{"id":578,"date":"2026-10-15T05:10:29","date_gmt":"2026-10-15T05:10:29","guid":{"rendered":"https:\/\/hoge.gg\/no\/halborn-bitget-hack-forsyningskjede-2026\/"},"modified":"2026-10-15T05:10:29","modified_gmt":"2026-10-15T05:10:29","slug":"halborn-bitget-hack-forsyningskjede-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/no\/halborn-bitget-hack-forsyningskjede-2026\/","title":{"rendered":"Verken kode eller n\u00f8kkel: Halborn og Bitget-hacket i 2026"},"content":{"rendered":"

September 2026 ble den dyreste m\u00e5neden i kryptoens korte historie, av alle de gale grunnene. Mens prisene holdt seg rolige, med Bitcoin rundt 83.400 dollar<\/a> (i underkant av 790.000 kroner), forsvant det mer verdier til hackere p\u00e5 fire uker enn i noen annen m\u00e5ned i 2026. To angrep sto for brorparten, og det st\u00f8rste av dem rammet en av verdens travleste kryptob\u00f8rser: Bitget.<\/p>

Det bemerkelsesverdige er ikke bare bel\u00f8pet, rundt 387,5 millioner dollar eller cirka 3,7 milliarder kroner, men m\u00e5ten pengene forsvant p\u00e5. Ingen privatn\u00f8kkel ble stj\u00e5let. Ingen smartkontrakt hadde en feil. Angriperne br\u00f8t seg ikke gjennom kryptografien som beskytter en blokkjede. De fikk b\u00f8rsens egne systemer til \u00e5 godkjenne utbetalinger som s\u00e5 helt rutinemessige ut.<\/p>

Sikkerhetsfirmaet Halborn, som de siste \u00e5rene har gjort seg til kryptoens fremste likskuer, publiserte kort tid etter en detaljert obduksjon av hendelsen<\/a>. Konklusjonen er ubehagelig for en bransje som har brukt \u00e5r p\u00e5 \u00e5 overbevise seg selv om at en grundig koderevisjon er veien til trygghet: angrepet traff verken koden eller n\u00f8klene. Det traff infrastrukturen rundt dem. Denne artikkelen tar for seg hva som faktisk skjedde, hvorfor en revisjon aldri ville fanget det, og hva det betyr for nordmenn som lar en b\u00f8rs holde myntene sine.<\/p>

M\u00e5neden krypto helst vil glemme<\/h2>

Tallene for september 2026 er dystre nesten uansett hvem som teller. Analyseselskapet PeckShield registrerte rundt 766,5 millioner dollar tapt i 55 st\u00f8rre hendelser, mens CertiK kom til 768,4 millioner dollar fordelt p\u00e5 97 hendelser. Begge er enige om at det var den verste m\u00e5neden i hele 2026<\/a>, en \u00f8kning p\u00e5 rundt 3,5 ganger fra august, da tapene l\u00e5 p\u00e5 cirka 215 millioner dollar.<\/p>

To hendelser st\u00e5r for omtrent 92 prosent av september-regnskapet. Bitget mistet rundt 387,5 millioner dollar, og Liquid Network, en Bitcoin-sidekjede som brukes av flere b\u00f8rser, mistet rundt 320 millioner dollar i et separat angrep tidlig i m\u00e5neden<\/a> (her ble riktignok rundt 285 millioner dollar senere tilbakef\u00f8rt, en sjeldenhet). Legger man september opp\u00e5 resten av \u00e5ret, hadde CertiK talt 656 hendelser og rundt 2,68 milliarder dollar<\/a> (cirka 25 milliarder kroner) i samlede tap s\u00e5 langt i 2026. Til sammenligning gj\u00f8r den enkelthendelsen hos Bitget den til \u00e5rets st\u00f8rste tyveri og blant de ti st\u00f8rste noensinne.<\/p>

Hendelse<\/th>Dato<\/th>Bel\u00f8p (USD)<\/th>Bel\u00f8p (NOK)<\/th>Angrepstype<\/th>Tilskrevet<\/th><\/tr><\/thead>
Bitget<\/td>24. sep 2026<\/td>~387,5 mill.<\/td>~3,7 mrd.<\/td>Backend \/ forsyningskjede<\/td>Lazarus (Nord-Korea)<\/td><\/tr>
Liquid Network<\/td>6. sep 2026<\/td>~320 mill.<\/td>~3 mrd.<\/td>Sidekjede-feil<\/td>Uavklart (~285 mill. tilbakef\u00f8rt)<\/td><\/tr>
KelpDAO<\/td>18. apr 2026<\/td>~292 mill.<\/td>~2,8 mrd.<\/td>Bro \/ verifikator-oppsett<\/td>Lazarus (Nord-Korea)<\/td><\/tr>
Drift Protocol<\/td>1. apr 2026<\/td>~285 mill.<\/td>~2,7 mrd.<\/td>Styring \/ forh\u00e5ndssignering<\/td>Lazarus (Nord-Korea)<\/td><\/tr><\/tbody><\/table>
Kursene er omregnet til cirka 9,5 kroner per dollar. Kilder: PeckShield, CertiK, Halborn, CoinDesk.<\/figcaption><\/figure>

M\u00f8nsteret i tabellen er verdt \u00e5 merke seg. Fire av de st\u00f8rste tyveriene i 2026 rammet helt ulike deler av kryptostabelen: en sentralisert b\u00f8rs, en Bitcoin-sidekjede, en tverrkjede-bro og en desentralisert derivatb\u00f8rs. Tre av fire peker mot den samme gruppen. Og i de fleste tilfellene var ikke selve den reviderte koden problemet.<\/p>

Hvem er Halborn, og hvorfor obduserer de hacket?<\/h2>

Halborn er et blokkjede-sikkerhetsselskap grunnlagt i 2019 av Steven Walbroehl og Rob Behnke, opprinnelig i Miami, n\u00e5 med en fjernarbeidende stab. Firmaet startet med \u00e5 drive offensiv sikkerhet, alts\u00e5 \u00e5 bryte seg inn i kundenes systemer f\u00f8r kriminelle rekker det, og bygget seg opp uten ekstern kapital i omtrent tre \u00e5r f\u00f8r en runde p\u00e5 90 millioner dollar ledet av Summit Partners i juli 2022. I dag ledes det av Jacques Boschung som konsernsjef, med Behnke som styreleder og president og Walbroehl som teknologidirekt\u00f8r. Tjenestene spenner fra revisjon av smartkontrakter og penetrasjonstesting til red teaming og r\u00e5dgivning<\/a> for banker og tokeniserte verdier, og kundelisten omfatter navn som Coinbase, Polygon og Solana.<\/p>

Det Halborn er mest kjent for i offentligheten, er likevel noe annet: obduksjonene. N\u00e5r et stort angrep inntreffer, skriver firmaet ofte en grundig forklaring i serien sin kalt \u00abExplained\u00bb, uavhengig av om de reviderte prosjektet eller ikke. Dette er delvis kunnskapsdeling og delvis omd\u00f8mmebygging i en bransje uten offentlig tilsyn med kodekvalitet. Katalogen deres for 2026 leser som en kriminalkr\u00f8nike: Drift, KelpDAO, Humanity Protocol, Syscoin, og n\u00e5 Bitget. Poenget med \u00e5 lese disse obduksjonene er ikke \u00e5 henge ut ett offer, men \u00e5 se m\u00f8nsteret som g\u00e5r igjen fra sak til sak.<\/p>

Anatomien: da systemet signerte sitt eget ran<\/h2>

For \u00e5 forst\u00e5 hvor uvanlig Bitget-hacket er, m\u00e5 man vite hvordan en b\u00f8rs flytter penger. N\u00e5r en kunde tar ut krypto, lager b\u00f8rsens systemer en usignert transaksjon, alts\u00e5 et utkast som sier \u00absend s\u00e5 mye av denne mynten til denne adressen\u00bb. Deretter g\u00e5r utkastet gjennom en godkjenningskjede: automatiske kontroller, risikoregler og til slutt en signering med de private n\u00f8klene som faktisk autoriserer flyttingen p\u00e5 blokkjeden. Det er signaturen, ikke utkastet, som har verdi. Alt sikkerhetsarbeid i bransjen har tradisjonelt handlet om \u00e5 beskytte de n\u00f8klene.<\/p>

Lazarus-gruppen gikk ikke etter n\u00f8klene. If\u00f8lge Halborns gjennomgang utnyttet de i stedet en s\u00e5rbarhet i et tredjeparts sikkerhetsprodukt<\/a> som Bitget brukte, og skaffet seg h\u00f8yniv\u00e5 tilgang til det interne nettverket. Med den tilgangen kunne de forfalske selve transaksjonsdataene f\u00f8r signering, slik at falske utkast ble f\u00f8rt inn i den normale godkjenningskjeden. Systemet behandlet dem som rutine og godkjente dem automatisk, uten \u00e5 sl\u00e5 alarm. Halborn formulerer det slik at angriperne, i stedet for \u00e5 fors\u00f8ke \u00e5 stjele de private n\u00f8klene som brukes til \u00e5 signere transaksjoner, utnyttet selve lommebok-infrastrukturen som h\u00e5ndterte de usignerte transaksjonene.<\/p>

Bitgets konsernsjef Gracy Chen beskrev angrepet i n\u00f8kterne ordelag: \u00abAngriperen kompromitterte et kritisk backend-system i lommebok-infrastrukturen v\u00e5r, brukte det til \u00e5 forfalske transaksjonsdata og utl\u00f8ste godkjenningsprosessen v\u00e5r for \u00e5 flytte midler ut\u00bb, skrev hun if\u00f8lge The Hacker News<\/a>. Med andre ord: b\u00f8rsen betalte ut pengene selv, i den tro at den fulgte sine egne regler. De varme og halvvarme lommeb\u00f8kene ble t\u00f8mt, mens de kalde lommeb\u00f8kene og det store flertallet av kundemidlene if\u00f8lge Bitget forble ur\u00f8rt.<\/p>

Her ligger kjernen i hele saken. Det var ingen smartkontrakt involvert som en revisor kunne lese linje for linje. Det var ingen stj\u00e5let privatn\u00f8kkel som en maskinvarelommebok kunne beskyttet. Det var ingen phishing-lenke en ansatt klikket p\u00e5. Det var et stykke betrodd programvare dypt inne i b\u00f8rsens egen r\u00f8rlegging som ble vridd til \u00e5 lyve for alt rundt seg.<\/p>

Forsyningskjedeangrep, forklart<\/h2>

Det Bitget ble utsatt for, kalles et forsyningskjedeangrep. I stedet for \u00e5 angripe m\u00e5let direkte, kompromitterer angriperen noe m\u00e5let stoler p\u00e5 og slipper inn: en leverand\u00f8r, en programvarekomponent, en oppdatering, et verkt\u00f8y. Logikken er brutalt effektiv. En moderne kryptob\u00f8rs kj\u00f8rer dusinvis av tredjepartssystemer for overv\u00e5king, risikostyring og signering, og hvert av dem har privilegert tilgang. Klarer du \u00e5 forgifte ett av dem, arver du den tilliten uten \u00e5 m\u00e5tte knekke noe som helst hos selve m\u00e5let.<\/p>

Ironien er at verkt\u00f8yet i Bitgets tilfelle etter alt \u00e5 d\u00f8mme var et sikkerhetsprodukt. Nettopp programvaren som skulle redusere risiko, ble inngangen. Det er ikke f\u00f8rste gang. Da Bybit mistet rundt 1,5 milliarder dollar i februar 2025, i det som fortsatt er tidenes st\u00f8rste kryptotyveri, skjedde det heller ikke ved at n\u00f8kler ble stj\u00e5let. Angriperne kompromitterte utviklingsmilj\u00f8et til signeringsgrensesnittet Safe, slik at operat\u00f8rene s\u00e5 en ufarlig transaksjon p\u00e5 skjermen mens de i virkeligheten signerte noe helt annet. FBI tilskrev<\/a> det angrepet til den nordkoreanske TraderTraitor-gruppen, en undergruppe av Lazarus, den samme signaturen etterforskerne n\u00e5 ser hos Bitget.<\/p>

L\u00e6rdommen er at angrepsflaten til en b\u00f8rs er mye st\u00f8rre enn koden den publiserer p\u00e5 kjeden. Den omfatter hver eneste leverand\u00f8r, hvert bibliotek, hver maskin og hvert menneske med tilgang til produksjonsmilj\u00f8et. En revisjon av smartkontrakter ser ingenting av dette, rett og slett fordi det ligger utenfor det en revisjon er laget for \u00e5 unders\u00f8ke.<\/p>

Tidslinjen for 24. september<\/h2>

Angrepet ble oppdaget 24. september 2026, med de siste uautoriserte uttakene registrert rundt klokken 18:31 UTC. Det som fulgte, er en ganske standard krise\u00f8velse for en stor b\u00f8rs: stans uttakene, hent inn ekstern etterforskning og fors\u00f8k \u00e5 begrense skaden mens tyvene allerede er i gang med \u00e5 flytte byttet. Bitget hentet inn de forensiske milj\u00f8ene Mandiant og SlowMist, og tallet ble oppjustert underveis fra de f\u00f8rste bekreftede 351,6 millioner dollar til et forensisk estimat p\u00e5 rundt 387,5 millioner dollar som n\u00e5dde angriperens adresser.<\/p>

Tidspunkt<\/th>Hendelse<\/th><\/tr><\/thead>
24. sep, ~18:31 UTC<\/td>Mistenkelige utbetalinger oppdages; kompromiss av backend bekreftes<\/td><\/tr>
Minutter etter<\/td>Uttak p\u00e5 plattformen stanses midlertidig<\/td><\/tr>
Timer etter<\/td>Angriperne begynner \u00e5 konvertere byttet til ETH for \u00e5 unng\u00e5 frysing<\/td><\/tr>
Samme d\u00f8gn<\/td>Gracy Chen bekrefter tapet; brukerfondet erkl\u00e6res dekkende<\/td><\/tr>
Dagene etter<\/td>Mandiant og SlowMist engasjeres; dus\u00f8rprogram lanseres (5 % for frysing, 5 % for gjenvinning)<\/td><\/tr>
Ettertid<\/td>Forensisk estimat oppjusteres fra ~351,6 til ~387,5 millioner dollar<\/td><\/tr><\/tbody><\/table>
Kilder: Bitget, The Hacker News, Halborn.<\/figcaption><\/figure>

Responsen var rask, men det spiller mindre rolle enn man skulle tro. Som vi kommer tilbake til, er det gullvinduet for \u00e5 stanse tyvegods m\u00e5lt i minutter, ikke timer, og en gruppe som Lazarus planlegger utgangen like n\u00f8ye som inngangen. Innen Bitget hadde stengt kranene, var en betydelig del av verdiene allerede p\u00e5 vei gjennom et hvitvaskingsapparat bygget nettopp for \u00e5 gj\u00f8re frysing umulig.<\/p>

Hot, warm og cold: derfor ble bare noen lommeb\u00f8ker t\u00f8mt<\/h2>

En av de viktigste detaljene i Bitget-saken er at de kalde lommeb\u00f8kene overlevde. For \u00e5 skj\u00f8nne hvorfor, m\u00e5 man forst\u00e5 hvordan en b\u00f8rs fordeler kundenes krypto. Midlene ligger ikke i \u00e9n b\u00f8tte, men i flere lag etter hvor raskt de m\u00e5 v\u00e6re tilgjengelige.<\/p>