verdien som g\u00e5r tapt, er indirekte: omd\u00f8mme, b\u00f8ter, opprydding.<\/p>

I krypto er verdien direkte og flytende. En feil i en smartkontrakt som forvalter 200 millioner dollar, er ikke en vei inn til noe verdifullt; den er tilgang til de 200 millionene selv. De er likvide, de kan sendes hvor som helst p\u00e5 sekunder, og ingen kan hente dem tilbake. Det finnes ingen chargeback, ingen innskuddsgaranti, ingen domstol som kan omgj\u00f8re en overf\u00f8ring p\u00e5 en kjede uten tillatelse. N\u00e5r pengene er ute, er de ute.<\/p>

Derfor priser kryptoprogrammene dus\u00f8ren som en andel av det som st\u00e5r p\u00e5 spill, ikke etter en fast tariff. Standarden i bransjen heter \u00abprimacy of impact\u00bb: bel\u00f8nningen settes etter den faktiske skaden en angriper kunne p\u00e5f\u00f8rt, og den vanligste formelen er ti prosent av midlene som sto i fare, opp til et tak. Ti prosent av 200 millioner er 20 millioner; derfor finnes det tak p\u00e5 15 og 16 millioner dollar i det hele tatt. Hos Google gir en feil tilgang til et system; hos en DeFi-protokoll gir den tilgang til et bankhvelv. Prisen f\u00f8lger etter.<\/p>

Det forklarer ogs\u00e5 hvorfor tallene vokste s\u00e5 fort. Da det ble vanlig at enkeltprotokoller holdt milliarder i l\u00e5ste midler, ble det billig, nesten \u00e5penbart, \u00e5 tilby en syvsifret dus\u00f8r for \u00e5 unng\u00e5 \u00e5 miste alt. En premie p\u00e5 ti millioner dollar er mye, helt til du sammenligner den med et hack p\u00e5 to hundre.<\/p>

Ti prosent av det som sto p\u00e5 spill<\/h2>

Men et tak er ikke en pris. Det er et l\u00f8fte, og l\u00f8fter brytes. Her er de h\u00f8yeste takene i kryptobransjen i 2026, slik de st\u00e5r annonsert p\u00e5 de store plattformene:<\/p>

Program<\/th>Plattform<\/th>Tak (USD)<\/th><\/tr><\/thead>
Usual<\/td>Sherlock<\/td>16 mill.<\/td><\/tr>
Uniswap v4<\/td>Immunefi<\/td>15,5 mill.<\/td><\/tr>
LayerZero<\/td>Immunefi<\/td>15 mill.<\/td><\/tr>
Sky (MakerDAO)<\/td>Immunefi<\/td>10 mill.<\/td><\/tr>
Wormhole<\/td>Immunefi<\/td>10 mill.<\/td><\/tr>
GMX<\/td>Immunefi<\/td>5 mill.<\/td><\/tr>
Coinbase \/ Base<\/td>Cantina<\/td>5 mill.<\/td><\/tr>
Arbitrum<\/td>Immunefi<\/td>2 mill.<\/td><\/tr><\/tbody><\/table><\/figure>

Alle disse er tak, ikke kvitteringer. Avstanden mellom det annonserte taket og det en forsker faktisk f\u00e5r, er stor nok til at den har sin egen stridshistorie. Det klareste eksempelet er fortsatt Arbitrum. I september 2022 fant en forsker med h\u00e5ndtaket Riptide en feil i sekvenser-innboksen som kunne ledet all innkommende ETH p\u00e5 vei inn til kjeden feil, rundt 470 millioner dollar i fare. Arbitrums annonserte maksimum var to millioner dollar. Utbetalingen ble 400 ETH, den gang verdt litt over en halv million dollar.<\/p>

Riptide tok det offentlig: \u00abIf you post a $2mm bounty, be prepared to pay it when it’s justified. Otherwise just say the max bounty is 400 ETH and be done with it\u00bb, skrev forskeren<\/a>, med en advarsel om at underbetaling l\u00e6rer hackere hvilke prosjekter som ikke gj\u00f8r opp for seg, og kan skyve en hvithatt over til svarthatt.<\/p>

Det er grunnen til at median-tallet betyr mer enn takene. Immunefis egne data viser en median for kritiske funn p\u00e5 20.000 dollar, mens de annonserte takene ligger p\u00e5 15 og 16 millioner. De to tallene lever side om side fordi de f\u00e6rreste funnene gjelder hele hvelvet; de fleste gjelder en d\u00f8r p\u00e5 gl\u00f8tt, ikke en vid\u00e5pen hvelvd\u00f8r. Taket er markedsf\u00f8ring. Utbetalingen er sikkerhet.<\/p>

Dollar p\u00e5 konto, eller token med l\u00e5s?<\/h2>

S\u00e5 langt har vi snakket om bel\u00f8p. Men et bel\u00f8p er ikke det samme som penger p\u00e5 konto, og her g\u00e5r en skillelinje som sjelden nevnes: hva dus\u00f8ren faktisk utbetales i.<\/p>

Hos Google, Apple og Microsoft er svaret kjedelig og trygt: dollar, utbetalt til en bankkonto. En forsker som f\u00e5r 100.000 dollar, har 100.000 dollar.<\/p>

I krypto er det ikke gitt. Mange programmer betaler i stablecoins som USDC, som i praksis er dollar, men mange betaler helt eller delvis i protokollens egen token, og noen legger en l\u00e5s p\u00e5 toppen. Solana-stiftelsens eget program er et skoleeksempel: bel\u00f8nningene utbetales i SOL med tolv m\u00e5neders bindingstid. Da stiftelsen i 2026 satte ut en pott p\u00e5 opptil 50.000 SOL for feil i den nye Alpenglow-konsensusen, var vilk\u00e5ret at bel\u00f8nningen var l\u00e5st i et helt \u00e5r etter utbetaling.<\/p>

Det skaper et gap de tradisjonelle programmene ikke har. En forsker som f\u00e5r tilkjent en million dollar i en token, eier ikke en million dollar; forskeren eier en token som er verdt en million dollar akkurat n\u00e5, som kanskje er l\u00e5st i tolv m\u00e5neder, og som kan st\u00e5 i det halve, eller det dobbelte, n\u00e5r l\u00e5sen slipper. Den annonserte summen og den realiserte summen er to forskjellige tall, og avstanden mellom dem b\u00e6res i sin helhet av forskeren.<\/p>

Dette er en annen slags avstand mellom tak og kvittering enn den vi s\u00e5 over. Der handlet det om hvor stor dus\u00f8ren ble satt; her handler det om hva den er verdt n\u00e5r den kan brukes. En syvsifret premie i en illikvid token med ett \u00e5rs l\u00e5s er et helt annet gode enn det samme bel\u00f8pet i dollar p\u00e5 konto, selv om pressemeldingen oppgir samme tall.<\/p>

Skatteetaten ser dus\u00f8ren, ikke l\u00e5sen<\/h2>

For en norsk forsker kommer et ekstra lag p\u00e5 toppen, og det er skatten.<\/p>

Skatteetaten behandler en bug bounty som skattepliktig inntekt, ikke som en skattefri gave eller en tilfeldig gevinst. Betales den ut i kryptovaluta, verdsettes den i kroner til markedsverdien p\u00e5 det tidspunktet forskeren f\u00e5r den. Det tallet blir b\u00e5de inntekten som skal skattlegges, og inngangsverdien token-en senere m\u00e5les mot.<\/p>

Kombiner det med l\u00e5sen fra forrige avsnitt, og fellen blir tydelig. F\u00e5r du tilkjent en token verdt \u00e9n million kroner i januar, skal den millionen inntektsf\u00f8res i januar, til januarkursen, selv om den er l\u00e5st i tolv m\u00e5neder. Faller token-en til det halve f\u00f8r l\u00e5sen slipper, har du betalt skatt p\u00e5 en inntekt du aldri fikk realisert. Skatteetaten ser dus\u00f8ren slik den s\u00e5 ut ved tildeling; den ser ikke l\u00e5sen, og den venter ikke p\u00e5 at kursen skal sette seg.<\/p>

Tilsynssiden er mindre dramatisk, men verdt \u00e5 ha med. Finanstilsynet f\u00f8rer i Norge tilsyn med kryptotjenesteytere (vekslere og oppbevarere) etter MiCA, som er innlemmet i E\u00d8S-avtalen. Tilsynet regulerer alts\u00e5 plattformen du eventuelt veksler dus\u00f8ren gjennom, ikke selve dus\u00f8ren og ikke selve det \u00e5 lete etter feil.<\/p>

Den juridiske grensen g\u00e5r et annet sted. \u00c5 melde inn en feil innenfor et program er lovlig og \u00f8nsket. \u00c5 bryte seg inn i et system du ikke har lov til, eller \u00e5 utnytte en feil for \u00e5 \u00abredde\u00bb midlene, er ikke det samme; uautorisert tilgang til et datasystem rammes av straffeloven \u00a7 204 og kan straffes med bot eller fengsel i inntil to \u00e5r. Det er den linjen som skiller en hvithatt fra en angriper med en god historie, og i krypto, der verkt\u00f8yet for \u00e5 redde og verkt\u00f8yet for \u00e5 stjele ofte er n\u00f8yaktig det samme, er den linjen smalere enn mange tror.<\/p>

Rekorddus\u00f8rer, rekordtyverier<\/h2>

Her m\u00f8ter sammenligningen sin ubehageligste innvending. Hvis kryptodus\u00f8rene er s\u00e5 mye st\u00f8rre, hvorfor stjeles det da mer enn noen gang?<\/p>

For det gj\u00f8r det. Immunefi talte 972 millioner dollar tapt til hackere i f\u00f8rste halv\u00e5r 2026<\/a>, fordelt p\u00e5 207 hendelser, det h\u00f8yeste antallet angrep selskapet har registrert. September 2026 ble \u00e5rets dyreste enkeltm\u00e5ned: CertiK summerte 766 millioner dollar<\/a> i tap p\u00e5 en enkelt m\u00e5ned, drevet av to store hendelser, bruddene mot b\u00f8rsen Bitget og mot Liquid Network. HOGE Wire har g\u00e5tt gjennom CertiKs svarteste m\u00e5ned og revisjonsparadokset<\/a> i egen sak.<\/p>

Et program som betaler ut rekordbel\u00f8p samtidig som tapene setter rekord, ser ut som en fiasko. Det er det ikke n\u00f8dvendigvis, og grunnen ligger i hva en dus\u00f8r faktisk kan kj\u00f8pe.<\/p>

En bug bounty priser kode. Den bel\u00f8nner den som finner en logisk feil i en smartkontrakt f\u00f8r en angriper gj\u00f8r det. Men de st\u00f8rste tapene i 2026 kommer i \u00f8kende grad ikke fra kode. De kommer fra kompromitterte n\u00f8kler, fra signeringsinfrastruktur som er lurt, fra ansatte som er manipulert, fra phishing. Da Bybit mistet 1,5 milliarder dollar i 2025, var ikke smartkontrakten feil; selve signeringsprosessen ble lurt. En feilfri kontrakt hjelper lite hvis n\u00f8kkelen som styrer den, ligger p\u00e5 feil maskin. HOGE Wire har sett n\u00e6rmere p\u00e5 nettopp hvem sin kode som kj\u00f8rer lommeboken din<\/a>, og det er ofte her, i lommeboken og n\u00f8kkelen, ikke i protokollkoden, pengene forsvinner.<\/p>

Dus\u00f8ren er alts\u00e5 ikke \u00f8delagt. Den l\u00f8ser et bestemt problem (feil i koden) sv\u00e6rt godt, og et program som hindrer ett hack p\u00e5 200 millioner, har tjent inn tusen dus\u00f8rer p\u00e5 20.000. Den l\u00f8ser bare ikke problemene den ikke er bygget for, og i 2026 vokser nettopp de problemene raskest.<\/p>

Det dus\u00f8ren ikke kj\u00f8per<\/h2>

Det l\u00f8nner seg \u00e5 v\u00e6re presis om hva en dus\u00f8r ikke dekker, for det er her forventningene sprekker. En bug bounty gjelder s\u00e5rbarheter i koden eller infrastrukturen innenfor et definert omfang. Utenfor det omfanget ligger en hel rekke tap som rammer krypto hardt, men som ingen dus\u00f8r er ment \u00e5 fange:<\/p>