{"id":551,"date":"2026-10-10T05:07:20","date_gmt":"2026-10-10T05:07:20","guid":{"rendered":"https:\/\/hoge.gg\/no\/samme-feil-ti-ar-virker-kryptoens-obduksjoner-2026\/"},"modified":"2026-10-10T05:07:20","modified_gmt":"2026-10-10T05:07:20","slug":"samme-feil-ti-ar-virker-kryptoens-obduksjoner-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/samme-feil-ti-ar-virker-kryptoens-obduksjoner-2026\/","title":{"rendered":"Samme feil, ti \u00e5r p\u00e5 rad: virker kryptoens obduksjoner?"},"content":{"rendered":"

Den 17. juni 2016 drenerte en angriper 3.641.694 ether ut av The DAO ved \u00e5 kalle den samme funksjonen om og om igjen f\u00f8r kontrakten rakk \u00e5 oppdatere saldoen. Feilen het reentrancy, og den endte med en hard fork som delte Ethereum i to kjeder. Ti \u00e5r senere, i de f\u00f8rste dagene av oktober 2026, registrerte sporingsdatabasen til DefiLlama<\/a> en ny rekke tyverier: en avrundingsfeil i Set Protocol, mangelfull tilgangskontroll i en likvideringsbot hos MakerDAO, en logisk brist i broen til NEAR Intents. Ingen av dem var spektakul\u00e6re. Alle var gamle kjenninger.<\/p>

Mellom disse to datoene har kryptobransjen bygget noe nesten ingen annen bransje har: en kultur for \u00e5 dissekere sine egne katastrofer i full offentlighet. Vi kaller det obduksjonen, eller post-mortem. Protokollen som nettopp ble tappet, legger ut en minutt-for-minutt-tidslinje, peker p\u00e5 rot\u00e5rsaken i koden, forklarer hva som ble gjort og lover \u00e5 fikse det. Sjangeren er blitt s\u00e5 etablert at den har sine egne ritualer, sine egne forfattere og til og med sitt eget gravsted p\u00e5 rekt.news<\/a>.<\/p>

Men hele sjangeren hviler p\u00e5 et l\u00f8fte som sjelden sies h\u00f8yt: vi publiserer obduksjonen slik at ingen gjentar feilen. Og nettopp der blir det ubehagelig. For hvis det l\u00f8ftet holdt, hvorfor tappes da protokoller i oktober 2026 av de samme feilklassene som drepte The DAO i 2016? Denne artikkelen stiller det sp\u00f8rsm\u00e5let rett ut: virker obduksjonene egentlig, eller skriver bransjen bare stadig vakrere rapporter om den samme feilen?<\/p>

Oktober 2026: de gamle feilene, om igjen<\/h2>

Start med uken denne artikkelen ble skrevet. I begynnelsen av oktober 2026 var ingen av hackene store nok til \u00e5 n\u00e5 forsidene. En avrundingsfeil tappet Set Protocol for noen titusen dollar. En likvideringsbot i MakerDAOs ETH-A-marked mistet dr\u00f8yt en halv million dollar fordi tilgangskontrollen var feil satt opp. En kontrakt kalt FlashLoopAdapter ga fra seg rundt 300.000 dollar av samme grunn. Broen til NEAR Intents mistet rundt 3,8 millioner dollar til en logisk feil, if\u00f8lge DefiLlama. Summene er sm\u00e5. Poenget er ikke summen.<\/p>

Poenget er at hver eneste av dem tilh\u00f8rer en feilklasse bransjen har skrevet detaljerte obduksjoner om i \u00e5revis. Avrunding i den gale retningen. Tilgangskontroll som ikke sjekker hvem som egentlig kaller. Broer som stoler p\u00e5 for f\u00e5 akt\u00f8rer. Dette er ikke nye angrep. Det er pensum. En erfaren revisor kjenner dem alle igjen fra forelesning \u00e9n, og likevel dukker de opp uke etter uke, protokoll etter protokoll, med en forutsigbarhet som burde f\u00e5 noen til \u00e5 sp\u00f8rre om selve l\u00e6ringsmekanismen er i stykker.<\/p>

Kontrasten til 2016 er nesten komisk. The DAO var reentrancy i sin reneste form, og den feilen er i dag det aller f\u00f8rste eksempelet enhver nybegynner l\u00e6rer. Likevel ble Curve Finance tappet for n\u00e6r 70 millioner dollar s\u00e5 sent som i 2023 gjennom en reentrancy-l\u00e5s som sviktet i Vyper-kompilatoren, ikke engang i protokollens egen kode. Hacken<\/a> ansl\u00e5r at mer enn 200 millioner dollar er stj\u00e5let gjennom reentrancy-varianter siden The DAO. En feil alle kan, som ingen klarer \u00e5 bli kvitt.<\/p>

Obduksjonen ble kryptoens egen sjanger<\/h2>

Ideen om den skyldfrie obduksjonen er ikke oppfunnet i krypto. Den kommer fra driftskulturen i store programvareselskaper (Google og Etsy populariserte den \u00abblameless post-mortem\u00bb) og enda lenger tilbake fra luftfarten, der havarikommisjoner gransker ulykker for \u00e5 l\u00e6re, ikke for \u00e5 straffe. Tanken er enkel: hvis folk t\u00f8r \u00e5 fortelle n\u00f8yaktig hva som gikk galt uten \u00e5 frykte represalier, l\u00e6rer hele systemet, og den samme ulykken skjer ikke igjen.<\/p>

Krypto tok formatet og gjorde det til noe eget. Her er obduksjonen offentlig fra f\u00f8rste stund, ofte skrevet i sanntid mens pengene fortsatt er p\u00e5 vei ut. Den leses av titusener, den siteres, og den f\u00e5r sin egen svarte humor hos rekt.news, der hvert hack f\u00e5r en nekrolog og en plass p\u00e5 en bestenliste over tidenes st\u00f8rste tap. Bestelisten er ikke bare underholdning; den er bransjens kollektive hukommelse, en offentlig skammekrok som skal sikre at ingen glemmer.<\/p>

Og i mangel p\u00e5 alt annet er obduksjonen ofte det eneste offeret f\u00e5r. Det finnes sjelden en forsikring, sjelden en domstol som rekker frem, sjelden en regulator med myndighet over en anonym protokoll. Rapporten, bestelisten og den offentlige diskusjonen er b\u00e5de rettssak, gravferd og l\u00e6rebok p\u00e5 \u00e9n gang. Da blir det desto viktigere \u00e5 vite om l\u00e6reboken faktisk blir lest, og om noen gj\u00f8r leksa.<\/p>

Tre niv\u00e5er av \u00e5 \u00abvirke\u00bb<\/h2>

Sp\u00f8rsm\u00e5let om obduksjonen virker har ikke ett svar, det har tre. For den samme rapporten kan v\u00e6re en knallsuksess p\u00e5 ett niv\u00e5 og en total fiasko p\u00e5 et annet, og mye av forvirringen i debatten kommer av at folk snakker om hvert sitt niv\u00e5 uten \u00e5 si det.<\/p>

Det f\u00f8rste niv\u00e5et er den enkelte protokollen. L\u00e6rer teamet som nettopp ble hacket, nok til \u00e5 unng\u00e5 \u00e5 bli tappet av den samme feilen en gang til? Det andre niv\u00e5et er \u00f8kosystemet. L\u00e6rer bransjen som helhet, slik at feilklassen forsvinner fra alle de andre protokollene som enn\u00e5 ikke er bygget? Det tredje niv\u00e5et er angrepsflaten selv. Holder obduksjonen tritt n\u00e5r angriperne flytter seg fra kode til n\u00f8kler til mennesker? Svarene er, i tur og orden: ja, nei, og nesten ikke. Resten av artikkelen g\u00e5r gjennom dem ett for ett.<\/p>

Niv\u00e5 1: den enkelte protokollen l\u00e6rer faktisk<\/h2>

P\u00e5 det laveste niv\u00e5et virker obduksjonen bemerkelsesverdig godt. En protokoll som skriver en \u00e6rlig rapport og retter den konkrete feilen, d\u00f8r nesten aldri av akkurat den feilen igjen. Det beste eksempelet er Euler Finance. I mars 2023 ble protokollen tappet for rundt 197 millioner dollar i et flash-l\u00e5n-angrep. I stedet for \u00e5 legge ned bygde teamet alt p\u00e5 nytt.<\/p>

Euler v2 ble lansert etter det The Block<\/a> beskriver som 31 separate revisjoner, fra firmaer som Certora, Omniscia, OtterSec, OpenZeppelin og Trail of Bits, i tillegg til en revisjonskonkurranse hos Cantina til 1,25 millioner dollar, en \u00abCapture the Flag\u00bb med Hats Finance til 3,5 millioner dollar og et l\u00f8pende dus\u00f8rprogram. Daglig leder Michael Bentley har fortalt<\/a> at mange hadde avskrevet dem, og at det ville v\u00e6rt helt normalt \u00e5 avslutte prosjektet der og da. I stedet n\u00e5dde protokollen nye toppnoteringer i total verdi l\u00e5st etter relanseringen. Euler ble ikke tappet av det samme hullet to ganger.<\/p>

Det samme m\u00f8nsteret ser vi i mindre skala hos Gnosis Pay. I juni 2026 ble betalingsinfrastrukturen rammet av en signaturvaliderings-svakhet (en ERC-1271-feil som hadde ligget sovende i en Zodiac-modul siden 2023), men teamet fant rot\u00e5rsaken p\u00e5 rundt to timer, dekket hele tapet selv slik at kundene ikke mistet en krone, og sendte den rettede koden til ny revisjon. crypto.news<\/a> omtalte det som en m\u00f8nster-obduksjon. Dette er sjangeren n\u00e5r den fungerer: rask deteksjon, \u00e6rlig rot\u00e5rsak, brukerne holdt skadesl\u00f8se, koden fikset og revidert p\u00e5 nytt.<\/p>

Idealet er oppsummert i \u00e9n setning av Dan Guido, medgr\u00fcnder og daglig leder i sikkerhetsfirmaet Trail of Bits, som i et intervju<\/a> formulerte hele poenget med en obduksjon slik: \u00abI never want to find the same bug twice\u00bb. P\u00e5 den enkelte protokollens niv\u00e5 er det et oppn\u00e5elig m\u00e5l, og mange n\u00e5r det. Problemet oppst\u00e5r i det \u00f8yeblikket vi hever blikket fra \u00e9n protokoll til hele bransjen.<\/p>

Niv\u00e5 2: \u00f8kosystemet gjentar feilklassene<\/h2>

Hev blikket, og bildet snur. Enkeltprotokoller l\u00e6rer, men bransjen som helhet gj\u00f8r det knapt. De samme feilklassene vandrer fra protokoll til protokoll, ti\u00e5r etter ti\u00e5r, som om hver obduksjon ble skrevet, lest av de direkte ber\u00f8rte, og deretter lagt i en skuff ingen andre \u00e5pner.<\/p>

Det skarpeste eksempelet er avrunding. I november 2025 ble Balancer v2 tappet for over 100 millioner dollar p\u00e5 tvers av ni kjeder gjennom en feil i hvilken retning tall ble avrundet. Det oppsiktsvekkende er ikke at det skjedde, men at det var kjent. Allerede i oktober 2021 hadde Trail of Bits gjennomg\u00e5tt Balancers Linear Pools og notert n\u00f8yaktig denne risikoen som funn TOB-BALANCER-004, men klassifisert alvorlighetsgraden som ubestemt, fordi aritmetiske kanttilfeller den gangen ikke ble regnet som en sannsynlig angrepsvektor. Firmaet publiserte en uvanlig \u00e6rlig retrospektiv<\/a> i 2025 der de eide feilbed\u00f8mmingen. Fire \u00e5r fra et dokumentert varsel til en katastrofe, og s\u00e5, uker senere, dukket den samme avrundingsklassen opp igjen hos Set Protocol i oktober 2026.<\/p>

Orakelmanipulasjon er en like seiglivet klasse. Da Mango Markets ble t\u00f8mt i 2022, skjedde det ved \u00e5 bl\u00e5se opp prisen p\u00e5 en tynt omsatt token og l\u00e5ne mot den oppbl\u00e5ste verdien. M\u00f8nsteret har siden g\u00e5tt igjen i generasjon etter generasjon, fra flash-l\u00e5n-drevne prismanipulasjoner til varianter der selve prisrapporten forfalskes, og hver runde har f\u00e5tt sine egne obduksjoner. Likevel fortsetter nye protokoller \u00e5 l\u00e5ne ut mot aktiva med tynn likviditet, som om l\u00e6rdommen aldri ble skrevet ned.<\/p>

Reentrancy forteller samme historie, bare over et lengre spenn: fra The DAO i 2016 til Vyper-kompilatorens svikt som rammet Curve i 2023. Tilgangskontroll-feil, der kontrakten ikke sjekker hvem som egentlig ringer, innf\u00f8res p\u00e5 nytt hver gang noen skriver en ny funksjon under tidspress. Og broene fortsetter \u00e5 stole p\u00e5 for f\u00e5 akt\u00f8rer, fra Ronin og Wormhole i 2022 til bro-logikken i NEAR Intents i oktober 2026. Tabellen under samler m\u00f8nsteret.<\/p>

Feilklasse<\/th>Tidlig kjent tilfelle<\/th>Gjentakelse 2025-2026<\/th>Hvorfor den overlever<\/th><\/tr><\/thead>
Reentrancy<\/td>The DAO (2016)<\/td>Curve via Vyper (2023), lese-reentrancy stadig<\/td>Nye varianter (read-only, kryss-kontrakt) og kompilator-feil<\/td><\/tr>
Avrunding og aritmetikk<\/td>Balancer Linear Pools, varslet 2021<\/td>Balancer over 100 mill. USD (nov. 2025), Set Protocol (okt. 2026)<\/td>Subtil, usynlig i vanlige tester, arves av gafler<\/td><\/tr>
Tilgangskontroll<\/td>Utallige msg.sender-forvekslinger<\/td>MakerDAO-bot, FlashLoopAdapter (okt. 2026)<\/td>Lett \u00e5 innf\u00f8re p\u00e5 nytt ved hver ny funksjon<\/td><\/tr>
Orakelmanipulasjon<\/td>Mango Markets (2022)<\/td>Flere generasjoner (2024-2026)<\/td>Lav pris og tynn likviditet frister<\/td><\/tr>
Bro-verifisering<\/td>Ronin, Wormhole, Nomad (2022)<\/td>KelpDAO\/LayerZero, NEAR Intents (2026)<\/td>For f\u00e5 signaturer og verifikatorer i bunn<\/td><\/tr><\/tbody><\/table><\/figure>

Hvorfor l\u00e6rdommen ikke sprer seg<\/h2>

Her brister luftfartsanalogien. N\u00e5r ett fly faller ned av en bestemt grunn, finnes det en havarikommisjon som gransker, og en myndighet som kan sette hele flytypen p\u00e5 bakken til feilen er rettet. Krypto har obduksjonen, men ingen som kan sette fl\u00e5ten p\u00e5 bakken. Det finnes ingen sentral instans som p\u00e5byr at rapporten skal leses, ingen som akkrediterer revisorer slik et revisjonstilsyn gj\u00f8r for regnskap, og ingen plikt til \u00e5 offentliggj\u00f8re noe som helst.<\/p>

Resultatet er at kunnskapen finnes, men ikke overf\u00f8res. Hver m\u00e5ned settes det ut tusenvis av nye kontrakter, mange skrevet av folk som aldri har lest obduksjonen av Euler eller Balancer. De gjentar ikke feilen fordi de er uforsiktige; de gjentar den fordi de aldri fikk vite at den var gjort f\u00f8r. L\u00e6rdommen sitter i hodene til dem som allerede ble brent, ikke i et felles lager alle bygger videre p\u00e5.<\/p>

Opp\u00e5 dette kommer insentivene. Et team som nettopp er hacket, har \u00f8konomisk interesse av \u00e5 tone ned, utsette eller vinkle rapporten, ikke av \u00e5 brette ut hvert pinlige detalj til konkurrentenes nytte. Anonyme team forsvinner helt, og da skrives obduksjonen i beste fall av utenforst\u00e5ende forskere som gjetter seg til rot\u00e5rsaken. Den skyldfrie kulturen forutsetter at alle deltar i god tro for \u00e5 l\u00e6re; i krypto er det ekte penger, en ekte motstander og ofte ingen igjen til \u00e5 svare for seg.<\/p>

Kopier-lim-feilen: n\u00e5r koden forgrener seg<\/h2>

Det finnes en enda mer bokstavelig m\u00e5te feil gjentar seg p\u00e5: koden kopieres, og feilen blir med p\u00e5 lasset. Det tydeligste eksempelet er fortsatt Nomad-broen i august 2022. Rundt 190 millioner dollar forsvant i l\u00f8pet av \u00e5tte timer, men det virkelig l\u00e6rerike var hvordan. Etter at den f\u00f8rste angriperen fant hullet, kunne hvem som helst gjenta det ved \u00e5 kopiere en transaksjon som funket og bytte ut mottakeradressen med sin egen.<\/p>

Sikkerhetsforskeren samczsun oppsummerte det slik overfor CryptoSlate<\/a>: \u00abAll you had to do was find a transaction that worked, find\/replace the other person’s address with yours, and then re-broadcast it\u00bb. Nesten 300 adresser hev seg p\u00e5 i l\u00f8pet av 150 minutter, med til sammen rundt 960 transaksjoner. Ingen kompetanse krevdes. Det var samme feil, replikert hundrevis av ganger, raskere enn noen rakk \u00e5 skrive ett ord om obduksjon.<\/p>

Det samme prinsippet gjelder gafler. N\u00e5r en protokoll kopieres for \u00e5 lage en ny, arver den ogs\u00e5 hullene som enn\u00e5 ikke er funnet. Vyper-kompilatorens reentrancy-feil i 2023 rammet ikke bare Curve, men flere bassenger p\u00e5 \u00e9n gang, fordi de alle lente seg p\u00e5 den samme bunnkoden. \u00c5pen kildekode er kryptoens st\u00f8rste styrke og samtidig kanalen som sprer en enkelt feil fortere enn noen advarsel kan n\u00e5 frem. En obduksjon kan forklare feilen i detalj; den kan ikke gj\u00f8re noe med alle de allerede utplasserte kopiene som b\u00e6rer den samme svakheten.<\/p>

Niv\u00e5 3: angrepsflaten flytter seg<\/h2>

Selv om bransjen p\u00e5 et mirakul\u00f8st vis skulle l\u00e6re seg hver eneste kodefeil, ville det ikke v\u00e6re nok, for angrepsflaten st\u00e5r ikke stille. Den flytter seg, og obduksjonen jager nesten alltid forrige krig. De tidlige \u00e5rene handlet om kontraktsfeil: reentrancy, logiske brister, Parity-lommeb\u00f8kene. S\u00e5 kom de \u00f8konomiske angrepene med orakel og flash-l\u00e5n rundt 2020 til 2022. Deretter broene og signaturverifiseringen. Og n\u00e5, i 2024 til 2026, har tyngdepunktet forskj\u00f8vet seg til n\u00f8kler, signering og governance.<\/p>

2026 er vippepunktet. For f\u00f8rste gang p\u00e5 rekord har kompromitterte private n\u00f8kler g\u00e5tt forbi kontraktsfeil som den ledende angrepsvektoren, if\u00f8lge crypto.news<\/a>. Det er billigere \u00e5 lure ett menneske enn \u00e5 bryte \u00e9n smartkontrakt. Angrepet flyttet seg fra koden til tastaturet, og helt ut i den fysiske verden: HOGE Wire har tidligere beskrevet hvordan skiften\u00f8kkelen sl\u00e5r koden<\/a> n\u00e5r angripere bruker fysisk tvang mot kryptoeiere. N\u00e5r rot\u00e5rsaken er en stj\u00e5let n\u00f8kkel eller en lurt signatur, finnes det ingen kode-diff \u00e5 granske, og store deler av verdiene l\u00e5ses i dag bak nettopp signeringsoppsett som multisig<\/a>, der det er menneskene rundt n\u00f8klene som er svakeste ledd.<\/p>

Epoke<\/th>Dominerende vektor<\/th>Typisk eksempel<\/th>Fanger obduksjonen det?<\/th><\/tr><\/thead>
2016-2020<\/td>Kontraktsfeil (reentrancy, logikk)<\/td>The DAO, Parity<\/td>Ja, koden ligger \u00e5pen<\/td><\/tr>
2020-2022<\/td>\u00d8konomi, orakel, flash-l\u00e5n<\/td>Mango, bZx<\/td>Delvis<\/td><\/tr>
2021-2023<\/td>Broer og signaturverifisering<\/td>Ronin, Wormhole, Nomad<\/td>Delvis<\/td><\/tr>
2024-2026<\/td>N\u00f8kler, signering, governance<\/td>Drift, KelpDAO, Radiant<\/td>Svakt, ingen kode-diff<\/td><\/tr>
2026<\/td>Mennesker, infrastruktur, innside<\/td>Nordkoreanske IT-arbeidere<\/td>Sv\u00e6rt svakt<\/td><\/tr><\/tbody><\/table><\/figure>

Legg merke til hva som skjer i h\u00f8yre kolonne. Jo lenger ned i tabellen, desto d\u00e5rligere fungerer sjangeren. Obduksjonen ble f\u00f8dt for \u00e5 dissekere Solidity linje for linje, og den er fortsatt fenomenal til nettopp det. Men den er svakest akkurat der pengene n\u00e5 forsvinner.<\/p>

En obduksjon bygget for feil krig<\/h2>

Verkt\u00f8yene i sjangeren er laget for kode: kodegjennomgang, diff-er mellom versjoner, statisk analyse, formell verifikasjon. Alt dette er briljant til \u00e5 finne en reentrancy eller en avrundingsfeil. Men det hjelper lite mot en utvikler som ble lurt til \u00e5 signere en ondsinnet transaksjon, eller en innleid \u00abingeni\u00f8r\u00bb som egentlig var en nordkoreansk operat\u00f8r. Sikkerhetsselskapet CredShields oppsummerte forskyvningen presist overfor crypto.news: angrepsflaten har flyttet seg \u00abup the stack to governance, to signers, and to the people building the protocols themselves\u00bb.<\/p>

\u00c5rets st\u00f8rste tap viser hva det betyr i praksis. Da Drift Protocol mistet rundt 285 millioner dollar 1. april 2026, l\u00e5 ikke feilen i en s\u00e5rbar kontraktslinje, men i en kompromittert signeringsprosess, if\u00f8lge crypto.news<\/a>. En obduksjon som bare gjennomg\u00e5r koden, finner ingenting galt, for koden gjorde akkurat det den skulle; det var tilliten til en n\u00f8kkel som sviktet. Det er nettopp den typen hack sjangeren har f\u00e6rrest verkt\u00f8y mot.<\/p>

Revisjonen sliter med det samme problemet, og det er verdt \u00e5 stoppe ved. En protokoll kan passere ti revisjoner og likevel t\u00f8mmes, fordi revisoren leser koden, ikke menneskene rundt den. Da HOGE Wire beskrev hvordan CertiK fors\u00f8ker \u00e5 bli et \u00abtillitslag\u00bb<\/a>, var nettopp dette kjernen: n\u00e5r selve koden er ren, men n\u00f8klene, signererne og rutinene svikter, m\u00e5 granskingen flytte seg oppover i stabelen den ogs\u00e5. Obduksjonen og revisjonen deler samme blindsone. Begge studerer gjenstanden, kontrakten, mens tapet i \u00f8kende grad oppst\u00e5r hos personene.<\/p>

Det betyr ikke at obduksjonen er verdil\u00f8s mot n\u00f8kkeltyverier, men at den m\u00e5 skifte fokus fra \u00abhvilken linje var feil\u00bb til \u00abhvilken rutine, hvilken tilgang, hvilket menneske sviktet\u00bb. De beste rapportene i 2026 gj\u00f8r nettopp dette: de kartlegger signeringsflyten, hvem som hadde hvilke n\u00f8kler, og hvordan en tilsynelatende uskyldig foresp\u00f8rsel ble godkjent. Det er en annen slags obduksjon enn den sjangeren ble f\u00f8dt til \u00e5 skrive.<\/p>

2026 i tall<\/h2>

Tallene underbygger forskyvningen. TRM Labs<\/a> registrerte 207 hack i f\u00f8rste halv\u00e5r 2026, det h\u00f8yeste antallet i noen seksm\u00e5nedersperiode noensinne, men samlet tap falt til rundt 972 millioner dollar, under halvparten av de 2,3 milliardene som forsvant i samme periode \u00e5ret f\u00f8r. CertiK<\/a> ansl\u00e5r skaden i tredje kvartal til rundt 1,26 milliarder dollar fordelt p\u00e5 247 hendelser. Nordkoreanske grupper sto bak en dominerende andel av de st\u00f8rste tyveriene, melder The Block<\/a>.<\/p>

Det mest talende tallet er fordelingen. If\u00f8lge TRM sto infrastruktur- og n\u00f8kkelkompromisser for bare rundt 15 prosent av hendelsene, men hele rundt 76 prosent av verdien. Kontraktsfeil utgjorde flertallet av hendelsene, men en langt mindre del av pengene. Med andre ord: flere hack, mindre total verdi, men verdien konsentrert i en h\u00e5ndfull n\u00f8kkel- og infrastrukturangrep som obduksjonen h\u00e5ndterer d\u00e5rligst.<\/p>

M\u00e5l<\/th>2026<\/th>Kilde<\/th><\/tr><\/thead>
Antall hack, f\u00f8rste halv\u00e5r<\/td>207 (rekord)<\/td>TRM Labs<\/td><\/tr>
Stj\u00e5let verdi, f\u00f8rste halv\u00e5r<\/td>ca. 972 mill. USD<\/td>TRM Labs<\/td><\/tr>
Stj\u00e5let verdi, tredje kvartal<\/td>ca. 1,26 mrd. USD \/ 247 hendelser<\/td>CertiK<\/td><\/tr>
Andel av verdi fra n\u00f8kkel-\/infrastrukturhack<\/td>ca. 76 % (av ca. 15 % av hendelsene)<\/td>TRM Labs<\/td><\/tr>
Ledende angrepsvektor<\/td>Kompromitterte private n\u00f8kler (f\u00f8rste gang)<\/td>CertiK via crypto.news<\/td><\/tr><\/tbody><\/table><\/figure>

Hva en god obduksjon likevel endrer<\/h2>

Det kan h\u00f8res ut som om konklusjonen er at obduksjonen er bortkastet. Det er den ikke. Den feiler mest p\u00e5 det ene niv\u00e5et folk tror den skal l\u00f8se, nemlig \u00e5 hindre at feilklasser gjentar seg i hele \u00f8kosystemet. Men den gj\u00f8r flere andre ting godt, og de er grunner nok til \u00e5 fortsette.<\/p>

For det f\u00f8rste er den kollektiv hukommelse. Bestelisten hos rekt.news og de utallige rapportene utgj\u00f8r et arkiv som nye revisorer, forskere og forsikringsakt\u00f8rer faktisk bruker. For det andre tvinger den frem \u00e5penhet og ansvar: da de store b\u00f8rsene begynte \u00e5 publisere grundige, eksterne rapporter dager etter et innbrudd, hevet de listen for alle andre. For det tredje, og kanskje viktigst, er obduksjonen r\u00e5stoff for verkt\u00f8y som kan skalere l\u00e6rdommen bedre enn noe menneske. Hver godt dokumentert feil kan bli en testregel i statiske analyseverkt\u00f8y, et punkt p\u00e5 en revisjonssjekkliste eller et m\u00e5l i et dus\u00f8rprogram.<\/p>

Bybit satte standarden for hvor \u00e5pent det kan gj\u00f8res. Etter tidenes st\u00f8rste kryptotyveri i februar 2025, p\u00e5 rundt 1,5 milliarder dollar, publiserte b\u00f8rsen eksterne, tekniske granskingsrapporter fra Sygnia og Verichains bare dager senere og lyste ut en stor dus\u00f8r for \u00e5 spore midlene, melder TechCrunch<\/a>. Det var en sentralisert akt\u00f8r som kunne det, nettopp fordi den hadde et selskap, et navn og et omd\u00f8mme \u00e5 forsvare, alt en anonym DeFi-protokoll mangler.<\/p>

Det er her automatiseringen kommer inn. En menneskelig utvikler leser ikke tusen gamle obduksjoner f\u00f8r de skriver en ny kontrakt, men et verkt\u00f8y kan i prinsippet sjekke koden mot alle kjente feilklasser p\u00e5 sekunder. Det er logikken bak satsingen HOGE Wire beskrev da CertiK satset p\u00e5 en automatisk, KI-drevet revisor<\/a>: hvis l\u00e6rdommen ikke sprer seg gjennom hoder, kan den kanskje spre seg gjennom maskiner som aldri glemmer en tidligere feil. Det er forel\u00f8pig et l\u00f8fte mer enn en garanti, men det peker p\u00e5 den eneste realistiske veien til \u00e5 lukke gapet mellom niv\u00e5 1 og niv\u00e5 2.<\/p>

Til slutt har obduksjonskulturen f\u00f8dt koordineringsmekanismer for selve n\u00f8dsituasjonen. Security Alliance (SEAL) driver en Safe Harbor<\/a>-ordning som p\u00e5 forh\u00e5nd gir hvite hatter juridisk rom til \u00e5 redde midler under et p\u00e5g\u00e5ende angrep, mot \u00e5 levere tilbake innen 72 timer og beholde en dus\u00f8r p\u00e5 inntil \u00e9n million dollar. Det hindrer ikke feilen, men det begrenser skaden n\u00e5r den f\u00f8rst inntreffer, og det er i praksis det n\u00e6rmeste bransjen kommer en felles brannvakt.<\/p>

Norge: n\u00e5r obduksjonen er eneste klagevei<\/h2>

For en norsk kryptobruker er dette ikke en akademisk debatt. Det avgj\u00f8r hvem som sitter igjen med regningen. Finanstilsynet<\/a> f\u00f8rer tilsyn med kryptoakt\u00f8rer etter lov om kryptoeiendeler, som gjelder fra 1. juli 2025 og innlemmer MiCA via E\u00d8S-avtalen. Men loven treffer utstedere og tjenesteytere, alts\u00e5 sentraliserte akt\u00f8rer. Den n\u00e5r ikke de autonome DeFi-protokollene der mange av tapene over faktisk skjer.<\/p>

Konsekvensen er konkret: taper du penger i et DeFi-angrep, finnes det ingen norsk regulator \u00e5 klage til, ingen innskuddsgaranti og ingen tjenestetilbyder \u00e5 holde ansvarlig. Obduksjonen er bokstavelig talt den eneste beretningen du f\u00e5r om hva som skjedde, og ofte ditt eneste h\u00e5p om \u00e5 se pengene igjen, gjennom en frivillig tilbakelevering eller en dus\u00f8r. Nettopp derfor er effektiviteten s\u00e5 viktig: hvis obduksjonen ikke sprer l\u00e6rdommen videre, flyttes restrisikoen rett over p\u00e5 deg som bruker.<\/p>

Hvor grensen g\u00e5r mellom en tjeneste med ansvar og rent selvforvar avgj\u00f8r om du i det hele tatt har noen klagerett, et skille HOGE Wire har g\u00e5tt grundig inn i med sp\u00f8rsm\u00e5let om smartkontoen er selvforvart eller en tjeneste<\/a> under MiCA. Og innsatsen er ikke liten: 9. oktober 2026 handlet bitcoin for rundt 82.000 dollar, n\u00e6r 790.000 kroner med en dollarkurs p\u00e5 omtrent 9,57 (Fortune<\/a>, Exchange Rates UK<\/a>). Egne regler for desentralisert finans er ventet f\u00f8rst om noen \u00e5r, s\u00e5 frem til da er den offentlige obduksjonen det eneste vernet mange norske brukere har.<\/p>

Slik leser du en obduksjon med tanke p\u00e5 gjentakelse<\/h2>

Hvis obduksjonen er det eneste vernet mange brukere har, er det verdt \u00e5 kunne skille en rapport som faktisk reduserer gjentakelse fra en som bare pynter p\u00e5 nederlaget. Disse tegnene skiller de gode fra de tomme:<\/p>

  • Den sier hvilken klasse feilen tilh\u00f8rer, ikke bare at \u00abvi ble hacket\u00bb, slik at andre kan lete etter samme klasse hos seg selv.<\/li>
  • Den deler gjenbrukbar teknisk detalj: kode, transaksjonshasher eller en test som fanger feilen.<\/li>
  • Den peker p\u00e5 rot\u00e5rsaken, ikke bare symptomet, alts\u00e5 ikke \u00aben s\u00e5rbarhet ble utnyttet\u00bb, men for eksempel \u00absaldoen ble oppdatert etter utbetalingen\u00bb.<\/li>
  • Den forteller hva som ble endret i rutiner, tilgang og n\u00f8kkelh\u00e5ndtering, ikke bare i selve koden.<\/li>
  • Den kommer raskt, navngir tidslinjen og sier n\u00e5r og hvordan hacket ble oppdaget.<\/li><\/ul>

    De d\u00e5rlige rapportene kjennetegnes av det motsatte: vage formuleringer om et \u00absofistikert angrep\u00bb, ingen rot\u00e5rsak, bare en forsikring om at alt er fikset, skyld plassert utelukkende hos en tredjepart uten dokumentasjon, og null oppf\u00f8lging i form av ny revisjon eller delt kode. Jo mer en obduksjon ligner en pressemelding, desto mindre l\u00e6rer bransjen av den.<\/p>

    Konklusjon: ritualet som l\u00e6rer sakte<\/h2>

    Svaret p\u00e5 sp\u00f8rsm\u00e5let vi startet med er alts\u00e5 delt i tre. Obduksjonen virker for teamet som nettopp ble brent; det blir sjelden tappet av den samme feilen igjen. Den virker knapt for \u00f8kosystemet, der de samme feilklassene vandrer videre fordi l\u00e6rdommen sitter i enkelthoder og ikke i et felles lager. Og den blir l\u00f8pt forbi av en angrepsflate som flytter seg fra kode til n\u00f8kler til mennesker fortere enn sjangeren klarer \u00e5 omstille seg.<\/p>

    Det gj\u00f8r obduksjonen mer til en nekrolog med fotnoter enn til en vaksine. Dens egentlige kraft er kulturell: den er bransjens hukommelse, dens ansvarlighetsmekanisme og, for brukere uten regulator i ryggen, en erstatning for den oppreisningen de ellers ikke f\u00e5r. Skal gapet mellom niv\u00e5 1 og niv\u00e5 2 lukkes, hjelper det ikke \u00e5 skrive vakrere rapporter. L\u00e6rdommen m\u00e5 gj\u00f8res om til noe som skalerer: felles verkt\u00f8y, standarder, automatisert gransking og koordinering som SEAL. Frem til da vil den samme feilen fortsette \u00e5 komme tilbake, og ditt beste forsvar som leser er \u00e5 lese hver obduksjon som en skeptiker.<\/p>

    Ofte stilte sp\u00f8rsm\u00e5l<\/h2>

    Hva er en exploit-post-mortem i krypto?<\/h3>

    En post-mortem, eller obduksjon, er en offentlig rapport en protokoll publiserer etter et hack, der den forklarer tidslinjen, rot\u00e5rsaken i koden eller rutinene, og hva som ble gjort. Sjangeren er l\u00e5nt fra drifts- og luftfartskulturen, men i krypto skrives den ofte i sanntid og erstatter i praksis b\u00e5de forsikring og domstol.<\/p>

    Virker post-mortems, eller gjentar de samme feilene seg?<\/h3>

    Det kommer an p\u00e5 niv\u00e5et. En enkelt protokoll som skriver en \u00e6rlig rapport og retter feilen, blir sjelden tappet av akkurat den samme feilen igjen, men p\u00e5 \u00f8kosystemniv\u00e5 gjentar de samme feilklassene seg \u00e5r etter \u00e5r fordi l\u00e6rdommen ikke overf\u00f8res til nye team. Obduksjonen virker lokalt, men ikke for bransjen som helhet.<\/p>

    Hvorfor gjentar de samme kryptofeilene seg \u00e5r etter \u00e5r?<\/h3>

    Det finnes ingen sentral instans som p\u00e5byr at rapporter skal leses eller anvendes, ingen plikt til \u00e5 offentliggj\u00f8re noe, og tusenvis av nye kontrakter settes ut hver m\u00e5ned av folk som aldri leste de gamle obduksjonene. Gafler kopierer dessuten koden, og med den feilene som enn\u00e5 ikke er oppdaget.<\/p>

    Hva er den vanligste angrepsvektoren i krypto i 2026?<\/h3>

    For f\u00f8rste gang p\u00e5 rekord har kompromitterte private n\u00f8kler g\u00e5tt forbi kontraktsfeil som den ledende angrepsvektoren i 2026. N\u00f8kkel- og infrastrukturangrep sto for rundt 76 prosent av den stj\u00e5lne verdien, men bare rundt 15 prosent av hendelsene, if\u00f8lge TRM Labs.<\/p>

    Har jeg som norsk bruker klagerett hvis en DeFi-protokoll blir hacket?<\/h3>

    Finanstilsynet f\u00f8rer tilsyn med sentraliserte kryptoakt\u00f8rer etter lov om kryptoeiendeler, som innlemmer MiCA via E\u00d8S, men regelverket treffer ikke autonome DeFi-protokoller. Taper du penger i et rent DeFi-angrep, finnes det ingen norsk regulator \u00e5 klage til og ingen innskuddsgaranti, s\u00e5 obduksjonen og en eventuell dus\u00f8r er i praksis din eneste vei til oppreisning.<\/p>