När koden möter lagen: kryptohackens post-mortem i rätten

Den 15 oktober 2022 gjorde innehavarna av Mango-token något som hade varit otänkbart i nästan vilken annan bransch som helst. Bara timmar efter att en ensam trader tömt deras derivatbörs på över 110 miljoner dollar (drygt en miljard kronor med dagens växelkurs) röstade de igenom ett förslag om att låta honom behålla ungefär 47 miljoner, mot att han lämnade tillbaka resten och mot ett löfte: inga polisanmälningar, inga frysta konton. Obduktionen var klar, boken stängd, alla kunde gå vidare. Arton månader senare satt samma man framför en jury i Manhattan.

Kryptobranschen har blivit skickligare än nästan någon annan sektor på att obducera sina egna katastrofer. En modern post-mortem kan beskriva ett hack ned till blocknumret, namnge den felaktiga kodraden och lägga ut hela förloppet minut för minut. Men det finns en fråga som ingen post-mortem kan besvara: vem, om någon, ställs till svars i en riktig domstol? Den tekniska obduktionen och den juridiska räkenskapen är två olika dokument, skrivna av olika människor, i olika tempo, efter olika regler. Den här texten handlar om vad som händer när de krockar, och varför utgången nästan aldrig blir den som obduktionen antyder.

Två räkenskaper för samma hack

En post-mortem är en teknisk berättelse. Den svarar på hur: vilket kontrakt som hade felet, vilken transaktion som utlöste det, hur pengarna flödade ut. Den skrivs oftast av de drabbade själva eller av forensikfirmorna de anlitar, och den publiceras inom timmar eller dagar. Den juridiska räkenskapen svarar på något helt annat: vem hade uppsåt, vem hade behörighet, vem kan nås av en stämning. Den skrivs av åklagare och domare, den tar månader eller år, och den bryr sig inte det minsta om hur elegant förklaringen på kedjan såg ut.

De två räkenskaperna divergerar av en enkel anledning: den ena handlar om kod, den andra om människor. Ett smart kontrakt kan inte åtalas. En pseudonym plånboksadress kan inte kallas som vittne. Och när protokollet är verkligt decentraliserat finns det ofta ingen motpart alls att vända sig till. Under EU:s regelverk MiCA gäller konsumentskyddet leverantörer av kryptotillgångstjänster, alltså börser och förvaringsinstitut, inte autonoma protokoll. En användare som förlorar pengar i ett rent DeFi-hack har därför sällan någon myndighet att klaga hos, ingen garantifond, ingen ansvarig att stämma. I det vakuumet byggde branschen något eget.

Kryptos egna rättssystem: DAO-röster, bounties och ”code is law”

I frånvaron av domstolar improviserade krypto fram ett privat rättssystem. Det har flera institutioner. Den första är DAO-omröstningen, där tokeninnehavare röstar om hur ett hack ska lösas, ibland ända fram till att erbjuda gärningsmannen amnesti. Den andra är förhandlingen på kedjan, där de drabbade skriver meddelanden direkt till angriparens adress och erbjuder en andel av bytet, en så kallad bounty, i utbyte mot resten. Den tredje är whitehat-kulturens formaliserade varianter, som Security Alliances Safe Harbor, ett offentligt och juridiskt bindande erbjudande om att den som återlämnar medel inom en viss tid får behålla en kapad andel utan åtal.

Poängen med dessa institutioner är att de fyller ett tomrum. En kund som blir bestulen på en centraliserad börs kan i teorin vända sig till en tillsynsmyndighet, en domstol eller en insättningsgaranti. En användare som förlorar pengar i ett autonomt låneprotokoll har inget av detta. Safe Harbor-modellen försöker göra det bästa av läget genom att i förväg lova en angripare straffrihet och en andel av bytet mot snabb återlämning, med krav på identitetskontroll så att pengarna inte råkar hamna hos en sanktionerad aktör. Det är inte lag, men det är det närmaste ett rättsligt ramverk som en bransch utan eget rättssystem har lyckats bygga.

Ibland fungerar det förbluffande väl. När utlåningsprotokollet Euler förlorade nästan 200 miljoner dollar (cirka 1,9 miljarder kronor) i en flash loan-attack i mars 2023 började de drabbade förhandla med angriparen rakt på blockkedjan. Efter några dagar skrev gärningsmannen tillbaka: ”No intention of keeping what is not ours”, och lämnade så gott som allt tillbaka. Ingen dömdes, ingen greps, och saken var för de flesta utagerad. Det är kryptos rättssystem när det fungerar som bäst: snabbt, gränslöst och utan advokater.

Problemet är att detta system inte har någon makt. En DAO kan rösta om vad den vill, men den kan inte binda en åklagare. Ett bounty-avtal på kedjan är inte ett rättsligt förlikningsavtal. Och parollen ”code is law”, tanken att det som koden tillåter också är tillåtet, är en kulturell hållning, inte en juridisk doktrin. Under de senaste två åren har riktiga domstolar börjat påminna branschen om skillnaden.

Mango Markets: när en DAO-röst mötte en jury

Fallet Avraham Eisenberg är den skarpaste kollisionen hittills. I oktober 2022 satte han in fem miljoner dollar i USDC på Mango Markets, öppnade stora positioner i börsens MNGO-perpetualer och köpte samtidigt upp MNGO på andra plattformar för att blåsa upp priset. Med det uppblåsta värdet som säkerhet lånade han ut över 100 miljoner dollar ur protokollet, som han sedan drog ut. Enligt TRM Labs lämnade han därefter tillbaka 67 miljoner dollar genom just en sådan DAO-förhandling, och behöll resten.

Det avgörande var förslaget som Mango-DAO:n röstade igenom: Eisenberg skulle få behålla omkring 47 miljoner dollar (cirka 455 miljoner kronor) som en sorts bug bounty, mot att han återförde cirka 67 miljoner (cirka 650 miljoner kronor) och mot att innehavarna inte skulle driva några brottsutredningar eller frysa några medel. Här ser man exakt var det privata rättssystemet slår i taket: en grupp anonyma tokeninnehavare försökte, genom en omröstning, utfärda något som liknade juridisk immunitet. En sådan omröstning kan bestämma vem som styr ett gemensamt förvar, ungefär som en multisig eller ett smart konto gör i en kassa, men den kan inte upphäva den amerikanska statens åtalsrätt.

Kärnan i åtalet var om detta var manipulation eller bara aggressiv handel. MNGO var en tunt handlad token, och genom att köpa upp den på flera små marknader kunde Eisenberg tillfälligt mångdubbla priset, och därmed det bokförda värdet på sin säkerhet, utan att tillföra protokollet några verkliga tillgångar. Försvaret menade att han bara utnyttjade regler som koden själv tillät. Åklagaren och CFTC menade att han medvetet skapade ett falskt pris för att lura ut pengar. Samma handling, två helt olika berättelser, och det var just den skiljelinjen juryn och senare domaren fick brottas med.

Eisenberg medgav senare själva agerandet men hävdade att det var lagligt, en aggressiv men tillåten handelsstrategi. Juryn höll inte med. I april 2024 fälldes han på tre punkter: råvarubedrägeri, marknadsmanipulation och wire fraud. Den amerikanska tillsynsmyndigheten CFTC hade dessutom stämt honom civilrättsligt för samma manipulation. DAO-röstens löfte om fred var vid det laget inte värt papperet det aldrig skrevs på.

”Fel jurisdiktion” och kontraktet som inte kan luras

Sedan vände det igen. I maj 2025 upphävde domare Arun Subramanian samtliga fällande domar. Skälen är värda att läsa noga, för de går rakt in i kryptos djupaste rättsfråga. Det första var jurisdiktion: Eisenberg utförde sina affärer från Puerto Rico, och åklagaren kunde inte visa att brottets väsentliga delar begåtts i domkretsen södra New York. Ett tekniskt fel, men ett dödligt sådant.

Det andra skälet var mer principiellt. För att en wire fraud ska föreligga krävs ett vilseledande, en falsk uppgift som får en motpart att agera. Men Mango Markets hade inga användarvillkor som förbjöd det Eisenberg gjorde, och framför allt: det fanns ingen motpart att vilseleda. Ett automatiserat smart kontrakt kan inte luras. Det gör exakt vad koden säger, alltid. Domstolen konstaterade i praktiken att man inte kan ljuga för en maskin som saknar förväntningar. Det är den närmaste sak till en juridisk seger för ”code is law” som en amerikansk federal domstol har levererat.

Men segern är smal. Domen sa inte att exploits är lagliga. Den sa att just detta bedrägeriåtal, i just denna domkrets, inte höll. Målet är heller inte slutgiltigt avgjort: åklagarsidan har överklagat och kan fortfarande driva de punkter som föll på jurisdiktionsfrågan, medan de civilrättsliga processerna från SEC och CFTC ligger vilande i väntan på att brottmålet avslutas. En trader kan alltså både frias och fortsätta att vara indragen i rättsprocesser i åratal. Den tekniska obduktionen var klar 2022. Den juridiska pågår ännu.

Att lämna tillbaka pengarna: den oskrivna friskrivningen

Om Eisenberg är exemplet på vad som händer när man behåller pengarna, finns det en lika tydlig, om än helt informell, regel för motsatsen. Lämna tillbaka bytet och håll dig anonym, så tenderar rättssystemet att aldrig komma efter dig. Det tydligaste fallet är Poly Network i augusti 2021, då en angripare tömde protokollet på svindlande 611 miljoner dollar (nästan 6 miljarder kronor), vid tillfället ett av de största kryptohacken någonsin. Inom dagar började personen lämna tillbaka allt. Teamet döpte gärningsmannen till ”Mr. White Hat”, erbjöd en bounty på 500 000 dollar och till och med en roll som chefssäkerhetsrådgivare. Bountyn tackade personen nej till. Något åtal kom aldrig.

Euler-fallet följde samma mönster: pengarna tillbaka, en förhandlad andel kvar, och tystnad från rättsväsendet. Det som skiljer dessa fall från Eisenberg är inte hackets storlek, Poly Network var mångdubbelt större, utan två saker: gärningsmannen förblev anonym, och pengarna kom tillbaka. Kombinationen fungerar som en oskriven friskrivning. Så länge ingen vet vem du är, och så länge de drabbade fått sitt, saknar åklagare både ett ansikte att åtala och ett brottsoffer som insisterar. Det är en obekväm sanning som obduktionerna sällan skriver ut: i praktiken är återlämnandet, inte lagen, det som avgör de flesta fall.

Det öppnar en obekväm juridisk gråzon som få post-mortem berör. Att betala en bounty till en angripare kan i praktiken vara att belöna ett brott, och om mottagaren råkar vara en sanktionerad aktör kan själva utbetalningen bryta mot sanktionsregler. Det är just därför de mer seriösa amnestiramverken kräver identitetskontroll innan en krona byter händer. Gränsen mellan en laglig bug bounty och en olaglig lösensumma är hårfin, och den avgörs inte av koden utan av vem som står i andra änden av transaktionen, något de drabbade sällan vet i stunden.

Samma hack, olika slut i rätten

Ställer man de mest omtalade fallen bredvid varandra framträder ett mönster som har mer att göra med identitet och återlämnade medel än med brottets art eller storlek.

Notera hur lite beloppet förklarar. Den största summan i tabellen ledde till noll åtal, medan de två utvecklarna längst ner aldrig rörde en stulen krona men ändå står inför fängelse. Lagen följer inte pengarna. Den följer människorna den kan nå.

När gärningsmannen är en stat: Ronin och lagens gräns

Ibland spelar det ingen roll om gärningsmannen är identifierad, för hen är utom räckhåll. I mars 2022 tömdes Ronin, spelkedjan bakom Axie Infinity och motorn i hela play-to-earn-vågen, på 625 miljoner dollar (drygt 6 miljarder kronor) sedan flera av bryggans validatornycklar komprometterats. Amerikanska myndigheter knöt attacken till Lazarus, den nordkoreanska statens hackargrupp. Här finns ingen anonymitet att skydda sig bakom; världen vet vem som gjorde det. Det finns ändå ingen som kan åtalas, eftersom en främmande stat inte infinner sig i en domstol i Manhattan.

Ronins ”rättvisa” blev därför ingen rättegång alls, utan en ekonomisk räddningsaktion. Sky Mavis reste 150 miljoner dollar (cirka 1,45 miljarder kronor) i en runda ledd av Binance och använde egen kassa för att göra användarna hela, och bryggan relanserades. Det enda juridiska verktyg som återstod mot själva angriparen var sanktioner: att svartlista adresser och göra det olagligt för amerikaner att interagera med dem. När gärningsmannen är en nationalstat förvandlas post-mortem från en fråga om skuld till en fråga om skadebegränsning. Domstolen är helt enkelt inte tillgänglig.

Sanktionsspåret har dock sina egna gränser. Att svartlista en adress hindrar inte en statlig aktör från att skapa nya, och de stulna medlen tvättas ofta vidare genom mixers och kedjehoppning snabbare än myndigheterna hinner reagera. Resultatet är att den enda part som i praktiken bär kostnaden är protokollet självt och dess användare, inte gärningsmannen. När Sky Mavis valde att göra sina spelare hela var det alltså inte för att lagen krävde det, utan för att alternativet, att låta användarna bära förlusten, hade varit slutet för hela ekosystemet.

Tornado Cash: när verktyget åtalas i stället för tjuven

Om tjuven är onåbar, vem straffar man då? Åklagarnas svar under 2025 och 2026 har varit lika logiskt som oroande: de som byggde verktyget. Tornado Cash är en så kallad mixer, ett protokoll som blandar transaktioner för att dölja deras ursprung. Lazarus och andra tvättade stulna medel genom det, men de går som sagt inte att gripa. Roman Storm, en av utvecklarna, gjorde det däremot. I augusti 2025 fälldes han på en punkt, att ha drivit en olicensierad penningöverföringsverksamhet, medan juryn inte kunde enas om de två allvarligare åtalen: konspiration för penningtvätt och konspiration att bryta mot sanktioner, vardera med upp till 20 års fängelse.

Frågan i botten är principiell och lika viktig för varje kodare som för varje jurist: gör det dig ansvarig för andras brott att skriva och underhålla öppen källkod som vem som helst kan använda? Storms försvar hävdar att Tornado Cash är ett icke-förvarande, neutralt protokoll, och att han inte kan lastas för hur kriminella använder det, lika lite som en knivtillverkare lastas för ett rån. Amanda Tuminelli, chef för intresseorganisationen DeFi Education Fund, varnade för att åtalet vilar på en logik utan gräns; principen bakom DOJ:s åtal i det här fallet är, som hon uttryckte det till DL News, ”limitless”. För en bransch som gjort ordet ”byggare” till sitt finaste hedersord är det en obekväm möjlighet: att bygga kan vara brottet.

Den punkt Storm faktiskt fälldes på, olicensierad penningöverföring, är den mest omdiskuterade. Kritiker påpekar att Tornado Cash aldrig tog emot eller förvarade någons pengar; koden flyttade aldrig medel åt någon, användarna gjorde allt själva mot ett oföränderligt kontrakt. Att kalla det en penningöverföringsverksamhet, menar de, är att tänja begreppet till att omfatta i stort sett vem som helst som publicerar användbar kod. En rad utvecklarorganisationer och medborgarrättsgrupper ställde sig bakom Storm av just det skälet: faller den principen kan varje programmerare i förlängningen hållas ansvarig för hur främlingar använder det de byggt.

I skrivande stund har domare Katherine Polk Failla ännu inte avgjort Storms begäran om frikännande enligt Rule 29, som argumenterades den 9 april 2026, medan åklagarna har begärt en ny rättegång på de två oavgjorda punkterna med start i oktober 2026. Post-mortem över Tornado Cash som teknik skrevs för länge sedan. Post-mortem över dess utvecklares frihet är fortfarande under förhandling.

Två utvecklare, två rättssystem

Samma kod ledde till helt olika utfall beroende på var man befann sig. Alexey Pertsev, en annan person kopplad till Tornado Cash, ställdes inför rätta i Nederländerna, inte USA. Där dömdes han till 64 månaders fängelse för penningtvätt, och släpptes senare villkorligt under elektronisk övervakning för att kunna förbereda sin överklagan vid appellationsdomstolen i ‘s-Hertogenbosch. Det är den närmaste europeiska domstolen har kommit ett verkligt prov på hur långt utvecklaransvaret sträcker sig, och den gången gick det mot utvecklaren.

Kontrasten är lärorik. Ett och samma protokoll, oföränderligt och gränslöst, prövas av två rättssystem med olika teorier om skuld. Den amerikanska processen kretsar kring penningöverföring och sanktioner; den nederländska kring penningtvätt. Att koden är densamma överallt betyder inte att lagen är det. För kryptobranschens självbild, att kod är en universell och neutral kraft, är detta en kalldusch: samma rad kan vara oskyldig på en jurisdiktion och kriminell på nästa. Det finns ingen global domstol för blockkedjor, bara nationella domstolar som var och en drar sin egen gräns.

Sanktionerna som en domstol rev upp

Även det trubbigaste juridiska verktyget, sanktioner, har mött sina gränser mot ett protokoll. I augusti 2022 satte USA:s finansdepartement genom OFAC upp Tornado Cash på sin sanktionslista, vilket i praktiken gjorde det olagligt för amerikaner att använda protokollet. Men i november 2024 slog en federal appellationsdomstol i målet Van Loon mot Treasury fast att oföränderliga smarta kontrakt inte är ”property”, egendom, tillhörande någon utländsk person eller enhet, och att OFAC därmed överskridit sina befogenheter. I mars 2025 ströks Tornado Cash från listan.

Poängen är subtil men viktig. Man kan sanktionera en person, en organisation, en plånbok som en människa kontrollerar. Men ett stycke autonom, oföränderlig kod som ingen längre styr passar inte in i kategorin egendom, och därför inte heller i sanktionsregelverket. Samtidigt förblev en av de fysiska personerna bakom projektet, Roman Semenov, kvar på listan under en separat nordkorearelaterad utpekning. Lärdomen upprepar sig: lagen biter på människor, inte på protokoll. Ta bort människan ur ekvationen och även statens vassaste verktyg blir plötsligt trubbigt.

Grundare mot gärningsmän: var lagen faktiskt biter

Om anonyma exploaterare ofta går fria, och statliga hackare är onåbara, var landar då de hårdaste domarna? Svar: på de identifierbara insiders som byggde bolagen. Kontrasten är slående. Sam Bankman-Fried, grundaren av börsen FTX, dömdes i mars 2024 till 25 års fängelse och att förverka omkring 11 miljarder dollar (över 100 miljarder kronor). Do Kwon, mannen bakom Terra/Luna-kollapsen på omkring 40 miljarder dollar, erkände sig skyldig 2025 och dömdes i december samma år till 15 års fängelse, hårdare än de tolv år åklagarna föreslagit. Domaren Paul Engelmayer kallade enligt DL News till och med de tolv åren ”unreasonably lenient” för ett bedrägeri av ”epic, generational scale”.

Bankman-Frieds fall visar varför. Ännu dagar innan FTX kollapsade försäkrade han offentligt att kundernas pengar var trygga, försäkringar som visade sig falska och som åklagaren senare kunde hålla upp som bevis på uppsåt. En pseudonym angripare lämnar inga sådana spår; en grundare med ett verifierat konto och en publik gör det hela tiden. Ju mer synlig och identifierbar en aktör är, desto fler trådar har rättsväsendet att dra i.

Skillnaden mot exploaterarna är ingen slump. Grundare har namn, adresser, bolag och pappersspår. De har konkreta brottsoffer som pekar tillbaka på dem, och deras offentliga uttalanden blir bevis. Just därför lönar det sig att läsa noga hur en grundare formulerar sig efter en kris, för intervjun och den offentliga framställningen är inte längre bara PR utan potentiell bevisning. ”Fraud is fraud”, som en åklagare kunde ha sagt: den som ljuger för identifierbara kunder om deras pengar hamnar i en kategori där ”code is law” inte hjälper alls. Lagen biter hårdast där den kan se ett ansikte.

Vem kan lagen nå?

Om man destillerar mönstret ur alla fallen ovan handlar utgången mindre om vad någon gjorde och mer om hur nåbar personen är för rättsväsendet. Följande grova karta fångar logiken.

Kartan förklarar varför så många post-mortem känns oavslutade. De drabbade får en teknisk berättelse med tydlig början och slut, men den juridiska tråden leder ofta rakt in i en av de nedre raderna, där lagen antingen inte når fram eller inte vet hur den ska döma. Obduktionen ger en känsla av avslut som rättsväsendet sällan levererar.

Sverige och EU: FI reder inte ut brott

För en svensk läsare är det lätt att tro att Finansinspektionen är den man ringer när ett kryptohack drabbar en. Så är det inte. FI:s roll under MiCA är att ge tillstånd till och utöva tillsyn över leverantörer av kryptotillgångstjänster, alltså börser, växlare och förvaringsinstitut. Sedan den 30 september 2025 måste varje sådant företag som vänder sig till svenska kunder ha ansökt om tillstånd hos FI eller upphöra. Men FI utreder inte brott och driver inga åtal. Myndigheten handlar om ordning på marknaden och konsumentskydd, inte om att sätta någon i fängelse.

Skillnaden i regelverket är dessutom skarp beroende på vem som drabbas. En reglerad kryptobörs i EU lyder under DORA och måste rapportera allvarliga it-incidenter till sin tillsynsmyndighet inom snäva tidsramar, och ESMA:s riktlinjer om marknadsmissbruk under MiCA träffar handel på tillståndspliktiga plattformar. Ett rent DeFi-protokoll har inga sådana skyldigheter alls; det finns ingen som måste rapportera, ingen som kan bötfällas, ingen tidsfrist att bryta mot. Ju mer decentraliserad tjänsten är, desto tunnare blir alltså både skyddet och ansvaret.

Ett kryptobrott i Sverige, bedrägeri eller marknadsmanipulation, hanteras i stället inom brottsbalken av polis, Åklagarmyndigheten och vid grova ekonomiska brott Ekobrottsmyndigheten. MiCA:s regler om marknadsmissbruk träffar dessutom bara instrument och plattformar som omfattas av regelverket, inte autonoma protokoll, och inget europeiskt medlemslands domstol har ännu avgjort ett rent ”code is law”-fall av exploatörstyp. Pertsev-målet i Nederländerna handlar om en utvecklare, inte om en angripare, och är därmed det närmaste EU kommit. Slutsatsen för en svensk DeFi-användare som drabbas är nykter: om protokollet är verkligt decentraliserat finns oftast ingen motpart att stämma, ingen garantifond och ingen tillsynsmyndighet med mandat att kräva tillbaka pengarna. Post-mortem blir då inte bara den bästa berättelsen om vad som hände, utan i praktiken den enda upprättelse man får.

Vad ingen post-mortem kan avsluta

Det finns tre domar över varje stort kryptohack, och de överensstämmer nästan aldrig. Den första är communityts dom, den som faller inom timmar i form av DAO-röster, bounty-förhandlingar och rekt-inläggens obarmhärtiga bokföring. Den andra är domstolens, den som kommer efter år av överklaganden, jurisdiktionsstrider och begäranden om frikännande, om den över huvud taget kommer. Den tredje är historiens, den som avgör om ett namn blir en varning eller en fotnot. Mango-communityts snabba förlåtelse revs upp av en jury, som i sin tur revs upp av en domare, som i sin tur kan komma att prövas av en appellationsdomstol.

För en läsare i Sverige är den kanske viktigaste lärdomen defensiv. Eftersom den juridiska räkenskapen så sällan ger upprättelse, och eftersom en svensk DeFi-användare i praktiken ofta står utan myndighet att vända sig till, blir förmågan att skydda sig själv i förväg viktigare än utsikten till gottgörelse efteråt. Post-mortem-kulturen är i grunden ett erkännande av detta: när ingen domstol är garanterad blir den offentliga obduktionen både varning, minnesbok och det enda ansvarsutkrävande som faktiskt går att räkna med.

Det är den läsning man bör ta med sig till nästa gång ett protokoll obduceras offentligt. En välskriven post-mortem är ett fantastiskt dokument: ärligt, tekniskt, ofta modigt. Men den beskriver hur, inte vem som betalar. Den kan säga exakt vilken rad kod som svek, och ändå vara helt tyst om huruvida någon människa någonsin kommer att stå till svars. I frånvaron av en fungerande juridisk räkenskap har krypto lärt sig att skriva den vackraste av obduktioner. Frågan branschen fortfarande inte kan besvara är om en obduktion, hur ärlig den än är, någonsin kan ersätta en dom.

Frequently Asked Questions

Kan man åtala en kryptohackare som lämnar tillbaka pengarna?

I praktiken har det gång på gång inneburit inget åtal. Både Poly Network-angriparen och Euler-angriparen lämnade tillbaka nästan allt, förblev anonyma och drogs aldrig inför rätta. Men det är ingen garanti: den som behåller medel, som Avraham Eisenberg, eller som identifieras, hamnar i ett helt annat läge. Återlämnandet fungerar som en oskriven friskrivning, inte som en rättslig sådan.

Vad betyder ”code is law” juridiskt?

Det är en kulturell hållning, inte en rättslig doktrin. Det närmaste en amerikansk domstol kommit var resonemanget i Eisenberg-fallet, där wire fraud föll eftersom ett automatiserat smart kontrakt inte kan vilseledas och Mango Markets saknade villkor som förbjöd agerandet. Men det var en smal slutsats om ett specifikt bedrägeriåtal och en jurisdiktionsfråga, inte en dom om att exploits generellt är lagliga.

Varför åtalas Tornado Cash-utvecklarna men inte hackarna?

För att de faktiska tjuvarna, ofta statliga grupper som Lazarus, är onåbara för rättsväsendet. Åklagare har därför riktat in sig på de identifierbara utvecklarna med teorier om olicensierad penningöverföring, penningtvätt och sanktionsbrott. Roman Storm fälldes på en punkt och juryn kunde inte enas om två, medan Alexey Pertsev dömdes i Nederländerna. Frågan om att bygga ett neutralt verktyg gör en ansvarig för andras missbruk är ännu principiellt olöst.

Kan Finansinspektionen hjälpa om jag förlorar pengar i ett DeFi-hack?

Nej, inte på det sätt många tror. FI ger tillstånd till och övervakar kryptotjänsteföretag som börser och förvaringsinstitut under MiCA, och arbetar med konsumentskydd, men utreder inte brott. Ett brott hanteras av polis, Åklagarmyndigheten och Ekobrottsmyndigheten. Om protokollet är verkligt decentraliserat finns dessutom ofta ingen tillståndspliktig motpart alls att vända sig till.

Vad hände egentligen med domen mot Mango Markets-exploatören?

Avraham Eisenberg fälldes i april 2024 på tre punkter, men i maj 2025 upphävde domare Arun Subramanian samtliga domar, dels på grund av fel jurisdiktion (han handlade från Puerto Rico), dels för att ett smart kontrakt inte kan vilseledas. Målet är inte slutgiltigt avgjort: åklagarna kan fortfarande driva de punkter som föll på jurisdiktionen, och civilrättsliga processer från SEC och CFTC ligger vilande i väntan på brottmålets slut.

Av Marcus Okafor, seniorredaktör på HOGE Wire med fokus på kryptokultur, säkerhet och regelverk.