{"id":545,"date":"2026-10-09T05:10:23","date_gmt":"2026-10-09T05:10:23","guid":{"rendered":"https:\/\/hoge.gg\/no\/certik-tillitslag-trust-layer-token2049-2026\/"},"modified":"2026-10-09T05:10:23","modified_gmt":"2026-10-09T05:10:23","slug":"certik-tillitslag-trust-layer-token2049-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/certik-tillitslag-trust-layer-token2049-2026\/","title":{"rendered":"CertiK blir \u00abtillitslag\u00bb: n\u00e5r revisjonen trekker seg tilbake"},"content":{"rendered":"

Da CertiK gikk p\u00e5 scenen under TOKEN2049 i Singapore 8. oktober 2026, var det ikke et nytt produkt selskapet kunngjorde. Det var et nytt navn p\u00e5 seg selv. Firmaet som i snart ti \u00e5r har kalt seg kryptobransjens revisor, omd\u00f8pte seg til \u00abtillitslaget for digitale verdier\u00bb (p\u00e5 engelsk \u00abThe Trust Layer for Digital Value\u00bb). Et navnebytte er i utgangspunktet markedsf\u00f8ring. Men akkurat dette navnebyttet leser mer som en innr\u00f8mmelse: kartet over hvor kryptopengene forsvinner, f\u00f8lger ikke lenger kartet over hva en revisjon faktisk ser p\u00e5.<\/p>

Tallene gir navnebyttet tyngde. Etter ni m\u00e5neder av 2026 har kryptosektoren tapt rundt 2,68 milliarder dollar (n\u00e6r kr 26 milliarder) fordelt p\u00e5 656 registrerte hendelser, if\u00f8lge CertiKs eget Skynet-datagrunnlag gjengitt av Atlas21<\/a>. September ble \u00e5rets verste m\u00e5ned med rundt 766 millioner dollar (kr 7,4 milliarder), if\u00f8lge The Crypto Times<\/a>. Og en smartkontraktrevisjon, selve produktet CertiK ble bygget p\u00e5, ville ha fanget nesten ingenting av det. Denne artikkelen ser p\u00e5 hva CertiK faktisk kunngjorde, hvorfor det skjer akkurat n\u00e5, og hva et \u00absikret av CertiK\u00bb-stempel er verdt i en bransje der tapene har flyttet seg bort fra koden.<\/p>

Hva CertiK faktisk kunngjorde i Singapore<\/h2>

Kunngj\u00f8ringen kom p\u00e5 den asiatiske utgaven av TOKEN2049, som gikk av stabelen p\u00e5 Marina Bay Sands 7. og 8. oktober. CertiK presenterte en ny posisjonering, \u00abThe Trust Layer for Digital Value\u00bb (tillitslaget for digitale verdier), og et nytt oppdrag: \u00abBuilding the Trust Infrastructure for the Digital Economy\u00bb (\u00e5 bygge tillitsinfrastrukturen for den digitale \u00f8konomien). Budskapet var at selskapet ikke lenger vil v\u00e6re en Web3-sikkerhetsspesialist alene, men en leverand\u00f8r av sikkerhet, etterlevelse og risikooversikt til finansinstitusjoner, tilsynsmyndigheter og store virksomheter. Det er et betydelig steg bort fra bildet av et firma som leser smartkontrakter for DeFi-prosjekter.<\/p>

Forretningsdirekt\u00f8r (Chief Business Officer) Jason Jiang formulerte skiftet slik, gjengitt av mpost.io<\/a> og nyhetstr\u00e5den til TradingView<\/a>: \u00abDigitale verdier endrer m\u00e5ten verdi flytter seg p\u00e5. Institusjoner som tilbyr tjenester for digitale verdier, og tilsynsmyndighetene som f\u00f8rer tilsyn med dem, trenger at sikkerhet, etterlevelse og risikooversikt virker sammen. Merkevarel\u00f8ftet v\u00e5rt gjenspeiler hvordan CertiK har utviklet seg for \u00e5 m\u00f8te de behovene, og ambisjonen v\u00e5r om \u00e5 v\u00e6re tillitslaget for digitale verdier.\u00bb<\/p>

Bak den nye logoen ligger en tydeligere oppdeling av hva selskapet selger. Tilbudet er n\u00e5 delt i produkter (programvare som kj\u00f8rer kontinuerlig, som overv\u00e5kingsmotoren Skynet og den KI-baserte AI Auditor<\/a>) og tjenester (menneskedrevet arbeid p\u00e5 oppdrag). Tabellen under viser portef\u00f8ljen slik den ble lagt fram i Singapore.<\/p>

Produkter (kontinuerlig programvare)<\/th>Tjenester (oppdragsbasert arbeid)<\/th><\/tr><\/thead>
Skynet (sanntidsoverv\u00e5king og risikoscore)<\/td>Smart Contract Audit (manuell kodegjennomgang)<\/td><\/tr>
CertiK Compliance (etterlevelse og AML)<\/td>Expert Formal Verification (formell verifikasjon)<\/td><\/tr>
CertiK Supervision (tilsynsverkt\u00f8y)<\/td>Penetration Testing (penetrasjonstesting)<\/td><\/tr>
CertiK AI Auditor (KI-basert kodeanalyse)<\/td>Proof of Reserves (reservebevis)<\/td><\/tr>
<\/td>Validator Services (validatordrift)<\/td><\/tr><\/tbody><\/table>
CertiKs produkt- og tjenesteportef\u00f8lje etter merkevarel\u00f8ftet, slik den ble presentert p\u00e5 TOKEN2049. Kilde: mpost.io og Chainwire.<\/figcaption><\/figure>

Hvem er CertiK?<\/h2>

CertiK ble grunnlagt i 2018 i New York av to akademikere: Ronghui Gu, f\u00f8rsteamanuensis i informatikk ved Columbia University, og Zhong Shao, professor og instituttleder i informatikk ved Yale. Opphavet er uvanlig for et kryptofirma. I 2016 bygde de to CertiKOS, den f\u00f8rste fullstendig formelt verifiserte flerkjerne-operativsystemkjernen; navnet CertiK kommer fra \u00abCertified Kernel\u00bb. Tanken var \u00e5 ta matematisk bevisf\u00f8rsel fra operativsystemverdenen og rette den mot smartkontrakter, der \u00e9n enkelt feil kan t\u00f8mme brukerne p\u00e5 sekunder. Det er dette som gj\u00f8r formell verifikasjon til selskapets faglige ryggrad, et verkt\u00f8y som ikke bare leter etter kjente feiltyper, men beviser at en kontrakt oppf\u00f8rer seg n\u00f8yaktig som spesifisert.<\/p>

I dag er CertiK blant de st\u00f8rste akt\u00f8rene i bransjen. If\u00f8lge selskapets egne tall ved merkevarel\u00f8ftet har det mer enn 5.500 kunder i over 150 land og regioner, har avdekket over 119.000 kodes\u00e5rbarheter og har \u00absikret\u00bb digitale verdier for mer enn 600 milliarder dollar (over kr 5.700 milliarder). Ved siden av revisjoner driver selskapet Skynet, en overv\u00e5kingsmotor som f\u00f8lger prosjekter kontinuerlig og gir dem en l\u00f8pende risikoscore. Firmaet har hentet inn kapital fra blant andre Binance, Coinbase og SoftBank, og ble i en finansieringsrunde i 2022 verdsatt til rundt 2 milliarder dollar (kr 19 milliarder), if\u00f8lge The Block<\/a>. Det er dette apparatet som n\u00e5 skifter etikett.<\/p>

Veien fra 2018 til i dag forklarer mye av navnebyttet. CertiK startet som et rent revisjonshus, la s\u00e5 til Skynet for \u00e5 overv\u00e5ke prosjekter etter lansering, og bygde deretter ut etterlevelses- og tilsynsverkt\u00f8y da institusjonene begynte \u00e5 banke p\u00e5. \u00abTillitslag\u00bb er navnet selskapet n\u00e5 setter p\u00e5 hele den stabelen. Sp\u00f8rsm\u00e5let er om kundene opplever det som ett sammenhengende sikkerhetsnett, eller som en samling tjenester som selges hver for seg under en felles logo.<\/p>

Hvorfor \u00abtillitslag\u00bb og ikke \u00abrevisor\u00bb?<\/h2>

Forskjellen mellom de to ordene er ikke bare spr\u00e5klig. En revisor gj\u00f8r en punktvis vurdering: koden gjennomg\u00e5s \u00e9n gang f\u00f8r lansering, f\u00e5r en godkjenning, og s\u00e5 g\u00e5r prosjektet videre. Problemet er at faren ikke forsvinner n\u00e5r lanseringen er over. Et prosjekt kan best\u00e5 en plettfri revisjon og likevel miste millioner m\u00e5neder senere, fordi en n\u00f8kkel ble stj\u00e5let, en administratorrolle misbrukt eller et backend-system forfalsket. Revisjonen svarer p\u00e5 sp\u00f8rsm\u00e5let \u00aber koden riktig skrevet?\u00bb, men de dyreste tapene i 2026 svarer p\u00e5 et annet sp\u00f8rsm\u00e5l: \u00abhvem kontrollerer n\u00f8klene, serverne og rutinene etterp\u00e5?\u00bb<\/p>

Et \u00abtillitslag\u00bb lover noe annet enn en attest: kontinuerlig innsikt. Skynet-overv\u00e5king som f\u00f8lger prosjektet etter lansering, etterlevelsesverkt\u00f8y som sjekker hvem som st\u00e5r bak pengene, og risikoscore som institusjoner kan lene seg p\u00e5. Skiftet fra \u00abrevisor\u00bb til \u00abtillitsinfrastruktur\u00bb er dermed et fors\u00f8k p\u00e5 \u00e5 selge noe som l\u00f8per hele tiden, i stedet for en engangsattest som fort blir utdatert. Det er en kommersielt fornuftig man\u00f8ver, og den peker mot et reelt problem. Men den reiser samtidig et ubehagelig sp\u00f8rsm\u00e5l: hvis revisjonen var nok, hvorfor trenger bransjen plutselig et helt lag med tillit opp\u00e5?<\/p>

Revisjonsparadokset: kartet over tap f\u00f8lger ikke kartet over revisjoner<\/h2>

Kjernen i hele navnebyttet er det CertiKs egne tall har pekt mot i over et \u00e5r: pengene forsvinner ikke lenger f\u00f8rst og fremst gjennom feil i koden. De forsvinner gjennom n\u00f8kler, signeringsrutiner, administratorroller og tredjepartssystemer, alts\u00e5 i driften rundt koden. Medgrunnlegger og toppsjef Ronghui Gu sa det rett ut i en gjennomgang av halv\u00e5rstallene, gjengitt av Forbes<\/a>: \u00abAngriperne f\u00e5r mer igjen for \u00e5 g\u00e5 etter n\u00f8kkelh\u00e5ndtering, multisig-styring og operasjonell infrastruktur enn for \u00e5 jakte p\u00e5 feil i kode.\u00bb<\/p>

Forklaringen p\u00e5 skiftet er dels at kodegransking har modnet. Standardbiblioteker, bedre verkt\u00f8y og et ti\u00e5r med kjente feiltyper gj\u00f8r at en kompetent revisjon i dag fanger det meste av den klassiske smartkontraktrisikoen. Dels har angriperne blitt mer profesjonelle og flyttet innsatsen dit pengene og de svakeste leddene er: menneskene, n\u00f8klene og driftssystemene. N\u00e5r selve koden er blitt vanskeligere \u00e5 knekke, g\u00e5r de rundt den.<\/p>

Den samme rapporten viste hvordan tapene fordeler seg. I f\u00f8rste halv\u00e5r 2026 sto kompromitterte lommeb\u00f8ker for rundt 444 millioner dollar fordelt p\u00e5 bare 33 hendelser, den dyreste kategorien per angrep. Phishing tok rundt 366 millioner dollar over 63 hendelser. Rene kodes\u00e5rbarheter sto for rundt 152 millioner dollar, men fordelt p\u00e5 204 hendelser; det er den vanligste typen og samtidig den billigste per angrep. Med andre ord: det revisjoner er aller best til \u00e5 fange, er det som koster minst. De store summene ligger andre steder.<\/p>

September 2026 er den reneste illustrasjonen man kan tenke seg. Bryter man m\u00e5nedens tap ned p\u00e5 s\u00e5rbarhetstype, havner reentrancy, selve skrekkeksempelet enhver smartkontraktrevisjon leter etter, helt nederst. Den klassiske kodefeilen er blitt en avrundingspost, mens tredjepartssystemer og signaturfeil dominerer. Dette er grunnen til at kartet over tap ikke lenger f\u00f8lger kartet over revisjoner.<\/p>

S\u00e5rbarhetstype (september 2026)<\/th>Tap<\/th>Typisk eksempel<\/th><\/tr><\/thead>
Tredjepartstjeneste<\/td>$387,5M (kr 3,7 mrd)<\/td>Bitget<\/td><\/tr>
Ugyldig signatur eller valideringsfeil<\/td>$324,7M (kr 3,1 mrd)<\/td>Liquid Network<\/td><\/tr>
Lommebok-kompromittering<\/td>$20,1M (kr 190M)<\/td>N\u00f8kkeltyveri<\/td><\/tr>
Mangelfull tilgangsstyring<\/td>$13,3M (kr 130M)<\/td>Administratorrolle<\/td><\/tr>
Reentrancy (klassisk kodefeil)<\/td>$2,2M (kr 21M)<\/td>Smartkontraktfeil<\/td><\/tr><\/tbody><\/table>
September 2026 fordelt p\u00e5 s\u00e5rbarhetstype. Den klassiske kodefeilen revisjoner jakter mest p\u00e5, reentrancy, er minst. Kilde: CertiK via The Crypto Times.<\/figcaption><\/figure>

Tapene flytter seg til og med helt ut av det digitale. CertiKs trusseletterretning har dokumentert en kraftig \u00f8kning i fysiske angrep mot kryptoeiere, s\u00e5kalte skiften\u00f8kkelangrep, der ran, kidnapping og tvang brukes til \u00e5 presse fram private n\u00f8kler. Vi har sett n\u00e6rmere p\u00e5 det fenomenet i gjennomgangen v\u00e5r av fysisk tvang mot kryptoeiere<\/a>. Poenget er det samme: ingen smartkontraktrevisjon stopper en angriper som g\u00e5r etter mennesket i stedet for koden.<\/p>

Hackene stopper ikke: 79thVault, Base Vault og Bitget<\/h2>

Samme uke som CertiK byttet navn, fortsatte hendelsene \u00e5 rulle inn, og nesten ingen av dem handlet om feil i koden. 4. oktober ble en ikke navngitt DeFi-hvelvprotokoll p\u00e5 Base tappet for rundt 1.783 wstETH (omtrent 6 millioner dollar, kr 58 millioner). Angriperen fikk en ondsinnet kontrakt lagt inn p\u00e5 hvelvets hviteliste via en Safe-multisig, og l\u00f8ste s\u00e5 ut posisjonen gjennom Aave V3. Sikkerhetsfirmaet Blockaid oppdaget uttakene, og The Crypto Times<\/a> beskriver dette som en svikt i multisig-styringen og tilgangskontrollen, ikke i selve kontraktkoden. Nettopp den typen angrep, der selve tillatelsen er m\u00e5let, har vi g\u00e5tt grundig gjennom i analysen v\u00e5r av multisig i 2026<\/a>.<\/p>

Tre dager senere, 7. oktober, mistet prosjektet 79thVault rundt 12,5 millioner dollar (kr 120 millioner) p\u00e5 BNB Chain. Her ble operat\u00f8rens private n\u00f8kkel kompromittert; en OPERATOR_ROLE-funksjon flyttet 79AU-tokener ut av likviditetspoolen p\u00e5 PancakeSwap og solgte dem for BNB. CertiK flagget hendelsen som et mistenkt angrep, og teamet har foresl\u00e5tt en white-hat-avtale med angriperen, if\u00f8lge The Crypto Times<\/a>. Igjen: en n\u00f8kkel, ikke en kodefeil.<\/p>

Det st\u00f8rste eksempelet er likevel fra september. 24. september ble b\u00f8rsen Bitget tappet for rundt 351,6 millioner dollar (kr 3,4 milliarder), \u00e5rets st\u00f8rste enkelttyveri fra en sentralisert b\u00f8rs. (CertiK f\u00f8rer hendelsen som 387,5 millioner dollar i sin egen kategoritelling, klassifisert som \u00abtredjepartstjeneste\u00bb; vi oppgir det faktisk drenerte bel\u00f8pet som hovedtall og CertiKs telling ved siden av.) Toppsjef Gracy Chen forklarte mekanismen til CoinDesk<\/a>: \u00abAngriperen kompromitterte et kritisk backend-system i lommebokinfrastrukturen v\u00e5r, brukte det til \u00e5 forfalske transaksjonsdata, og utl\u00f8ste v\u00e5r egen godkjenningsprosess for \u00e5 flytte midler ut. Kompromittering av private n\u00f8kler er utelukket.\u00bb Koden holdt; husets egen papirm\u00f8lle ble vendt mot huset. CertiK reviderte ikke Bitget, men kommenterte saken som observat\u00f8r. Esme Pau, leder for kapitalmarkeder og politikk i CertiK, kalte hendelsen \u00abet av de mest omfattende angrepene mot en sentralisert b\u00f8rs i 2026\u00bb og \u00abenda en vekker for digitale verdier-bransjen\u00bb, if\u00f8lge Insurance Journal<\/a>.<\/p>

Hendelse<\/th>Dato<\/th>Tap<\/th>Mekanisme<\/th>Feil i koden?<\/th><\/tr><\/thead>
Base Vault<\/td>4. okt<\/td>~$6M (kr 58M)<\/td>Ondsinnet kontrakt lagt til hvitelisten via multisig<\/td>Nei (tilgang)<\/td><\/tr>
79thVault<\/td>7. okt<\/td>~$12,5M (kr 120M)<\/td>Operat\u00f8rens private n\u00f8kkel kompromittert<\/td>Nei (n\u00f8kkel)<\/td><\/tr>
Bitget<\/td>24. sept<\/td>~$351,6M (kr 3,4 mrd)<\/td>Backend forfalsket, egen signeringsflyt misbrukt<\/td>Nei (drift)<\/td><\/tr>
Liquid Network<\/td>6. sept<\/td>~$318,7M (kr 3,1 mrd)<\/td>Feil i valideringskode ga udekket L-BTC<\/td>Ja (kode)<\/td><\/tr><\/tbody><\/table>
Fire av de st\u00f8rste hendelsene h\u00f8sten 2026. Bare \u00e9n skyldtes feil i selve koden. Kilder: CoinDesk, The Crypto Times og Halborn.<\/figcaption><\/figure>

Liquid Network-saken er den l\u00e6rerike motsatsen. Der var det faktisk en kodefeil, i valideringslogikken til Blockstreams sidekjede, som lot angriperen lage udekket L-BTC. Men fordi en white-hat grep inn, kom rundt 85 prosent av de n\u00e6rmere 4.000 bitcoinene tilbake, if\u00f8lge Halborn<\/a>. Kontrasten er talende: da koden knakk, kom pengene i stor grad tilbake; da driften sviktet hos Bitget, var de borte for godt. Det er dette m\u00f8nsteret et \u00abtillitslag\u00bb skal fange, og som en ren kodegjennomgang per definisjon ikke kan.<\/p>

\u00c5 betjene b\u00e5de institusjoner og tilsynsmyndigheter<\/h2>

Den mest interessante setningen i Jiangs uttalelse er den om at institusjoner \u00abog tilsynsmyndighetene som f\u00f8rer tilsyn med dem\u00bb trenger de samme verkt\u00f8yene. CertiK posisjonerer seg alts\u00e5 for \u00e5 selge til begge sider av bordet samtidig: til bankene og b\u00f8rsene som vil inn i digitale verdier, og til myndighetene som skal passe p\u00e5 dem. Det er ikke en teoretisk ambisjon. I september signerte selskapet en langsiktig avtale med sentralbanken i Kirgisistan om \u00e5 sikre landets planlagte digitale sentralbankvaluta, if\u00f8lge en pressemelding via GlobeNewswire<\/a>. Oppdraget plasserer CertiK midt i selve pengeinfrastrukturen til en stat, ikke i utkanten av et DeFi-eksperiment.<\/p>

For en bransje som vokser inn i institusjonell kapital, er dette logisk. Store forvaltere, banker og b\u00f8rser trenger noen som kan dokumentere at systemene deres t\u00e5ler et tilsyn, og myndigheter trenger teknisk kompetanse de ofte ikke har internt. Men det dobbelte kundeforholdet har en innebygd spenning. N\u00e5r den samme leverand\u00f8ren b\u00e5de skal hjelpe en akt\u00f8r \u00e5 best\u00e5 og gi myndigheten verkt\u00f8yene til \u00e5 vurdere den akt\u00f8ren, blir uavhengigheten satt under press. Til sammenligning er Norges Bank forsiktig: banken konkluderte i desember 2025 med at en digital krone ikke er n\u00f8dvendig n\u00e5, men at den holder seg forberedt, if\u00f8lge Norges Bank<\/a>. Der en stat som Kirgisistan skynder seg og hyrer inn en krypton\u00e6r leverand\u00f8r, holder norske myndigheter en armlengdes avstand.<\/p>

Timingen er ingen tilfeldighet. 2026 er \u00e5ret da institusjonell kapital for alvor har beveget seg inn i digitale verdier, gjennom b\u00f8rshandlede fond, regulerte stablecoins og banker som bygger forvaringstjenester. Disse akt\u00f8rene kj\u00f8per ikke et PDF-stempel; de kj\u00f8per kontinuerlig risikostyring, etterlevelsesdokumentasjon og noen \u00e5 holde ansvarlig n\u00e5r noe g\u00e5r galt. Det er dette markedet CertiK sikter mot med \u00abtillitslag\u00bb, og det er et langt st\u00f8rre marked enn revisjon av DeFi-kontrakter alene.<\/p>

Proof of Reserves og validatortjenester: n\u00e5r revisoren blir operat\u00f8r<\/h2>

To punkter i den nye tjenestelisten fortjener ekstra oppmerksomhet, fordi de flytter CertiK fra \u00e5 vurdere andres systemer til \u00e5 drive dem. \u00abProof of Reserves\u00bb (reservebevis) er en attest p\u00e5 at en b\u00f8rs faktisk har de midlene den sier den har. \u00abValidator Services\u00bb (validatordrift) betyr at CertiK kan kj\u00f8re noder som er med p\u00e5 \u00e5 bekrefte transaksjoner p\u00e5 en blokkjede. Begge deler er nyttige i seg selv, og begge svarer p\u00e5 reelle behov etter kollapser som FTX. Men begge deler gj\u00f8r ogs\u00e5 at den som skal granske, selv blir en akt\u00f8r i systemet den gransker.<\/p>

Det er den samme typen interessekonflikt som finansbransjen kjenner fra f\u00f8r: en revisor som ogs\u00e5 selger lukrative konsulenttjenester til klienten, mister noe av sin uavhengighet. N\u00e5r tillitslaget b\u00e5de utsteder attester, driver validatorer og selger overv\u00e5king til de samme kundene, blir det vanskeligere \u00e5 vite hvem som vokter hvem. Det er ikke et argument mot tjenestene i seg selv; markedet trenger dem. Men det er en god grunn til \u00e5 lese et \u00absikret av CertiK\u00bb-merke som en begynnelse p\u00e5 en vurdering, ikke som en konklusjon.<\/p>

Reservebevis illustrerer poenget godt. En vanlig Merkle-tre-basert attest viser at en b\u00f8rs kontrollerer visse eiendeler p\u00e5 et gitt tidspunkt, men sier lite om gjelden p\u00e5 den andre siden av balansen, om eiendelene er l\u00e5nt inn for anledningen, eller om de fortsatt er der dagen etter. Et \u00f8yeblikksbilde av reservene er bedre enn ingenting, men det er ikke det samme som en l\u00f8pende, revisorbekreftet soliditet. Ogs\u00e5 her er attesten en begynnelse, ikke en garanti.<\/p>

\u00abUtsteder betaler\u00bb: konflikten som overlever navnebyttet<\/h2>

Under alt dette ligger en konflikt som ingen merkevare\u00f8velse fjerner: det er kunden som velger og betaler revisoren. En smartkontraktrevisjon bestilles og betales av prosjektet som skal revideres, akkurat som kredittvurderingsbyr\u00e5ene (Moody’s, S&P, Fitch) i sin tid ble betalt av dem som utstedte gjelden de skulle vurdere. Det var denne \u00abutsteder betaler\u00bb-modellen som ga AAA-stempler p\u00e5 subprime-l\u00e5n f\u00f8r finanskrisen i 2008. Forskjellen er at kredittbyr\u00e5ene er registrert og under tilsyn av myndigheter som SEC og ESMA; for smartkontraktrevisorer finnes det ingen slik myndighet, verken i USA eller i Norge.<\/p>

CertiK har samtidig uttalt ambisjon om \u00e5 bli det f\u00f8rste b\u00f8rsnoterte Web3-sikkerhetsselskapet. Toppsjef Gu sa til The Block<\/a>: \u00abVi har fortsatt ingen veldig konkret b\u00f8rsplan. Men dette er definitivt m\u00e5let vi forf\u00f8lger.\u00bb Selskapet har knyttet merkevarel\u00f8ftet til nettopp den b\u00f8rsreisen, og CoinDesk har beskrevet hvordan firmaet har fors\u00f8kt \u00e5 gjenoppbygge tillit f\u00f8r en notering<\/a>. En b\u00f8rsnotering kan skjerpe disiplinen gjennom \u00e5penhet, revisjonsplikt og juridisk ansvar. Men den legger ogs\u00e5 press p\u00e5 vekst og aksjekurs opp\u00e5 en modell der den reviderte kunden betaler, og det presset trekker mot volum, ikke n\u00f8dvendigvis mot strenghet. Navnebyttet til \u00abtillitslag\u00bb l\u00f8ser ikke dette; det utvider snarere kundelisten konflikten gjelder for.<\/p>

Nord-Korea og statsakt\u00f8rene<\/h2>

En viktig grunn til at tapene har flyttet seg bort fra koden, er hvem som n\u00e5 st\u00e5r bak de st\u00f8rste angrepene. Dette er ikke lenger bare opportunistiske utviklere som utnytter en glipp i en kontrakt. Det er organiserte, til dels statsst\u00f8ttede grupper som g\u00e5r etter n\u00f8kler, ansatte og driftssystemer. Analysefirmaet Elliptic ansl\u00e5r at nordkoreanskknyttede akt\u00f8rer har stj\u00e5let over 1 milliard dollar (kr 9,6 milliarder) p\u00e5 tvers av mer enn 50 hendelser i 2026, gjengitt av Atlas21<\/a>. Bitget-tyveriet knyttes \u00abh\u00f8yst sannsynlig\u00bb til Nord-Korea, og rundt 286 millioner dollar av Drift-angrepet tidligere i \u00e5r skal v\u00e6re koblet til samme milj\u00f8.<\/p>

M\u00f8nsteret er ikke nytt. Det st\u00f8rste kryptotyveriet noensinne, Bybit-hacket i februar 2025 p\u00e5 rundt 1,46 milliarder dollar (kr 14 milliarder), ble utf\u00f8rt av Lazarus-gruppen ved at en utviklermaskin knyttet til Safe{Wallet} ble kompromittert, slik at signererne godkjente en ondsinnet transaksjon i god tro, if\u00f8lge BleepingComputer<\/a>. Smartkontrakten var revidert og korrekt; angrepet traff signeringsflyten, akkurat som hos Bitget sju m\u00e5neder senere. Mot en slik motstander er en engangsrevisjon av koden omtrent like relevant som en brannattest er mot innbrudd. Det er dette terrenget CertiK fors\u00f8ker \u00e5 dekke n\u00e5r det kaller seg et tillitslag i stedet for en revisor.<\/p>

Statsakt\u00f8rene n\u00f8yer seg heller ikke med \u00e5 angripe utenfra. Gjennom 2026 har etterforskere dokumentert hvordan nordkoreanske IT-arbeidere har sluset seg inn i kryptoselskaper med falske identiteter, for s\u00e5 \u00e5 stjele midler eller plante bakd\u00f8rer innenfra. Det er en trusseltype ingen kodegjennomgang fanger, fordi angriperen sitter p\u00e5 innsiden av organisasjonen med legitime tilganger. Nettopp derfor legger CertiK vekt p\u00e5 etterlevelse, bakgrunnssjekk og kontinuerlig overv\u00e5king i den nye profilen.<\/p>

Kraken og Huione: arrene CertiK b\u00e6rer med seg<\/h2>

Et firma som vil selge tillit, m\u00e5 t\u00e5le at dets egen historie blir gransket. CertiK har to saker som gjentatt dukker opp. Den f\u00f8rste er Kraken-saken fra 2024, der CertiK-forskere utnyttet en feil i b\u00f8rsens innskuddssystem og tok ut rundt 3 millioner dollar i reelle midler, for s\u00e5, if\u00f8lge Kraken, \u00e5 n\u00f8le med \u00e5 levere dem tilbake uten \u00e5 forhandle om en bel\u00f8nning. Krakens sikkerhetssjef Nick Percoco var krass overfor CoinDesk<\/a>: \u00abDette er ikke white-hat-hacking, det er pengeutpressing.\u00bb CertiK avviste beskrivelsen og hevdet p\u00e5 sin side at det var legitim forskning, og at Kraken hadde opptr\u00e5dt truende.<\/p>

Den andre er Huione-saken. CertiK hadde revidert smartkontrakten til stablecoinen USDH, som var knyttet til Huione Guarantee, et kambodsjansk nettmarked som senere ble omtalt som det st\u00f8rste ulovlige nettmarkedet noensinne. Da koblingen ble kjent, beklaget selskapet til DL News<\/a>: \u00abVi beklager oppriktig overfor fellesskapet. Vi erkjenner at det \u00e5 jobbe med h\u00f8yrisikoprosjekter kan f\u00f8re til etiske bekymringer og videre konsekvenser. CertiK st\u00f8tter ikke og aksepterer ikke noen av aktivitetene Huione har bedrevet.\u00bb Selskapet viste samtidig til at det hadde gitt prosjektet lavest mulig Skynet-score og en advarsel. Begge sakene minner om det samme: et stempel fra et sikkerhetsfirma er ikke en garanti, og et tillitslag som vil selge til banker og stater, f\u00e5r mindre rom for den typen episoder, ikke mer.<\/p>

Hva en revisjon kan og ikke kan love<\/h2>

Det er lett \u00e5 lese kritikken over som at revisjoner er verdil\u00f8se. Det er feil. En god kodegjennomgang fanger reentrancy, feil i tilgangslogikk, heltallsoverflyt og en lang rekke feil som ellers ville blitt st\u00e5ende. Formell verifikasjon, CertiKs faglige ryggrad, kan matematisk bevise at en kontrakt oppf\u00f8rer seg som spesifisert. Et prosjekt uten revisjon er m\u00e5lbart farligere enn et med. Problemet er ikke at revisjonen ikke virker, men at den bare dekker ett lag av en stabel som er blitt mye h\u00f8yere enn den var for noen \u00e5r siden.<\/p>

En revisjon kan si at koden gj\u00f8r det den skal p\u00e5 det tidspunktet den ble lest. Den kan ikke love at n\u00f8klene er trygge, at backend-systemene ikke kan forfalskes, at en ansatt ikke blir lurt, eller at en administratorrolle ikke misbrukes et halvt \u00e5r senere. CertiK er ikke alene om \u00e5 pr\u00f8ve \u00e5 tette det gapet; konkurrenter som Trail of Bits skyver sikkerheten ut mot enheter og mennesker, noe vi har sett p\u00e5 i gjennomgangen av mobiltrusselen<\/a>. \u00abTillitslag\u00bb er navnet p\u00e5 fors\u00f8ket p\u00e5 \u00e5 dekke hele stabelen, fra kode til n\u00f8kler til etterlevelse. Om navnet holder, avgj\u00f8res av om den kontinuerlige overv\u00e5kingen faktisk stopper tap, ikke bare teller dem opp etterp\u00e5.<\/p>

Det er ogs\u00e5 verdt \u00e5 v\u00e6re edruelig om KI-verkt\u00f8yene. CertiKs AI Auditor kan lese mer kode raskere og billigere enn et menneske, og den er nyttig til \u00e5 luke ut kjente feil tidlig. Men et verkt\u00f8y som foresl\u00e5r rettinger, erstatter ikke vurderingen av om rettingene gir mening, og det stopper ikke en angriper som forfalsker et backend-system eller lurer en ansatt. KI gj\u00f8r gjennomlesningen raskere; den gj\u00f8r ikke skj\u00f8nnet overfl\u00f8dig.<\/p>

Finanstilsynet, MiCA og DORA: \u00e5 betjene tilsynet uten \u00e5 v\u00e6re under tilsyn<\/h2>

For norske lesere er det verdt \u00e5 v\u00e6re presis p\u00e5 hva reguleringen faktisk dekker. MiCA-regelverket er innlemmet i E\u00d8S-avtalen og gjennomf\u00f8rt i norsk rett gjennom kryptoeiendelsloven. Finanstilsynet<\/a> gir tillatelse til og f\u00f8rer tilsyn med tilbydere av kryptoeiendelstjenester (CASP-er), som b\u00f8rser og forvaringsforetak; overgangsperioden for eksisterende akt\u00f8rer l\u00f8p ut 1. juli 2026, og en tjenesteyter m\u00e5 ha fysisk tilstedev\u00e6relse i E\u00d8S. Men verken MiCA eller noen norsk lov p\u00e5legger et kryptoprosjekt \u00e5 f\u00e5 koden revidert, og ingen myndighet akkrediterer smartkontraktrevisorer. Et \u00abCertiK-revidert\u00bb-merke er med andre ord et privat kvalitetsstempel, ikke en offentlig godkjenning. (Hvor MiCA-grensen g\u00e5r mellom selvforvaring og tjeneste, har vi sett n\u00e6rmere p\u00e5 i gjennomgangen av smartkontoens juss<\/a>.)<\/p>

Det regelverket som faktisk treffer hendelser av Bitget-typen, er DORA (Digital Operational Resilience Act), som har gjeldt for MiCA-regulerte akt\u00f8rer siden januar 2025 og stiller krav til IKT-sikkerhet, tredjepartsrisiko og hendelsesrapportering. Som OpenZeppelin oppsummerer det: er du regulert under MiCA, er du ogs\u00e5 regulert under DORA<\/a>. Her ligger CertiKs dobbeltrolle tydelig: selskapet vil selge verkt\u00f8yene som hjelper institusjoner \u00e5 etterleve slike krav, og samtidig verkt\u00f8yene tilsynsmyndighetene bruker, uten selv \u00e5 v\u00e6re under finanstilsyn. En som vil v\u00e6re tillitslaget for hele systemet, st\u00e5r alts\u00e5 utenfor det systemet som regulerer systemet. For \u00f8vrig avgj\u00f8r Skatteetaten om et krypototyveri kan f\u00f8res som fradragsberettiget tap; et sikkerhetsstempel endrer ikke den vurderingen for den enkelte.<\/p>

Slik leser du et \u00abCertiK-stempel\u00bb i 2026<\/h2>

Et navnebytte endrer ikke hvordan du b\u00f8r vurdere et sikkerhetsstempel i praksis. Noen huskeregler f\u00f8r du stoler p\u00e5 en logo:<\/p>

  • Sjekk hva som faktisk ble revidert. En revisjon dekker som regel bestemte smartkontrakter p\u00e5 et bestemt tidspunkt, ikke b\u00f8rsen, n\u00f8kkelh\u00e5ndteringen eller backend-systemene rundt.<\/li>
  • Se etter dato og versjon. Kode som endres etter revisjonen, er ikke lenger dekket av den. \u00abRevidert\u00bb uten dato sier lite.<\/li>
  • Les Skynet-scoren, ikke bare logoen. CertiK selv ga Huione-prosjektet lavest score og en advarsel; stempelet var der, nyansen ogs\u00e5.<\/li>
  • Husk hvem som betalte. Revisjonen er bestilt av prosjektet selv. Det gj\u00f8r den ikke verdil\u00f8s, men den er ikke en uavhengig offentlig godkjenning.<\/li>
  • Sp\u00f8r etter kontinuerlig overv\u00e5king. Et engangsstempel sier ingenting om hva som skjer m\u00e5neden etter lansering, som er n\u00e5r de fleste store tapene i 2026 faktisk inntraff.<\/li><\/ul>

    Bunnlinjen er at navnebyttet beskriver en reell endring, ikke bare en markedsf\u00f8ringsid\u00e9. Tapene har flyttet seg fra koden til alt rundt den, og et firma som bare tilb\u00f8d engangsrevisjoner, ville solgt et stadig mindre relevant produkt. Om \u00abtillitslaget for digitale verdier\u00bb blir noe mer enn en etikett, avhenger av to ting: om den kontinuerlige overv\u00e5kingen faktisk stopper tap f\u00f8r de skjer, og om et selskap som selger tillit til b\u00e5de de regulerte og dem som regulerer, klarer \u00e5 bevare sin egen uavhengighet. Forel\u00f8pig er stempelet en begynnelse p\u00e5 en vurdering, ikke slutten p\u00e5 den.<\/p>

    Ofte stilte sp\u00f8rsm\u00e5l<\/h2>

    Hva betyr CertiKs \u00abTrust Layer for Digital Value\u00bb?<\/h3>

    Det er CertiKs nye merkevareposisjonering, lansert p\u00e5 TOKEN2049 i Singapore 8. oktober 2026. I stedet for \u00e5 kalle seg en ren kryptorevisor, kaller selskapet seg n\u00e5 \u00abtillitslaget for digitale verdier\u00bb og tilbyr sikkerhet, etterlevelse og risikooversikt til institusjoner, tilsynsmyndigheter og virksomheter. Skiftet gjenspeiler at de fleste kryptotapene i 2026 skjer utenfor koden, der en tradisjonell revisjon ikke ser.<\/p>

    Reviderte CertiK Bitget f\u00f8r hacket i september 2026?<\/h3>

    Nei. CertiK var ikke revisor for Bitget. Selskapet kommenterte hendelsen som observat\u00f8r gjennom Skynet-overv\u00e5kingen sin, der Esme Pau kalte angrepet et av de mest omfattende mot en sentralisert b\u00f8rs i 2026. Selve tyveriet p\u00e5 rundt 351,6 millioner dollar skjedde ved at et backend-system ble forfalsket, ikke ved en feil i en revidert smartkontrakt.<\/p>

    Betyr \u00abCertiK-revidert\u00bb at et kryptoprosjekt er trygt?<\/h3>

    Nei. En revisjon vurderer bestemt kode p\u00e5 et bestemt tidspunkt og fanger kodefeil, men den dekker ikke n\u00f8kkelh\u00e5ndtering, backend-systemer, administratorroller eller menneskelige feil, som sto bak de fleste store tapene i 2026. Et stempel er en begynnelse p\u00e5 vurderingen, ikke en garanti. Sjekk alltid hva som ble revidert, n\u00e5r, og hvem som betalte.<\/p>

    Hvor mye tapte kryptosektoren i 2026?<\/h3>

    Etter ni m\u00e5neder av 2026 var tapene p\u00e5 rundt 2,68 milliarder dollar (n\u00e6r kr 26 milliarder) fordelt p\u00e5 656 hendelser, if\u00f8lge CertiKs tall. September var \u00e5rets verste m\u00e5ned med rundt 766 millioner dollar (kr 7,4 milliarder), drevet av Bitget- og Liquid Network-hendelsene, som alene sto for over 92 prosent av m\u00e5nedens bekreftede tap.<\/p>

    Regulerer Finanstilsynet kryptorevisorer som CertiK?<\/h3>

    Nei. Finanstilsynet gir tillatelse til og f\u00f8rer tilsyn med tilbydere av kryptoeiendelstjenester (CASP-er) under MiCA, som er innlemmet i E\u00d8S-avtalen, men ingen norsk myndighet akkrediterer eller f\u00f8rer tilsyn med smartkontraktrevisorer. Verken MiCA eller DORA p\u00e5legger et prosjekt \u00e5 f\u00e5 koden revidert. Et revisjonsstempel er dermed et privat kvalitetsstempel, ikke en offentlig godkjenning.<\/p>