Post-mortems i krypto: när protokoll obduceras offentligt

När ett kryptoprotokoll kraschar försvinner sällan bara pengarna. Några timmar senare börjar något annat: en offentlig obduktion. Utvecklare, säkerhetsforskare och anonyma konton rekonstruerar exakt vad som gick fel, block för block, och publicerar resultatet för hela världen att läsa. Den här genren, på engelska kallad post-mortem, har blivit en av de mest särpräglade delarna av kryptokulturen. Här går vi igenom var den kommer ifrån, hur en bra haverirapport ser ut och vad du som svensk läsare bör titta efter nästa gång ett protokoll spricker.

En kort notis om siffrorna: alla dollarbelopp nedan är omräknade till svenska kronor med kursen den 2 juli 2026, då en dollar kostade omkring 9,65 kronor. Beloppen är avrundade och avser i regel värdet vid tidpunkten för respektive händelse.

Vad är en protokollobduktion?

Begreppet post-mortem är lånat från flera håll. Sjukvården obducerar för att fastställa dödsorsak, flyget skriver haverirapporter efter olyckor, och mjukvarubranschen har länge dokumenterat driftstörningar utan att peka finger, en så kallad blameless post-mortem. Kryptovärlden har tagit alla tre och gjort dem till en offentlig angelägenhet.

Det som skiljer en kryptoobduktion från en vanlig incidentrapport är att bevismaterialet är offentligt. Varje transaktion, varje anrop till ett smart kontrakt och varje förflyttning av stulna medel ligger kvar på en publik blockkedja. En utomstående kan följa pengarna i realtid, ofta innan protokollets eget team ens hunnit skriva ett uttalande. Därför handlar en post-mortem sällan om vad som hände, utan om varför koden tillät det.

Från The DAO till en hel genre

Genren föddes i juni 2016, med The DAO. En angripare utnyttjade ett så kallat reentrancy-fel och tömde ungefär 3,6 miljoner ETH, cirka en tredjedel av allt kapital i fonden, värt omkring 50 miljoner dollar då (motsvarande runt 480 miljoner kronor i dag). Tack vare en inbyggd fördröjning på 28 dagar var pengarna inte omedelbart borta, och Ethereum-communityn ställdes inför en fråga som fortfarande delar branschen: ska man skriva om historien för att rädda offren?

Svaret blev en hard fork. Den 20 juli 2016, vid block 1 920 000, rullade nätverket tillbaka sitt tillstånd och flyttade de kapade medlen till ett återbetalningskontrakt, något Ethereum Foundation beskrev i inlägget Hard Fork Completed. Beslutet var långt ifrån självklart och delade communityn djupt. En minoritet vägrade acceptera ingreppet och stannade på den ursprungliga kedjan, som lever vidare som Ethereum Classic. Där, i konflikten mellan ”code is law” och mänskligt omdöme, grundlades hela post-mortem-kulturen.

Anatomin i en bra post-mortem

Efter snart tio år har formatet mognat. En trovärdig haverirapport följer numera en igenkännbar struktur, och läsare har lärt sig att vara skeptiska mot team som hoppar över någon av delarna:

• Tidslinje: exakta tidsstämplar och blocknummer för varje steg i angreppet.
• Grundorsak: den tekniska felkällan, ofta ner till en enskild rad kod eller ett felaktigt antagande.
• Påverkan: vilka pooler, tokens och användare som drabbades, och hur mycket kapital som gick förlorat.
• Omedelbar åtgärd: hur teamet stoppade blödningen, till exempel genom att pausa kontrakt.
• Åtgärdsplan: vad som ändras för att felet inte ska kunna upprepas, gärna med länk till en pull request eller en ny revision.

Den blamefria tonen är viktig. Poängen är inte att hänga ut en enskild utvecklare, utan att förstå systemet som lät misstaget slinka igenom, ofta trots flera oberoende revisioner. Euler hade till exempel sex olika revisorer bakom sig när protokollet ändå föll.

En annan sak har förändrats sedan 2016: obduktionen är inte längre teamets ensak. Säkerhetsföretag som PeckShield och SlowMist, oberoende forskare på sociala medier och konkurrerande protokoll granskar rapporten nästan i realtid. En förklaring som inte håller för granskning avslöjas snabbt, vilket har höjt ribban för vad som räknas som trovärdigt.

Fem obduktioner som formade praktiken

Ett fåtal incidenter har blivit obligatorisk läsning, inte bara för hur illa det gick utan för hur teamen skötte efterspelet. Arkivet Rekt News leaderboard rankar de största och fungerar i praktiken som branschens kollektiva minne.

Bakom varje rad döljer sig en egen berättelse. Ronins fall är särskilt lärorikt för spelvärlden: bryggan bakom Axie Infinity tömdes på 173 600 ETH och 25,5 miljoner USDC efter att angripare tagit kontroll över fem av nio validatornycklar. Ingången var inte en kodbugg utan en förfalskad jobbannons som lurade en anställd, något The Block kartlade i detalj. Sky Mavis egen obduktion bekräftade senare att FBI pekade ut den nordkoreanska Lazarusgruppen.

När tjuven lämnar tillbaka pengarna

En av kryptovärldens mest säregna traditioner är den offentliga förhandlingen med angriparen, förd rakt genom transaktionernas meddelandefält. Euler Finance är läroboksexemplet. I mars 2023 länsades utlåningsprotokollet på cirka 197 miljoner dollar (runt 1,9 miljarder kronor) via en felaktig funktion vid namn donateToReserves, som legat orörd i koden i åtta månader. I stället för att fly inledde teamet en kampanj av påtryckningar och löften om amnesti. Tre veckor senare hade angriparen, som kallade sig Jacob, lämnat tillbaka i princip allt, ett förlopp som CoinDesk följde och som Euler själva dokumenterade i efterhand i War & Peace.

Euler är inte ensamt. Poly Network fick tillbaka merparten av de dryga 600 miljoner dollar (cirka 5,9 miljarder kronor) som försvann 2021, sedan angriparen döpts om till ”Mr White Hat” och erbjudits en belöning. Men det finns en motpol. När Nomad-bryggan hackades i augusti 2022 var hålet så enkelt att kopiera att vem som helst kunde delta, och det som följde beskrevs som en offentlig plundring där hundratals plånböcker slogs om resterna. Skillnaden mellan en white hat och en vanlig tjuv kan ibland vara några rader i ett meddelandefält.

Logiken bakom återlämnandet är kall snarare än ångerfull. Varje krona ligger på en genomlyst blockkedja, de flesta stora börser fryser märkta adresser, och analysföretag kan följa pengarna dygnet runt. För en angripare blir en generös dusör plus löftet om att slippa åtal ofta ett bättre utfall än att sitta på hundratals miljoner som knappt går att växla in. Post-mortemen blir därmed inte bara en obduktion utan också ett förhandlingsbord.

Buggbelöningar och den vita hatten

Post-mortem-kulturen har också en förebyggande gren: buggbelöningar. Tanken är enkel, hellre betala en säkerhetsforskare några miljoner för att i tysthet rapportera ett hål än att förlora hundratals miljoner offentligt. Plattformen Immunefi har blivit navet för den här marknaden och har enligt The Block betalat ut sammanlagt över 100 miljoner dollar (runt en miljard kronor) till etiska hackare.

Rekordet är talande. Efter att Wormhole-bryggan förlorat 120 000 wETH, värt cirka 320 miljoner dollar (omkring 3,1 miljarder kronor) sedan en föråldrad signaturkontroll kringgåtts, betalades en av historiens största kända buggbelöningar ut: 10 miljoner dollar, cirka 96 miljoner kronor, till en forskare som hittade ett liknande hål innan det kunde utnyttjas på nytt. Chainalysis har kartlagt hur det ursprungliga angreppet gick till. Att en enda bugg både kan kosta miljarder och belönas med miljoner säger en del om hur höga insatserna är.

Styrning efter smällen

När den tekniska obduktionen är klar återstår ofta den svåraste frågan: vem betalar? I ett decentraliserat protokoll finns ingen vd som ensam kan fatta beslutet. I stället flyttas det till styrningen, där token-innehavare röstar om huruvida en gemensam kassa ska användas för att ersätta drabbade användare. Debatten på styrningsforumen blir i sig en fortsättning på obduktionen, där ansvar, moral och ekonomi vägs mot varandra i öppen text.

Ronin valde en annan väg. Eftersom Sky Mavis är ett bolag med en balansräkning kunde teamet, tillsammans med en ny finansieringsrunda, personligen garantera användarnas medel och successivt återöppna bryggan. Det illustrerar en spänning som varje post-mortem tvingas hantera: idealet om ren kod som styr allt möter en verklighet där människor, bolag och ibland en statlig aktör som Lazarus står bakom både felen och lösningarna.

Curve och risken du inte ser

Ibland ligger felet inte ens i protokollets egen kod. I juli 2023 drabbades flera av Curve Finances pooler av ett angrepp som kostade omkring 69 miljoner dollar (cirka 665 miljoner kronor). Grundorsaken visade sig vara en bugg i själva programspråket Vyper, där ett återinträdeslås i vissa kompilatorversioner helt enkelt inte fungerade. Curves egen kod var korrekt skriven, det var verktyget under den som svek. Riskanalysgruppen LlamaRisk publicerade en detaljerad post-mortem, och uppföljande analyser uppskattade att omkring 70 procent av medlen till slut kunde återföras.

Läxan är obekväm. En investerare kan läsa varje revision av ett protokoll och ändå missa risken, eftersom hela DeFi vilar på delade beroenden: kompilatorer, orakel, bryggor och standardbibliotek som många protokoll använder samtidigt. En bugg i ett enda lager kan ge genljud genom hela ekosystemet. Det är just därför obduktionerna delas så generöst, ett protokolls misstag är ofta ett annat protokolls varning.

Så läser du en post-mortem som svensk sparare

För en svensk läsare har de här rapporterna blivit ett slags due diligence. Innan du låser in kronor i ett protokoll är dess tidigare post-mortems, om det finns några, ofta mer avslöjande än marknadsföringen. Några konkreta saker att titta efter:

• Publicerade teamet en rapport snabbt och öppet, eller försökte de tona ner händelsen?
• Pekade de ut en konkret grundorsak, eller stannade förklaringen vid vaga formuleringar?
• Kompenserades användarna, och i så fall med vems pengar?
• Ledde felet till en verifierbar åtgärd, till exempel en publik pull request eller en ny revision?

Skalan är inte försumbar. Enligt Chainalysis stals kryptotillgångar för omkring 2,2 miljarder dollar under 2024, motsvarande drygt 21 miljarder kronor, och siffran steg året därpå. Samtidigt förändras spelreglerna i Sverige. Genom EU:s regelverk MiCA måste kryptoföretag numera ha tillstånd, och Finansinspektionen slog fast att bolag som vill fortsätta erbjuda kryptotjänster i landet måste ha lämnat in en ansökan senast den 1 oktober 2025 eller avveckla verksamheten. Övergångsperioden inom EU löper fram till den 1 juli 2026.

Men ett viktigt förbehåll: MiCA reglerar företagen som förmedlar krypto, inte matematiken i ett smart kontrakt. Ett tillstånd från Finansinspektionen skyddar dig mot oseriösa mellanhänder, inte mot ett reentrancy-fel i ett DeFi-protokoll på andra sidan jordklotet. Där är den offentliga obduktionen fortfarande ditt bästa försvar.

Att skriva en obduktion över sitt eget haveri kräver en ovanlig sorts öppenhet. Att andra sedan läser, delar och bygger vidare på den är kanske det närmaste kryptobranschen kommer en gemensam yrkesetik. Så länge koden hanterar riktiga pengar kommer den kulturen att behövas.

Av redaktionen på HOGE Wire. Innehållet är allmän information och utgör inte investeringsrådgivning.