{"id":561,"date":"2026-10-12T05:10:27","date_gmt":"2026-10-12T05:10:27","guid":{"rendered":"https:\/\/hoge.gg\/no\/hvem-vokter-vokterne-dao-sikkerhetsrad-2026\/"},"modified":"2026-10-12T05:10:27","modified_gmt":"2026-10-12T05:10:27","slug":"hvem-vokter-vokterne-dao-sikkerhetsrad-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/hvem-vokter-vokterne-dao-sikkerhetsrad-2026\/","title":{"rendered":"Hvem vokter vokterne? DAO-sikkerhetsr\u00e5d i 2026"},"content":{"rendered":"

Den 6. oktober 2026 forlot rundt 620 millioner XCN kassen til utl\u00e5nsprotokollen Onyx p\u00e5 Ethereum. Ingen kode ble knekt. Et forslag hadde passert avstemningen, klarert b\u00e5de terskel og quorum, og ventet ut en to dagers tidsl\u00e5s uten at noen stanset det, if\u00f8lge ChainCatcher<\/a> og en sanntidsvarsling fra sikkerhetsfirmaet Blockaid. Onyx selv hevder at overf\u00f8ringen bare fullf\u00f8rte et migrasjonsforslag protokollen hadde annonsert p\u00e5 forh\u00e5nd, et poeng KuCoin<\/a> gjengir uten \u00e5 avgj\u00f8re saken. Uansett hvilken historie som stemmer: bremsen fantes, og ingen trakk i den.<\/p>

Elleve dager tidligere hadde et nesten identisk angrep truffet Marinade p\u00e5 Solana. Der grep et lite utvalg inn og avviste de ondsinnede forslagene p\u00e5 seks timer, flere dager f\u00f8r de kunne settes i verk. Ikke \u00e9n krone forsvant. Forskjellen mellom de to sakene var ikke bedre smartkontraktkode. Den handlet om \u00e9n ting: om noen sto bak n\u00f8dbremsen og faktisk brukte den.<\/p>

2026 ble \u00e5ret da DAO-ene bygde seg en menneskelig krets-bryter mot styringsangrep: sikkerhetsr\u00e5det, vokteren, vetoutvalget. Og \u00e5ret ble en folkeavstemning om den institusjonen. Bremsen stanset angrep, men den flyttet makt tilbake til en liten krets, og ble selv et m\u00e5l. Sp\u00f8rsm\u00e5let DAO-ene n\u00e5 sitter med, er det eldste i boka, formulert av den romerske dikteren Juvenal for snart to tusen \u00e5r siden: hvem vokter vokterne?<\/p>

Styringsangrep, kort fortalt: koden er frisk, det er avstemningen som er hullet<\/h2>

Et styringsangrep (governance attack) utnytter ingen feil i koden. Det bruker reglene slik de er skrevet. Angriperen skaffer seg nok stemmerett til \u00e5 f\u00e5 et forslag vedtatt, og forslaget gir ham n\u00f8klene til kassen, til en oppgradering eller til administratorrollen. Da sikkerhetsselskapene PeckShield og CertiK gransket sommerens mest kjente sak, Term Finance, konkluderte de med at angrepet rettet seg mot selve stemmemekanikken, ikke mot noen svakhet i den underliggende smartkontraktkoden<\/a>. Det er derfor en revisjon sjelden fanger det: en revisor leser koden, ikke maktbalansen blant dem som stemmer. Vi har skrevet om hvordan revisjonsbransjen selv gj\u00f8r seg til et tillitslag<\/a> nettopp fordi den ikke kan garantere mot denne typen angrep.<\/p>

Risikokalkylen ble satt p\u00e5 formel allerede i 2022 av tre forskere hos risikokapitalfondet a16z. I essayet \u00abDAO governance attacks, and how to avoid them\u00bb<\/a> skriver Pradyumna Garimidi, Scott Duke Kominers og Tim Roughgarden at en angriper sl\u00e5r til n\u00e5r gevinsten l\u00f8nner seg: verdien av angrepet, minus kostnaden ved \u00e5 skaffe stemmerett, minus kostnaden ved \u00e5 gjennomf\u00f8re det. Alt forsvar koker ned til \u00e5 gj\u00f8re ett av de tre leddene verre for angriperen.<\/p>

Det lumske, p\u00e5peker forfatterne, er at en angriper som kj\u00f8per seg opp i et token, ser n\u00f8yaktig ut som en vanlig investor som kj\u00f8per seg opp i et token. Markedet kan ikke skille dem. Derfor hjelper det ikke \u00e5 be folk om \u00e5 \u00abpasse p\u00e5 mistenkelige kj\u00f8pere\u00bb; begge er villige til \u00e5 kj\u00f8pe store mengder til stadig h\u00f8yere pris. N\u00f8dbremsen, temaet for denne artikkelen, angriper det siste leddet i ligningen: den gj\u00f8r gjennomf\u00f8ringen vanskeligere ved \u00e5 stikke en menneskelig h\u00e5nd inn mellom vedtaket og utbetalingen.<\/p>

N\u00f8dbremsen blir en institusjon: hva et sikkerhetsr\u00e5d faktisk er<\/h2>

Ideen er gammel i smartkontraktverdenen. OpenZeppelins styringsbibliotek<\/a>, som de fleste DAO-er bygger p\u00e5, skiller rollene: en TimelockController holder midlene og legger en forsinkelse mellom et vedtak og gjennomf\u00f8ringen, mens en egen canceller-rolle kan annullere en k\u00f8-lagt operasjon i forsinkelsesvinduet. Forsinkelsen alene stopper ingenting; den gir bare tid. Noen m\u00e5 bruke tiden til \u00e5 kjenne igjen angrepet og trykke p\u00e5 avbryt-knappen. Biblioteket advarer dessuten selv om at en feilkonfigurert rolle, en ekstra proposer eller canceller lagt til i vrangl\u00e5s, er en bakd\u00f8r, ikke et vern.<\/p>

Tanken om at mennesker til slutt m\u00e5 kunne overstyre koden, er for \u00f8vrig ikke ny i Ethereum. Den g\u00e5r helt tilbake til 2016, da fellesskapet hard-forket hele kjeden for \u00e5 reversere tyveriet fra The DAO, det opprinnelige bruddet med dogmet om at \u00abcode is law\u00bb. Et sikkerhetsr\u00e5d er p\u00e5 mange m\u00e5ter den samme impulsen satt i system: en formalisert, raskere og langt mer begrenset utgave av den gangen menneskene grep inn og overpr\u00f8vde det koden hadde bestemt. Forskjellen er at i 2026 skjer det med et mandat og en medlemsliste, ikke som en engangskrise.<\/p>

I 2026 ble den avbryt-knappen formalisert til en egen institusjon. Et sikkerhetsr\u00e5d (security council) er et lite, navngitt utvalg som styrer en multisig-lommebok med rett til \u00e5 kansellere ondsinnede forslag mens de ligger i tidsl\u00e5sen. Arbitrum har et r\u00e5d p\u00e5 tolv valgte medlemmer med n\u00f8dfullmakter. Optimism deler makten i to kamre, et token-hus og et omd\u00f8mmebasert borgerhus. Felles for dem alle er at r\u00e5det i praksis er en multisig, og at hele sp\u00f8rsm\u00e5let om hvem som holder de n\u00f8klene, er det samme sp\u00f8rsm\u00e5let vi har stilt om all multisig-forvaring<\/a>: en signatur som overlever \u00f8yeblikket er verdt mer enn hundre gode intensjoner.<\/p>

Det er verdt \u00e5 merke seg at ingen av disse verkt\u00f8yene er gratis. Hver av dem kj\u00f8per sikkerhet mot et angrep med en dose sentralisering, og det er den vekslingen hele resten av denne artikkelen handler om. Tabellen under viser verkt\u00f8ykassen og prisen hvert verkt\u00f8y koster i form av makt flyttet mot et sentrum.<\/p>

Mekanisme<\/th>Hva den gj\u00f8r<\/th>Hva den sentraliserer<\/th>Eksempel i 2026<\/th><\/tr><\/thead>
Tidsl\u00e5s (timelock)<\/td>Forsinker gjennomf\u00f8ring, gir tid til \u00e5 reagere<\/td>Ingenting i seg selv, men krever noen som v\u00e5ker<\/td>Onyx (to dager, gikk ut ubrukt)<\/td><\/tr>
Vokter-multisig<\/td>Kan pause eller stanse en funksjon<\/td>N\u00f8klene til et f\u00e5tall signatarer<\/td>Term Finance (veto, ubrukt)<\/td><\/tr>
Sikkerhetsr\u00e5d<\/td>Kansellerer k\u00f8-lagte ondsinnede forslag<\/td>Vetorett hos et valgt utvalg<\/td>Marinade, ENS, Arbitrum<\/td><\/tr>
Tokamret styring<\/td>Et annet organ m\u00e5 bekrefte<\/td>Makt hos et omd\u00f8mmebasert kammer<\/td>Optimism<\/td><\/tr>
B\u00f8rs-frys<\/td>Fryser innskudd utenfor protokollen<\/td>Makt hos sentraliserte b\u00f8rser<\/td>Binance (varslet nestenangrep)<\/td><\/tr><\/tbody><\/table><\/figure>

Marinade: da r\u00e5det vant p\u00e5 seks timer<\/h2>

Den 25. september 2026 fant en angriper en feil i Marinades stemmesystem, Voter Stake Registry (VSR), som lot en liten mengde MNDE-token telle som langt flere stemmer enn den skulle. Med den kunstig oppbl\u00e5ste stemmeretten la angriperen inn to forslag: MIP-23, forkledd som en sikkerhets- og vedlikeholdsoppgradering<\/a> som egentlig skulle bytte ut selve stemmeprogrammet, og et annet som skulle flytte DAO-ens kasse. Dette er l\u00e6rebokoppskriften: gj\u00f8r det ondsinnede forslaget kjedelig, teknisk og tilsynelatende rutinemessig, slik at ingen leser det n\u00f8ye.<\/p>

Her stoppet det likevel. Marinades r\u00e5d avviste begge forslagene innen seks timer<\/a>, rundt fire dager f\u00f8r de kunne settes i verk, if\u00f8lge KuCoin. Ingen midler ble flyttet; mSOL, Native Staking og SAM-produktet var uber\u00f8rt, og feilen ble rettet samme natt. The Defiant oppsummerte det n\u00f8kternt: r\u00e5det blokkerte et fors\u00f8k p\u00e5 overtakelse<\/a>. Den \u00e6rlige MNDE-avstemningen gikk dessuten tydelig mot angriperen, s\u00e5 selv uten r\u00e5det var det tvilsomt om forslaget hadde reell st\u00f8tte.<\/p>

Marinade er en av de ledende protokollene for liquid staking p\u00e5 Solana, ikke en marginal DAO, og den bruker Realms, det mest utbredte styringsverkt\u00f8yet i Solana-\u00f8kosystemet. At selv et prosjekt av den st\u00f8rrelsen m\u00e5tte reddes av et manuelt inngrep, og ikke av koden, sier noe om hvor dette st\u00e5r i 2026: den siste forsvarslinjen er gang p\u00e5 gang mennesker, ikke matematikk. Det er oppl\u00f8ftende og urovekkende p\u00e5 samme tid.<\/p>

Onyx: da tidsl\u00e5sen bare gikk ut<\/h2>

Elleve dager senere viste Onyx den motsatte enden. Onyx er en utl\u00e5nsprotokoll av Compound-typen p\u00e5 Ethereum, og den hadde p\u00e5 papiret alt Marinade hadde: forslagsterskel, quorum og en to dagers tidsl\u00e5s. Den 6. oktober forlot rundt 620 millioner XCN kassen og etterlot bare rundt 1,89 millioner XCN i kontrakten. Verdien l\u00e5 p\u00e5 noen f\u00e5 millioner dollar, i st\u00f8rrelsesorden titalls millioner kroner; kildene spriker p\u00e5 det n\u00f8yaktige tallet, s\u00e5 vi lar det st\u00e5 upresist heller enn \u00e5 oppgi en falsk presisjon.<\/p>

Det avgj\u00f8rende er ikke summen, men mekanismen. Forslaget klarerte terskel og quorum, og de to dagene i tidsl\u00e5sen gikk rett og slett ut uten at noen kansellerte. ChainCatcher<\/a> og Blockaid beskrev det som et angrep gjennom protokollens egne styringsregler, ikke et kodeinnbrudd. Onyx avviste den fremstillingen og kalte det en planlagt migrasjon de hadde varslet p\u00e5 forh\u00e5nd. Den tvetydigheten er i seg selv et poeng: n\u00e5r et utt\u00f8mmende forslag og et legitimt migrasjonsforslag ser helt like ut p\u00e5 kjeden, er det nettopp fordi ingen sto klar til \u00e5 vurdere forskjellen i sanntid.<\/p>

Konklusjonen er den samme uansett hvilken historie som stemmer: en tidsl\u00e5s uten noen som v\u00e5ker, er ikke en l\u00e5s. Den er en k\u00f8lapp. Onyx hadde kj\u00f8pt seg en forsinkelse, men ikke en vokter, og en forsinkelse som ingen bruker, er bare ekstra tid til at angrepet modnes.<\/p>

Term Finance: det best forsvarte offeret<\/h2>

Hvis Onyx manglet en v\u00e5ken h\u00e5nd, viste Term Finance at selv en full verkt\u00f8ykasse ikke hjelper hvis ingen bruker den. Da Term ble t\u00f8mt 23. august 2026, for rundt 80 millioner kroner (8,5 millioner dollar), hadde protokollen en syv dagers tidsl\u00e5s, vetorett for innskyterne og atskilte forvalter- og styringsroller, bygget p\u00e5 Yearns velpr\u00f8vde V3-infrastruktur. P\u00e5 papiret var dette et m\u00f8nsterbruk. Angriperen s\u00e5dde likevel bare 2 ETH gjennom blandetjenesten Tornado Cash, kj\u00f8pte seg opp i det tynne styringstokenet p\u00e5 \u00e5pent marked og tok kontroll over stemmene i fire av fem USDC-hvelv<\/a>. Vetoet fantes. Ingen sto bak det i tide.<\/p>

Ethereums medgrunnlegger Vitalik Buterin hadde advart mot akkurat dette allerede i 2021. I essayet \u00abMoving beyond coin voting governance\u00bb<\/a> skriver han at \u00abtimelocks are more like a paywall on a newspaper website than they are like a lock and key\u00bb: en betalingsmur holder bare den late ute, og en tidsl\u00e5s holder bare den uoppmerksomme angriperen ute. Term er beviset p\u00e5 setningen. Vi dekket den saken i detalj da den skjedde; her er den varselskiltet som fikk DAO-ene til \u00e5 begynne \u00e5 ansette noen til \u00e5 st\u00e5 bak bremsen, i stedet for \u00e5 tro at en passiv forsinkelse gj\u00f8r jobben av seg selv.<\/p>

ENS-krigen: da grunnleggeren vetot sitt eget vetor\u00e5d<\/h2>

Ingen sak viste bedre hva som st\u00e5r p\u00e5 spill, enn borgerkrigen i ENS, DAO-en bak Ethereums navnetjeneste. ENS hadde et sikkerhetsr\u00e5d p\u00e5 fire-av-\u00e5tte signatarer med begrenset makt til \u00e5 kansellere ondsinnede forslag i tidsl\u00e5sen. Mandatet gikk ut 24. juli 2026, og fornyelsen ble en avstemning i to trinn: Snapshot-runden gikk igjennom, men den bindende on-chain-avstemningen falt med 82 prosent nei<\/a>.<\/p>

Grunnen var \u00e9n mann. Medgrunnlegger Nick Johnson, med rundt 3 millioner ENS, kontrollerte omtrent 80 prosent av stemmene som ble avgitt, og rundt halvparten av all delegert stemmerett. Han avsto p\u00e5 Snapshot og stemte nei i den bindende runden. \u00abThe security council must exist as a backstop against compromise and violations of the ENS constitution, not as political officers\u00bb, skrev Johnson, og forklarte at han st\u00f8ttet et sikkerhetsr\u00e5d, men ikke med den foresl\u00e5tte sammensetningen. Reaksjonen kom raskt. Rotki-grunnlegger Lefteris Karapetsas, en veteran i Ethereum-milj\u00f8et, oppsummerte det p\u00e5 X<\/a>: \u00abAnd with that, ENS DAO is dead\u00bb. Et medlem gikk til og med s\u00e5 langt som \u00e5 foresl\u00e5 \u00e5 oppl\u00f8se hele DAO-en<\/a>.<\/p>

Timer etter at avstemningen falt, la ENS Labs-direkt\u00f8r Katherine Wu fram et konkurrerende forslag: et nytt r\u00e5d p\u00e5 \u00e5tte medlemmer, en strengere terskel p\u00e5 fem-av-\u00e5tte, og et publisert mandat som begrenset vetoet til \u00abstj\u00e5lne styringslegitimasjoner, svindel, stemmekj\u00f8p, flash-l\u00e5n og andre metoder for \u00e5 skaffe stemmerett utenfor vanlig markedsdeltakelse\u00bb<\/a>. Forslaget gikk igjennom 20. juli, med virketid fram til 16. juli 2028. R\u00e5det kan kansellere k\u00f8-lagte ondsinnede forslag, men kan ikke flytte kassen, skrive nye forslag eller blande seg i vanlige politiske uenigheter.<\/p>

ENS bygde det, if\u00f8lge crypto.news, kort etter at BonkDAO tapte rundt 190 millioner kroner (20 millioner dollar) i et angrep i juli nettopp fordi prosjektet manglet tidsl\u00e5s og n\u00f8d-multisig. Den ekstra ironien: Johnson, mannen som vetot det gamle r\u00e5dets fornyelse, sitter n\u00e5 selv i det nye. Og striden var ikke engang ENS-grunnleggerens eneste maktgrep det \u00e5ret: i august fikk en egen ENS Foundation administrativ kontroll over en pengebinge p\u00e5 rundt 625 millioner kroner (65 millioner dollar), en parallell sentralisering som ikke er et vetor\u00e5d, men som peker samme vei. N\u00e5r \u00e9n delegat kan velte en avstemning om vokterne, er det ikke lenger \u00e5penbart hvem vokteren egentlig beskytter.<\/p>

Da vokteren faktisk fyrte av: Arbitrum fryser 680 millioner kroner<\/h2>

At et sikkerhetsr\u00e5d kan virke, fikk vi det tydeligste beviset p\u00e5 i april. Etter at en bro-feil tappet Kelp DAO for rundt 2,8 milliarder kroner (292 millioner dollar) den 18. april 2026, grep Arbitrums sikkerhetsr\u00e5d inn tre dager senere og fr\u00f8s 30 766 ETH, verdt rundt 680 millioner kroner (71 millioner dollar)<\/a>, p\u00e5 en styringskontrollert adresse p\u00e5 Arbitrum One. R\u00e5det handlet etter innspill fra politiet om angriperens identitet, og de frosne midlene utgjorde omtrent en fjerdedel av det som ble stj\u00e5let. For \u00e5 frigi dem igjen m\u00e5 Arbitrums styring fatte et eget vedtak.<\/p>

Det var en seier. Det var ogs\u00e5 n\u00f8yaktig det bekymringen handler om. For \u00e5 fryse tyvens penger m\u00e5tte et lite utvalg ha makt til \u00e5 gripe inn mot en adresse p\u00e5 kjeden, etter innspill fra myndigheter, uten en avstemning i sanntid. Overskriftene som fulgte, pekte p\u00e5 det med en gang: redningen startet en debatt om sentralisering. Et r\u00e5d som kan fryse en tyv, kan i prinsippet fryse hvem som helst, og det er ikke lenger investoren som bestemmer hvem det blir. Merk ogs\u00e5 at Kelp-saken strengt tatt var en kodefeil i en bro, ikke et styringsangrep; men responsen, et valgt r\u00e5d som overstyrer kjeden med n\u00f8dfullmakt, er n\u00f8yaktig den samme institusjonen, og den samme risikoen.<\/p>

Paradokset: forsvaret som sentraliserer<\/h2>

Her ligger kjernen i hele 2026-historien. Hver brems som faktisk stopper et stemmekj\u00f8pt angrep, gir makt tilbake til et sentrum. En tidsl\u00e5s krever en v\u00e5ken vokter. Et veto krever et utvalg. Et sikkerhetsr\u00e5d er en multisig med n\u00f8kler, og de n\u00f8klene er et mer konsentrert m\u00e5l enn en spredt mengde token spredt p\u00e5 tusenvis av lommeb\u00f8ker. Angrepet flytter seg bare: fra avstemningen til de fem-av-\u00e5tte som kan overstyre avstemningen. Vokteren blir den nye angrepsflaten, og en kompromittert vokter er langt verre enn en kompromittert avstemning, fordi den har f\u00e5tt mandat til \u00e5 overkj\u00f8re alle andre.<\/p>

Det er derfor striden om hvem som sitter i ENS-r\u00e5det, ikke er en bagatell. N\u00e5r makten til \u00e5 stoppe alt ligger hos fem-av-\u00e5tte underskrifter, blir nettopp de \u00e5tte personene det mest verdifulle m\u00e5let i hele systemet: en vellykket utpressing, et phishing-angrep eller en hemmelig avtale med et flertall av dem er nok til \u00e5 n\u00f8ytralisere forsvaret. Jo sterkere n\u00f8dbremsen er, desto mer konsentrert er den, og desto st\u00f8rre blir premien for den som klarer \u00e5 ta kontroll over selve bremsen i stedet for over avstemningen.<\/p>

Analysebyr\u00e5et CryptoSlate beskrev spenningen som et valg mellom kode og n\u00f8dbremser<\/a>: jo mer ufravikelig koden er, desto mer s\u00e5rbar er den for et angrep ingen kan stoppe; jo flere n\u00f8dbremser, desto mer makt samles hos dem som holder dem. En studie av 48 store Ethereum-DAO-er som byr\u00e5et viser til, fant at de ti st\u00f8rste eierne kontrollerer mer enn halvparten av stemmene i 39 av dem, og at enkeltakt\u00f8rer som Convex og Aura allerede dominerer avstemningene i protokoller som Curve og Balancer. N\u00f8dbremsen er ikke en kur mot den konsentrasjonen. Den er en ekstra l\u00e5s lagt opp\u00e5 den.<\/p>

Tabellen under oppsummerer \u00e5ret i tall: seks saker, seks ulike svar p\u00e5 det samme sp\u00f8rsm\u00e5let, nemlig om bremsen holdt. M\u00f8nsteret er tydelig. Der et utvalg sto klart og brukte vetoet, overlevde kassen. Der bremsen manglet eller sto ubrukt, forsvant pengene.<\/p>

Sak<\/th>Dato<\/th>Hadde n\u00f8dbrems?<\/th>Utfall<\/th>Tapt eller reddet<\/th><\/tr><\/thead>
BonkDAO<\/td>6. jul<\/td>Nei (ingen tidsl\u00e5s)<\/td>Kassen t\u00f8mt<\/td>Tapt ~190 mill. kr<\/td><\/tr>
Binance-varslet DAO<\/td>18. aug<\/td>Ekstern (b\u00f8rs)<\/td>Stanset f\u00f8r gjennomf\u00f8ring<\/td>Reddet (hevdet)<\/td><\/tr>
Term Finance<\/td>23. aug<\/td>Ja, men ubrukt<\/td>68 % av hvelvene tapt<\/td>Tapt ~80 mill. kr<\/td><\/tr>
Marinade<\/td>25. sep<\/td>Ja, brukt p\u00e5 6 timer<\/td>Angrep avvist<\/td>Reddet (0 tapt)<\/td><\/tr>
Onyx<\/td>6. okt<\/td>Ja, men gikk ut<\/td>Kassen flyttet<\/td>Tapt noen mill. dollar<\/td><\/tr>
Arbitrum (Kelp)<\/td>21. apr<\/td>Ja, r\u00e5det fr\u00f8s<\/td>~1\/4 reddet<\/td>Fr\u00f8s ~680 mill. kr<\/td><\/tr><\/tbody><\/table><\/figure>

Hvem sitter i r\u00e5det, og hvem valgte dem?<\/h2>

N\u00e5r et utvalg kan overstyre en avstemning, blir det neste sp\u00f8rsm\u00e5let uunng\u00e5elig: hvem er de, og hvilken legitimitet har de? ENS valgte sine \u00e5tte ved rangert avstemning, og listen er full av kjente Ethereum-navn. Men legitimiteten hviler p\u00e5 et vaklende premiss, for de samme stemmene som velger r\u00e5det, er allerede konsentrert. Chainalysis fant allerede i 2022 at under 1 prosent av eierne satt p\u00e5 rundt 90 prosent av stemmeretten<\/a> i store DAO-er. Et r\u00e5d valgt av en hval er ikke en motvekt til hvaler; det er hvalens eget utvalg.<\/p>

Konsentrasjonen forsterkes av at de fleste eiere ikke stemmer selv, men delegerer bort stemmeretten, eller lar den ligge ur\u00f8rt. Det er den samme passiviteten som gj\u00f8r at folk signerer forslag de aldri leser, slik vi beskrev da kontodelegering ble en risiko i seg selv etter EIP-7702<\/a>. Et sikkerhetsr\u00e5d er p\u00e5 et vis institusjonaliseringen av den passiviteten: siden nesten ingen f\u00f8lger med, ansetter vi noen f\u00e5 til \u00e5 gj\u00f8re det for oss. Det kan v\u00e6re klokt, og i Marinades tilfelle reddet det kassen. Men det er ikke desentralisert styring; det er et lite representativt demokrati med en veldig liten valgdeltakelse, der de f\u00e5 som m\u00f8ter opp, i tillegg er de rikeste.<\/p>

B\u00f8rsen som n\u00f8dbrems: n\u00e5r Binance trekker i snoren utenfra<\/h2>

Ikke all n\u00f8dbrems sitter inne i protokollen. I august hevdet Binance at sikkerhetsteamet hadde stanset et styringsangrep mot en DAO-kasse p\u00e5 rundt 11,5 millioner kroner (1,2 millioner dollar)<\/a> mindre enn 48 timer f\u00f8r gjennomf\u00f8ring, ved \u00e5 fryse innskudd og koordinere med andre b\u00f8rser til forslaget falt. B\u00f8rsen navnga verken prosjektet eller tokenet, s\u00e5 p\u00e5standen kan ikke etterpr\u00f8ves uavhengig og b\u00f8r leses som Binances egen fremstilling. Men mekanismen er reell nok: en stor b\u00f8rs kan fryse token-innskudd og dermed kappe stemmeretten en angriper trenger, en ytre brems ingen i selve DAO-en har bedt om.<\/p>

Bak denne ytre bremsen vokser en hel deteksjonsindustri. Firmaer som Blockaid og Decurity overv\u00e5ker forslag i sanntid og sl\u00e5r alarm p\u00e5 mistenkelige nyttelaster: en blank beskrivelse, et kall til setPendingAdmin, en utstedelse av nye token til en ukjent adresse. Blockaid talte minst syv styringsovertakelser og rundt 220 millioner kroner (22 millioner dollar) tappet<\/a> mellom 9. juni og 6. august 2026 alene, inkludert Token of Power og BarnBridge. Men en overv\u00e5ker er ikke et veto. Alarmen varsler; noen m\u00e5 fortsatt trykke p\u00e5 knappen, og det bringer oss rett tilbake til Onyx, der varselet kom, men ingen h\u00e5nd fulgte.<\/p>

B\u00f8rs-bremsen har dessuten sin egen pris. En b\u00f8rs som kan fryse tokenet ditt for \u00e5 stoppe et angrep, kan fryse det av mange andre grunner ogs\u00e5. Vi er tilbake i det samme bytteforholdet: tryggheten koster kontroll, og kontrollen havner lenger og lenger fra den enkelte eieren.<\/p>

Hvorfor token-avstemning taper, og hvorfor bremsen ikke fikser roten<\/h2>

N\u00f8dbremsen behandler symptomet. Roten er selve prinsippet om \u00e9n token, \u00e9n stemme. Buterin forklarte svakheten i 2021: et styringstoken er \u00aba bundle of two rights\u00bb, en \u00f8konomisk interesse i protokollen og en rett til \u00e5 styre den, og de to rettighetene er, med hans ord, sv\u00e6rt lette \u00e5 skille. En angriper som l\u00e5ner eller kj\u00f8per token kortvarig, f\u00e5r styringsmakt uten varig \u00f8konomisk interesse. Han bryr seg ikke om at stemmen hans \u00f8delegger prosjektet, for han er ute f\u00f8r regningen kommer. Det var nettopp s\u00e5nn Beanstalk ble tappet i 2022: et flash-l\u00e5n ga angriperen et \u00f8yeblikks flertall, uten en krone i reell innsats i prosjektet.<\/p>

Det gj\u00f8r angrepet billig, s\u00e6rlig n\u00e5r tokenet er tynt omsatt. Et kollapset styringstoken er en rabatt p\u00e5 stemmeretten, og mange nye token mister det meste av verdien kort tid etter notering, slik vi har dokumentert i noteringsfellen<\/a>. Jo lavere pris, desto lavere er a16z-ligningens kostnad ved \u00e5 skaffe stemmerett, og desto lettere blir regnestykket positivt for en angriper. Ali Yahya, partner i a16z, satte det p\u00e5 spissen overfor Fortune<\/a> i juni: \u00abWe spent the last 10 years rediscovering the hard way that direct democracy is a bad idea\u00bb. N\u00f8dbremsen er et \u00e6rlig fors\u00f8k p\u00e5 \u00e5 leve med det problemet, men den fjerner det ikke; den legger bare et menneskelig lag over en konstruksjon som er billig \u00e5 angripe i utgangspunktet.<\/p>

Er det en forbrytelse? Finanstilsynet, MiCA, Mango og Ooki<\/h2>

Hvis en nordmann taper penger i et styringsangrep, hvem svarer? Rettslig er bildet tynt. Den mest kjente saken, Mango Markets, endte med at en amerikansk dommer i mai 2025 opphevet domfellelsen mot Avraham Eisenberg<\/a>, blant annet fordi protokollen var tillatelsesfri og selvutf\u00f8rende: det er vanskelig \u00e5 kalle noe bedrageri n\u00e5r reglene virket akkurat som kodet. P\u00e5 den andre siden slo det amerikanske r\u00e5varetilsynet CFTC i 2023 fast at en DAO kan v\u00e6re en \u00abperson\u00bb og en uregistrert sammenslutning<\/a> som kan holdes ansvarlig, i Ooki DAO-saken, med en uteblivelsesdom p\u00e5 643 542 dollar. De to avgj\u00f8relsene peker i hver sin retning, og ingen av dem gir et norsk offer en klar vei til \u00e5 f\u00e5 pengene tilbake.<\/p>

I Norge gjelder kryptoeiendelsloven, som gjennomf\u00f8rer EUs MiCA-forordning, fra 1. juli 2025. Men MiCA regulerer tjenesteyterne, alts\u00e5 b\u00f8rser og forvaltere (CASP-er), ikke hvordan en protokoll utformer sin styring. Finanstilsynet<\/a> gir tillatelser til og f\u00f8rer tilsyn med CASP-er, men en DAO uten noe selskap eller noen CASP bak seg faller stort sett utenfor. For et norsk offer blir de reelle virkemidlene de alminnelige: anmeldelse for bedrageri eller markedsmanipulasjon, med den tynne rettspraksisen det inneb\u00e6rer, og en skattemelding til Skatteetaten p\u00e5 det som m\u00e5tte v\u00e6re igjen.<\/p>

Selv markedsmisbruksdelen av MiCA, som rammer innsidehandel og markedsmanipulasjon, er rettet mot identifiserbare akt\u00f8rer som manipulerer et marked, ikke mot en protokoll som utf\u00f8rer en avstemning etter boka. En angriper som kj\u00f8per stemmerett p\u00e5 \u00e5pent marked og trykker p\u00e5 de knappene reglene stiller til r\u00e5dighet, har i verste fall gjort noe som ligner mer p\u00e5 en fiendtlig oppkj\u00f8psstrid enn p\u00e5 et innbrudd. Det er nettopp det juridiske tomrommet n\u00f8dbremsen fyller: den gj\u00f8r noe med problemet akkurat n\u00e5, mens rettssystemet fortsatt leter etter et navn \u00e5 sette p\u00e5 tiltalen.<\/p>

Det er verdt \u00e5 ta inn over seg hva dette betyr for forholdet mellom bremsen og loven. N\u00f8dbremsen er ikke bare teknisk nyttig; den er ogs\u00e5 den eneste forsvarslinjen som faktisk finnes i sanntid. Loven kommer alltid lenge etter at pengene er borte, og den n\u00e5r uansett ikke en protokoll uten et selskap \u00e5 saks\u00f8ke. Det presser ansvaret over p\u00e5 de f\u00e5 som holder vetoet, og styrker b\u00e5de argumentet for \u00e5 ha et sikkerhetsr\u00e5d og uroen over hvor mye makt det samler.<\/p>

Hva en norsk investor b\u00f8r gj\u00f8re: les forslaget, ikke bare prisen<\/h2>

Du kan ikke revidere hver smartkontrakt, men du kan lese styringen til et prosjekt f\u00f8r du l\u00e5ser inne penger. Et par minutter p\u00e5 styringsforumet og i dokumentasjonen forteller deg mer om risikoen enn prisgrafen gj\u00f8r. Her er sjekklisten vi bruker n\u00e5r vi vurderer en DAO-styrt protokoll.<\/p>

  • Finnes det en tidsl\u00e5s mellom vedtak og gjennomf\u00f8ring, og er den lang nok til at noen rekker \u00e5 reagere?<\/li>
  • Finnes det et veto med tenner, et sikkerhetsr\u00e5d eller en vokter-multisig, og er det noen som faktisk overv\u00e5ker og kan trykke p\u00e5 knappen?<\/li>
  • Hvem holder n\u00f8klene til det vetoet, hvor mange signaturer kreves, og er medlemmene reelt uavhengige av hverandre?<\/li>
  • Hvor tynt er styringstokenet omsatt? Et billig, lite likvid token er et billig angrep.<\/li>
  • Hvor konsentrert er stemmeretten? Hvis de ti st\u00f8rste, eller \u00e9n grunnlegger, kan vedta hva som helst alene, er \u00abdesentralisert\u00bb mest markedsf\u00f8ring.<\/li>
  • Les nyttelasten i forslagene, ikke bare titlene. Et kall til setPendingAdmin, en utstedelse av nye token eller en flytting av kassen er de klassiske varsellampene.<\/li><\/ul>

    N\u00f8dbremsen er det beste DAO-ene har klart \u00e5 bygge p\u00e5 kort tid, og 2026 viste at den kan redde en kasse p\u00e5 seks timer. Den viste ogs\u00e5 at en brems ingen trekker i, er like verdil\u00f8s som ingen brems, og at den som f\u00e5r makt til \u00e5 trekke i den, blir det nye m\u00e5let. Helt til token-avstemningen f\u00e5r en bedre grunnmur, er svaret p\u00e5 Juvenals sp\u00f8rsm\u00e5l ubehagelig enkelt: forel\u00f8pig m\u00e5 du vokte vokterne selv, ved \u00e5 lese forslaget f\u00f8r du stemmer, og lenge f\u00f8r du setter inn pengene.<\/p>

    Ofte stilte sp\u00f8rsm\u00e5l<\/h2>

    Hva er et styringsangrep?<\/h3>

    Et styringsangrep er n\u00e5r noen skaffer seg nok stemmerett i en DAO til \u00e5 f\u00e5 vedtatt et forslag som tapper kassen eller gir angriperen kontroll, uten \u00e5 utnytte noen feil i koden. Reglene virker som de skal; det er selve avstemningen som er angrepsflaten.<\/p>

    Hva er et DAO-sikkerhetsr\u00e5d?<\/h3>

    Et sikkerhetsr\u00e5d er et lite, navngitt utvalg som styrer en multisig-lommebok med rett til \u00e5 kansellere ondsinnede forslag mens de ligger i tidsl\u00e5sen f\u00f8r gjennomf\u00f8ring. Det fungerer som en menneskelig n\u00f8dbrems, men kan som regel ikke flytte kassen eller skrive nye forslag.<\/p>

    Hvorfor stoppet Marinade angrepet mens Onyx ikke gjorde det?<\/h3>

    Marinades r\u00e5d kjente igjen de ondsinnede forslagene og avviste dem innen seks timer, flere dager f\u00f8r de kunne settes i verk. Onyx hadde ogs\u00e5 en tidsl\u00e5s, men den gikk rett og slett ut uten at noen kansellerte, s\u00e5 en brems ingen bruker, stopper ingenting.<\/p>

    Er et styringsangrep ulovlig i Norge?<\/h3>

    Det er uklart. MiCA, gjennomf\u00f8rt som kryptoeiendelsloven fra 1. juli 2025, regulerer tjenesteytere (CASP-er) under tilsyn av Finanstilsynet, ikke hvordan en protokoll utformer styringen sin. Et norsk offer er i praksis henvist til anmeldelse for bedrageri eller markedsmanipulasjon, med tynn rettspraksis.<\/p>

    Gj\u00f8r et sikkerhetsr\u00e5d en DAO mindre desentralisert?<\/h3>

    Ja, det er avveiningen. Et veto som kan stoppe et angrep, gir ogs\u00e5 et lite utvalg makt til \u00e5 overstyre en avstemning, og utvalgets n\u00f8kler blir et nytt m\u00e5l. Et r\u00e5d som kan fryse en tyv, kan i prinsippet fryse hvem som helst, slik Arbitrums frysing av Kelp-midlene viste.<\/p>