{"id":539,"date":"2026-10-08T05:10:21","date_gmt":"2026-10-08T05:10:21","guid":{"rendered":"https:\/\/hoge.gg\/no\/certik-automatisk-revisor-ki-audit-2026\/"},"modified":"2026-10-08T05:10:21","modified_gmt":"2026-10-08T05:10:21","slug":"certik-automatisk-revisor-ki-audit-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/certik-automatisk-revisor-ki-audit-2026\/","title":{"rendered":"CertiK og den automatiske revisoren: KI-satsingen i 2026"},"content":{"rendered":"

I april 2026 slapp CertiK et verkt\u00f8y selskapet d\u00f8pte AI Auditor: en motor som skal lese smartkontrakter p\u00e5 jakt etter s\u00e5rbarheter uten at et menneske m\u00e5 sette i gang jobben. Noen uker senere fulgte AI Skill Scanner, omtalt som \u00abantivirus for KI-alderen\u00bb. Firmaet som bygde navnet sitt p\u00e5 \u00e5 gi kryptoprosjekter en sikkerhetskarakter, satser n\u00e5 p\u00e5 at kunstig intelligens kan utf\u00f8re selve karaktersettingen, og at KI-agentene som har begynt \u00e5 flytte penger p\u00e5 egen h\u00e5nd, selv m\u00e5 granskes.<\/p>

Det er en logisk vending for et firma som startet i akademisk formell verifikasjon. Men den kommer samtidig med et ubehagelig faktum fra CertiKs egen trusselstatistikk: pengene forlater koden. I f\u00f8rste halv\u00e5r 2026 var s\u00e5rbarheter i kode den vanligste tapskategorien m\u00e5lt i antall hendelser, men den desidert billigste per hendelse. De store summene forsvant et helt annet sted, gjennom kompromitterte n\u00f8kler, lurte signerere og brutte backend-systemer. Det reiser sp\u00f8rsm\u00e5let som henger over hele KI-satsingen: hva betyr det \u00e5 automatisere lesingen av kode, n\u00e5r koden ikke lenger er der de st\u00f8rste tapene skjer?<\/p>

Denne artikkelen forklarer hva CertiK er, hvorfor selskapet vender seg mot KI, hva AI Auditor og AI Skill Scanner faktisk gj\u00f8r, hvor godt maskinene kan erstatte et menneskelig blikk, og hvorfor et stempel, enten det settes av en revisor eller en algoritme, fortsatt bare er et utgangspunkt og aldri en garanti. Alle bel\u00f8p er regnet om til kroner med en dollarkurs p\u00e5 rundt 9,6 (CoinGecko<\/a>, 8. oktober 2026, da en bitcoin kostet omtrent 789 000 kroner).<\/p>

Hva CertiK faktisk er<\/h2>

CertiK ble grunnlagt i 2018 i New York av to informatikere: Ronghui Gu, i dag administrerende direkt\u00f8r og professor ved Columbia-universitetet, og Zhong Shao, professor og instituttleder i informatikk ved Yale. Opphavet er akademisk. I 2016 bygde de to CertiKOS, den f\u00f8rste fullstendig formelt verifiserte flerkjerne-operativsystemkjernen, et arbeid som ga b\u00e5de navnet (Certified Kernel) og metoden: \u00e5 bruke matematisk bevisf\u00f8rsel, s\u00e5kalt formell verifikasjon, p\u00e5 kode. Da smartkontrakter begynte \u00e5 tape penger i stor skala, flyttet de teknikken over p\u00e5 blockchain.<\/p>

Pengene fulgte etter. CertiK har hentet inn over 240 millioner dollar (rundt 2,3 milliarder kroner), if\u00f8lge Gu selv, og ble sist priset til to milliarder dollar (n\u00e6r 19 milliarder kroner) i en emisjon i 2022 som alene tok inn 88 millioner dollar (vel 800 millioner kroner). P\u00e5 investorlisten st\u00e5r Binance som f\u00f8rste og st\u00f8rste st\u00f8ttespiller, ved siden av Coinbase, SoftBank, Insight Partners, Tiger Global og Advent International. Gu har hevdet at selskapet har mer penger p\u00e5 bok enn det har hentet inn, et uvanlig l\u00f8nnsomhetssignal i bransjen, og at m\u00e5let er \u00e5 bli det \u00abf\u00f8rste b\u00f8rsnoterte Web3-cybersikkerhetsselskapet\u00bb (CoinDesk<\/a>, The Block<\/a>).<\/p>

I dag omtaler CertiK seg som vokter for en betydelig del av krypto\u00f8konomien: over 5 000 kunder, rundt 20 000 reviderte prosjekter, mer enn 115 000 oppdagede s\u00e5rbarheter og kode som til sammen sikrer verdier i st\u00f8rrelsesorden 600 milliarder dollar (grovt regnet 5 700 milliarder kroner), if\u00f8lge selskapets egne tall (certik.com<\/a>). Produktene faller i noen hovedkategorier, oppsummert under.<\/p>

Dimensjon<\/th>Detalj<\/th><\/tr><\/thead>
Grunnlagt<\/td>2018, New York<\/td><\/tr>
Grunnleggere<\/td>Ronghui Gu (CEO, Columbia) og Zhong Shao (Yale)<\/td><\/tr>
Opphav<\/td>CertiKOS (2016), formell verifikasjon av kode<\/td><\/tr>
Kapital hentet<\/td>Over 240 mill. USD (~2,3 mrd. kr)<\/td><\/tr>
Verdsettelse<\/td>2 mrd. USD (~19 mrd. kr), emisjon 2022<\/td><\/tr>
Investorer<\/td>Binance (f\u00f8rst og st\u00f8rst), Coinbase, SoftBank, Insight, Tiger Global, Advent<\/td><\/tr>
Omfang<\/td>5 000+ kunder, ~20 000 prosjekter, 115 000+ s\u00e5rbarheter<\/td><\/tr>
Verdier under oppsyn<\/td>~600 mrd. USD (~5 700 mrd. kr) sikret kode<\/td><\/tr>
Hovedprodukter<\/td>Revisjon, Skynet-overv\u00e5king, penetrasjonstesting, bug bounty, AI Auditor, AI Skill Scanner<\/td><\/tr>
B\u00f8rsambisjon<\/td>\u00abF\u00f8rste b\u00f8rsnoterte Web3-cybersikkerhetsselskap\u00bb (Davos, januar 2026)<\/td><\/tr><\/tbody><\/table><\/figure>

Produktspekteret er bredere enn revisjonsrapporter. Skynet gir prosjekter en l\u00f8pende sikkerhetskarakter, et tall som skal oppdateres etter hvert som koden og aktiviteten endrer seg, og som dermed skiller seg prinsipielt fra et engangsstempel. I tillegg kommer penetrasjonstesting, programmer for bug bounty der eksterne jegere f\u00e5r betalt for \u00e5 finne feil, og SkyInsights, en tjeneste for etterlevelse, KYC og AML rettet mot institusjoner. KI-produktene legger seg opp\u00e5 denne grunnmuren. Det er verdt \u00e5 ta med seg at et \u00abrevidert\u00bb-stempel og en Skynet-karakter er to forskjellige ting: det ene er et \u00f8yeblikksbilde, det andre skal v\u00e6re levende.<\/p>

Fra formell verifikasjon til KI: hvorfor n\u00e5?<\/h2>

For \u00e5 forst\u00e5 KI-satsingen m\u00e5 man se p\u00e5 to ting som skjedde samtidig i krypto\u00f8konomien: det ble skrevet langt mer kode, og mye av den ble skrevet d\u00e5rligere. Verkt\u00f8y som genererer kode p\u00e5 kommando har senket terskelen for \u00e5 lage en smartkontrakt, men kvaliteten henger ikke med. En gjennomgang fra Center for Security and Emerging Technology i november 2024 fant at \u00abnesten halvparten av kodesnuttene\u00bb fra fem ledende modeller inneholdt feil, og en studie fra juli samme \u00e5r fant at de fremste modellene hadde en median andel sikker kode p\u00e5 under 35 prosent (Cointelegraph<\/a>). Mer kode, raskere skrevet, med flere hull: det er et marked for automatisert gransking.<\/p>

Samtidig har tradisjonell revisjon en kapasitetsgrense. En grundig manuell gjennomgang tar uker, koster mye og er et \u00f8yeblikksbilde: den gjelder koden slik den s\u00e5 ut den dagen rapporten ble skrevet. Ettersp\u00f8rselen etter revisjon vokser raskere enn tilgangen p\u00e5 dyktige menneskelige revisorer. En maskin som kan ta f\u00f8rstelinjen, flagge det \u00e5penbare og overv\u00e5ke kode d\u00f8gnet rundt, l\u00f8ser et reelt flaskehalsproblem, og den kan selges til langt flere kunder. Det er den forretningslogikken b\u00e5de AI Auditor og AI Skill Scanner skal betjene.<\/p>

AI Auditor: granskeren som aldri sover<\/h2>

AI Auditor ble lansert 7. april 2026, etter mer enn et halvt \u00e5r i praktisk bruk som internt verkt\u00f8y. CertiK oppgir at motoren har en \u00abkumulativ eksakt treffrate\u00bb p\u00e5 88,6 prosent m\u00e5lt mot 35 reelle sikkerhetshendelser fra 2026, og at den er bygd for lite st\u00f8y, alts\u00e5 f\u00e5 falske positiver, som er den kroniske plagen ved automatiske kodeskannere (Chainwire<\/a>). Verkt\u00f8yet er uttrykkelig posisjonert som et supplement til menneskelige revisorer, ikke en erstatning: det tar f\u00f8rstelinjens deteksjon og forh\u00e5ndssiling, slik at spesialistene kan bruke tiden p\u00e5 de kompliserte s\u00e5rbarhetene.<\/p>

Gu formulerte det slik ved lanseringen: \u00abVed \u00e5 filtrere bort endel\u00f8se falske positiver leverer AI Auditor klarhet med h\u00f8yt signal som er til \u00e5 handle p\u00e5, og gj\u00f8r sikkerhet fra en tradisjonell flaskehals til en s\u00f8ml\u00f8s akselerator for Web3-team.\u00bb Renset for salgsspr\u00e5k betyr det raskere, billigere og tidligere i utviklingsl\u00f8pet, slik at feil fanges f\u00f8r koden g\u00e5r live i stedet for i en kostbar sluttgjennomgang. For et selskap som vil p\u00e5 b\u00f8rs, er det samtidig en fortelling om inntjening som kan skaleres uten \u00e5 ansette tilsvarende mange revisorer.<\/p>

Teknisk er AI Auditor ment \u00e5 skyve sikkerheten tidligere i prosessen, det utviklere kaller \u00abshift left\u00bb: i stedet for \u00e9n stor gjennomgang helt p\u00e5 slutten kan motoren kj\u00f8re l\u00f8pende mens koden skrives, og CertiK tilbyr integrasjoner mot \u00e5pne KI-kodeassistenter slik at en advarsel kan dukke opp i det \u00f8yeblikket en s\u00e5rbar linje blir foresl\u00e5tt. Kombinert med Skynet, som overv\u00e5ker levende kontrakter etter lansering, er ambisjonen et sammenhengende b\u00e5nd fra f\u00f8rste kodelinje til d\u00f8gnkontinuerlig overv\u00e5king. Det er en ryddig visjon p\u00e5 papiret. Sp\u00f8rsm\u00e5let er om et b\u00e5nd som i s\u00e5 stor grad er automatisert, faktisk fanger det et trent menneske ville stusset over.<\/p>

AI Skill Scanner: \u00e5 revidere KI-agentene selv<\/h2>

Det andre verkt\u00f8yet peker motsatt vei. Der AI Auditor retter KI mot kode, retter AI Skill Scanner KI mot KI. En moderne KI-agent l\u00f8ser oppgaver ved \u00e5 kalle p\u00e5 \u00abferdigheter\u00bb (skills), sm\u00e5 moduler som kan hente data, kalle API-er eller flytte verdier. Skanneren, lansert i slutten av mai 2026, vurderer slike tredjeparts-ferdigheter f\u00f8r de kj\u00f8res, gir dem en karakter fra 0 til 100 med dommen best\u00e5tt, advarsel eller ikke best\u00e5tt, og lister funn gruppert etter alvorlighet. CertiK oppgir inntil 90,5 prosent presisjon og markedsf\u00f8rer produktet som \u00abantivirus for KI-alderen\u00bb (FinanceFeeds<\/a>, Benzinga<\/a>). Den ser etter skjult ondsinnet oppf\u00f8rsel, uautorisert datatilgang, risiko for autonom kj\u00f8ring og, viktigst for kryptoeiere, risiko for at en ferdighet kan flytte penger.<\/p>

\u00abEtter hvert som KI-agenter blir dypere integrert i finansielle systemer, i arbeidsflyter i bedrifter og i dagligdagse digitale samhandlinger, blir sikkerhetsmodellen rundt tredjeparts-ferdigheter kritisk viktig\u00bb, sa Gu ved lanseringen. M\u00e5lgruppen er forel\u00f8pig markedsplasser for KI-ferdigheter, bedrifter og utviklere, med vanlige brukere lenger fram i k\u00f8en. Til sammen tegner de to produktene et bilde av et revisjonshus som vil holde fire lag under oppsyn samtidig, oppsummert under.<\/p>

Lag<\/th>Hva det gransker<\/th>Status<\/th>N\u00f8kkeltall<\/th>Rolle<\/th><\/tr><\/thead>
Tradisjonell revisjon<\/td>Smartkontraktkode (manuelt + formell verifikasjon)<\/td>Kjernetjeneste siden 2018<\/td>115 000+ s\u00e5rbarheter funnet<\/td>Menneskelig dom, \u00f8yeblikksbilde<\/td><\/tr>
AI Auditor<\/td>Smartkontraktkode (automatisk)<\/td>7. april 2026<\/td>88,6 % treffrate mot 35 hendelser<\/td>F\u00f8rstelinje, supplement til mennesker<\/td><\/tr>
AI Skill Scanner<\/td>Tredjeparts KI-agent-ferdigheter<\/td>Slutten av mai 2026<\/td>Inntil 90,5 % presisjon, skala 0-100<\/td>\u00abAntivirus\u00bb f\u00f8r kj\u00f8ring<\/td><\/tr>
Skynet<\/td>Levende prosjekter (kontinuerlig)<\/td>Overv\u00e5kingsplattform<\/td>~500 mrd. USD markedsverdi fulgt<\/td>Varsling etter lansering<\/td><\/tr><\/tbody><\/table><\/figure>

KI-agenten som ny n\u00f8kkelholder<\/h2>

Hvorfor skal man i det hele tatt revidere en KI-agent? Fordi agentene har begynt \u00e5 oppf\u00f8re seg som n\u00f8kkelholdere. P\u00e5 kjeden finnes det n\u00e5 agenter med egne lommeb\u00f8ker som inng\u00e5r handler og flytter midler uten at et menneske trykker p\u00e5 knappen for hver transaksjon. Gu har beskrevet risikoen presist: \u00abEn KI-agent med tilgang til en lommebok er i praksis en ny type privilegert n\u00f8kkelholder, bortsett fra at beslutningene dens kan manipuleres gjennom inndata p\u00e5 m\u00e5ter et menneske kanskje fanger opp, men en d\u00e5rlig sikret agent ikke gj\u00f8r\u00bb (Forbes<\/a>).<\/p>

Et konkret eksempel gj\u00f8r faren tydelig. Se for deg en handelsagent som automatisk rebalanserer en portef\u00f8lje og har lov til \u00e5 signere transaksjoner opp til en viss grense. Installerer den en tredjeparts-ferdighet for \u00e5 \u00abhente bedre prisdata\u00bb, og den ferdigheten i det skjulte omdirigerer en godkjenning til angriperens adresse, er ingen smartkontrakt brutt; agenten gjorde bare det den ble lurt til \u00e5 gj\u00f8re. Det er denne klassen risiko, autonome agenter som forvalter penger i det som kalles DeFAI, AI Skill Scanner er bygd for \u00e5 fange f\u00f8r ferdigheten i det hele tatt f\u00e5r kj\u00f8re.<\/p>

Poenget er at en agent ikke utnyttes slik en kodefeil utnyttes. Den lar seg overtale. Et ondsinnet inndata, en manipulert prompt eller en forgiftet ferdighet kan f\u00e5 agenten til \u00e5 signere noe den aldri burde ha signert, uten at en eneste linje kode er \u00abhacket\u00bb i tradisjonell forstand. Det plasserer KI-agenten midt i den samme debatten som smartkontoer og nye mellomledd p\u00e5 kjeden: n\u00e5r maskiner f\u00e5r handle p\u00e5 dine vegne, hvem svarer da n\u00e5r maskinen tar feil? Vi har sett n\u00e6rmere p\u00e5 det maskineriet i gjennomgangen v\u00e5r av hvem som egentlig driver account abstraction<\/a>.<\/p>

N\u00e5r angriperne ogs\u00e5 f\u00e5r KI<\/h2>

KI er ikke bare et forsvarsverkt\u00f8y. De samme modellene som hjelper en revisor, hjelper en angriper, og CertiKs egne etterforskere advarer om nettopp det. Natalie Newson, seniorutreder i blockchain hos CertiK, oppsummerte trusselbildet slik: \u00abDet finnes n\u00e5 mer overbevisende deepfakes, autonome angrepsagenter og \u2039agentisk KI\u203a som p\u00e5 egen h\u00e5nd kan skanne smartkontrakter for feil, skrive exploit-kode og utf\u00f8re angrep i maskinfart\u00bb (CoinMarketCap<\/a>). Det er ikke hypotetisk: 15. april 2026 ble selskapet Zerion tappet for rundt 100 000 dollar (n\u00e6r en million kroner) i en operasjon med KI-assistert sosial manipulering, knyttet til nordkoreanske akt\u00f8rer.<\/p>

David Schwed, driftsdirekt\u00f8r i sikkerhetsfirmaet SVRN, beskriver hvordan angrepsmodellene har endret karakter: \u00abDisse modellene opptrer n\u00e5 slik en menneskelig angriper gj\u00f8r. De itererer, de tar neste steg basert p\u00e5 det de ser i sanntid\u00bb (CoinDesk<\/a>). Logikken bak CertiKs satsing er dermed defensiv i dobbel forstand: n\u00e5r angrep automatiseres og kj\u00f8res i maskinfart, m\u00e5 forsvaret matche tempoet. En menneskelig revisor som bruker tre uker, taper kappl\u00f8pet mot en agent som finner og utnytter et hull p\u00e5 minutter.<\/p>

Men kan en KI faktisk revidere?<\/h2>

Her ligger den egentlige pr\u00f8ven. En treffrate p\u00e5 88,6 prosent h\u00f8res h\u00f8yt ut, helt til man snur p\u00e5 tallet: motoren bommet p\u00e5 mer enn hver tiende kjente hendelse, og de kjente hendelsene er per definisjon de enkleste, nettopp fordi de allerede er beskrevet. Det vanskelige er det nye angrepet ingen har sett f\u00f8r, og der kommer dommen fortsatt fra et menneske.<\/p>

Schwed, som ellers er positiv til KI i sikkerhetsarbeid, setter grensen skarpt: \u00ab\u2039Claude, revider smartkontrakten min, ikke gj\u00f8r noen feil\u203a er ikke et sikkerhetsprogram. Hvis personen som kj\u00f8rer verkt\u00f8yet ikke kan vurdere det som kommer tilbake, har du ikke kj\u00f8pt sikkerhet, du har kj\u00f8pt en falsk f\u00f8lelse av den.\u00bb Samtidig roser han det reelle fremskrittet: \u00abkontinuerlig revisjon med foresl\u00e5tte utbedringer til en br\u00f8kdel av kostnaden, i stedet for en engangsgjennomgang du bare har r\u00e5d til \u00e9n gang\u00bb. Poenget er ikke at KI er verdil\u00f8st, men at det flytter arbeidet, ikke dommen.<\/p>

Utviklere p\u00e5 gulvet sier det samme. Anton Holovchenko, seniorutvikler i revisjonsfirmaet Hacken, oppsummerer: \u00abKI kan \u00f8ke kodekvaliteten, men bare sammen med et menneske som forst\u00e5r koden.\u00bb Mike Tiutin, teknologidirekt\u00f8r i AMLBot, tror verkt\u00f8yene gir \u00abflere protokoller med sterkere grunnsikkerhet, alts\u00e5 f\u00e6rre slurvefeil\u00bb, mens Shantanu Sontakke hos Zokyo bruker KI \u00abf\u00f8rst og fremst til prototyping, ikke til \u00e5 bygge ferdige kontrakter\u00bb (Cointelegraph<\/a>). Fellesnevneren er edruelig: KI gj\u00f8r lesingen raskere, men den gj\u00f8r ikke d\u00f8mmekraften valgfri.<\/p>

Revisjonsparadokset: pengene forlater koden<\/h2>

Her m\u00f8ter KI-fortellingen virkeligheten. CertiKs eget halv\u00e5rsregnskap for sikkerhet, Hack3d-rapporten, viser at krypto\u00f8konomien tapte rundt 1,31 milliarder dollar (cirka 12,6 milliarder kroner) over 344 hendelser i f\u00f8rste halv\u00e5r 2026 (GlobeNewswire<\/a>). Det interessante er ikke totalen, men formen. S\u00e5rbarheter i kode var den klart vanligste kategorien i antall, men den billigste per hendelse. De store pengene forsvant gjennom kompromitterte n\u00f8kler og phishing, alts\u00e5 mennesker og n\u00f8kkelh\u00e5ndtering, ikke buggete kontrakter.<\/p>

Angrepsvektor<\/th>Tap<\/th>Hendelser<\/th>Snitt per hendelse<\/th>Hva en koderevisjon fanger<\/th><\/tr><\/thead>
Kompromittert lommebok\/n\u00f8kler<\/td>~444 mill. USD (~4,3 mrd. kr)<\/td>33<\/td>~13 mill. USD<\/td>Lite til ingenting<\/td><\/tr>
Phishing<\/td>~366 mill. USD (~3,5 mrd. kr)<\/td>63<\/td>~6 mill. USD<\/td>Ingenting<\/td><\/tr>
S\u00e5rbarhet i kode<\/td>~152 mill. USD (~1,46 mrd. kr)<\/td>204<\/td>~0,75 mill. USD<\/td>Alt, men billigst<\/td><\/tr><\/tbody><\/table><\/figure>

M\u00f8nsteret er ikke en tilfeldighet. Gu har sagt det rett ut: \u00abAngripere f\u00e5r mer igjen for \u00e5 g\u00e5 etter n\u00f8kkelh\u00e5ndtering, multisig-styring og operasjonell infrastruktur enn for \u00e5 jakte p\u00e5 feil i koden\u00bb (Forbes<\/a>). September 2026 ble \u00e5rets verste m\u00e5ned med rundt 766 millioner dollar i tap, og fordelingen var talende: kompromittert tredjepartstjeneste sto for 387,5 millioner dollar og ugyldig signatur for 324,7 millioner, mens reentrancy, selve skolebokeksempelet p\u00e5 en kodefeil en revisor leter etter, var minst av alt med 2,2 millioner (The Crypto Times<\/a>).<\/p>

Dette er revisjonsparadokset, og det treffer KI-satsingen midt i ansiktet. AI Auditor og AI Skill Scanner gj\u00f8r CertiK bedre p\u00e5 kodelaget, men kodelaget er allerede den minste og billigste skiven av tapene. Schwed sier det kaldt: \u00abIngen kodeskanner hindrer en autorisert signerer i \u00e5 godkjenne en transaksjon de ikke kan verifisere.\u00bb En KI som leser kontrakter lynraskt endrer ingenting n\u00e5r en ansatt lures til \u00e5 signere en forfalsket overf\u00f8ring, n\u00e5r en privatn\u00f8kkel stjeles, eller n\u00e5r et backend-system manipuleres, slik det skjedde da b\u00f8rsen Bitget ble tappet for rundt 351,6 millioner dollar (cirka 3,4 milliarder kroner) i september, uten at en eneste privatn\u00f8kkel var stj\u00e5let (CoinDesk<\/a>). De samme angrepsklassene g\u00e5r igjen i angrepene som omg\u00e5r revisjonen helt<\/a>, i angrep p\u00e5 selve signaturtillatelsen<\/a>, og i de fysiske skiften\u00f8kkel-angrepene<\/a> der ingen kode er involvert i det hele tatt.<\/p>

Kontrasten mellom to av h\u00f8stens st\u00f8rste hendelser gj\u00f8r poenget konkret. Da Liquid Network ble rammet 6. september, var det en ekte kodefeil i valideringslaget som lot angriperen lage udekkede enheter, og tapet var p\u00e5 rundt 320 millioner dollar; likevel kom nesten 85 prosent av verdiene tilbake, blant annet fordi en white-hat-akt\u00f8r leverte dem (CoinDesk<\/a>). Bitget var det motsatte: koden holdt, men pengene er borte for godt. Til sammen bidro de to til at tredje kvartal 2026 endte p\u00e5 rundt 1,26 milliarder dollar i tap, opp n\u00e6r 54 prosent fra kvartalet f\u00f8r (Cointelegraph<\/a>). En KI som blir stadig bedre til \u00e5 lese kode, ville ha hjulpet mot Liquid-typen og v\u00e6rt maktesl\u00f8s mot Bitget-typen, og det er Bitget-typen som vokser.<\/p>

Et stempel er ikke en garanti: CertiKs egne skandaler<\/h2>

At et \u00abrevidert av CertiK\u00bb-stempel bare er et utgangspunkt, har selskapet demonstrert selv, b\u00e5de gjennom egne feilvurderinger og gjennom prosjekter som ble hacket med stempelet p\u00e5 plass. KI endrer ikke p\u00e5 det. To saker er verdt \u00e5 kjenne.<\/p>

Den f\u00f8rste er Kraken-saken fra juni 2024. CertiK-forskere fant en feil i innskuddssystemet til b\u00f8rsen Kraken og tok, over fem dager, ut rundt tre millioner dollar i reelle midler. Da Kraken ba om pengene tilbake, oppsto det strid om hvorvidt CertiK krevde en bel\u00f8nning f\u00f8rst, og noen av midlene ble rutet gjennom miksetjenesten Tornado Cash. Krakens sikkerhetssjef Nick Percoco var utvetydig: \u00abDette er ikke white-hat-hacking, det er utpressing\u00bb (CoinDesk<\/a>). CertiK mente p\u00e5 sin side at det var legitim forskning. Uansett hvem som hadde rett, viste saken at selv de som setter karakterene, kan havne i en etisk gr\u00e5sone.<\/p>

Den andre er mer alvorlig. CertiK reviderte stablecoinen USDH, utstedt i tilknytning til Huione, en kambodsjansk markedsplass som senere ble beskrevet som en av de st\u00f8rste ulovlige nettmarkedsplassene som noen gang er avdekket, med verkt\u00f8y for tvangsarbeid og svindelfabrikker. Da koblingen ble kjent i februar 2025, beklaget CertiK offentlig: \u00abVi beklager oppriktig overfor fellesskapet. Vi erkjenner at det \u00e5 jobbe med h\u00f8yrisikoprosjekter kan f\u00f8re til etiske betenkeligheter og videre konsekvenser. CertiK st\u00f8tter eller aksepterer ikke noen av Huiones aktiviteter\u00bb (DL News<\/a>). Til selskapets forsvar: det hadde gitt USDH lavest mulig Skynet-sk\u00e5r og en advarsel, og det ga revisjonshonoraret til veldedighet. Men listen over reviderte prosjekter som likevel kollapset er lang, fra rug pull-en Swaprum (rundt tre millioner dollar) til DEX-en Merlin (DL News<\/a>).<\/p>

KI endrer ikke forretningsmodellen<\/h2>

Bak b\u00e5de skandalene og KI-satsingen ligger den samme strukturelle svakheten, og den forsvinner ikke med automatisering. CertiK, som alle kryptorevisorer, f\u00e5r betalt av den kunden det reviderer. Prosjektet velger revisoren, prosjektet betaler regningen, og revisoren vil gjerne ha oppdraget igjen. Det er den samme interessekonflikten som kredittvurderingsbyr\u00e5ene levde med da de ga toppkarakter til boligl\u00e5nsobligasjoner f\u00f8r 2008, med \u00e9n forskjell: ratingbyr\u00e5er er registrert og under tilsyn, mens ingen myndighet godkjenner eller f\u00f8rer tilsyn med smartkontraktrevisorer.<\/p>

KI skrur opp spenningen i denne modellen i stedet for \u00e5 l\u00f8se den. Hele poenget med AI Auditor er volum: flere revisjoner, raskere, billigere, solgt til flere kunder. Legg til b\u00f8rsambisjonen, \u00f8nsket om \u00e5 bli det f\u00f8rste b\u00f8rsnoterte Web3-cybersikkerhetsselskapet, og presset for vekst i omsetning og aksjekurs trekker i samme retning, mot flere stempler. Et stempel som settes raskere og billigere, er ikke automatisk et stempel som er mer verdt. Det avhenger fortsatt av om mennesket bak maskinen tar seg tid til \u00e5 bruke d\u00f8mmekraften.<\/p>

Finanstilsynet, DORA og KI-forordningen: regelverkets blindsone<\/h2>

For en norsk leser er det et viktig poeng at ingen av CertiKs stempler, verken de manuelle eller de KI-drevne, er p\u00e5lagt eller godkjent av en tilsynsmyndighet. I Norge f\u00f8rer Finanstilsynet<\/a> tilsyn med kryptoeiendelstjenesteytere (CASP-er) under MiCA-regelverket, som gjelder her gjennom E\u00d8S-avtalen og kryptoeiendelsloven. Overgangsperioden l\u00f8p ut 1. juli 2026, og tilbydere som betjener norske kunder m\u00e5 ha tillatelse og fysisk tilstedev\u00e6relse i E\u00d8S. Men MiCA regulerer utstedere og tjenesteytere, ikke protokollkoden i seg selv, og krever ingen smartkontraktrevisjon.<\/p>

Regelverket som faktisk treffer tapsm\u00f8nsteret, er DORA, EUs forordning om digital operasjonell motstandsdyktighet, som har gjeldt for regulerte CASP-er siden januar 2025. DORA handler nettopp om IKT-risiko, tredjepartsleverand\u00f8rer og hendelsesh\u00e5ndtering, alts\u00e5 backend og drift, som er der de store pengene forsvinner. Men heller ikke DORA p\u00e5legger koderevisjon. Og KI-laget? EUs KI-forordning (AI Act) tr\u00e5dte i kraft i august 2024 med gradvis innfasing og regulerer KI-systemer generelt, men den sier ingenting om \u00e5 bruke en modell til \u00e5 revidere en smartkontrakt (Europakommisjonen<\/a>). Resultatet er en trippel blindsone: ingen godkjenner revisorene, ingen p\u00e5legger koderevisjon, og ingen sertifiserer KI-verkt\u00f8yene som n\u00e5 gj\u00f8r jobben. Skulle en nordmann bli frastj\u00e5let krypto, er det dessuten Skatteetaten som avgj\u00f8r, fra sak til sak, om tapet i det hele tatt er fradragsberettiget.<\/p>

Slik leser du et \u00abKI-revidert\u00bb stempel<\/h2>

Inntil et regelverk tetter hullene, hviler vurderingen p\u00e5 leseren. Her er en praktisk sjekkliste for \u00e5 lese et sikkerhetsstempel i 2026, enten det er satt av et menneske eller en maskin:<\/p>