Dubbla obduktioner: retoriken som avgör vems fel hacket var

Den 12 mars 2026 gjorde en enda användare en enda transaktion. aEthUSDT värt 50,4 miljoner dollar (cirka 478 miljoner kronor) växlades mot ungefär 36 000 dollar (cirka 340 000 kronor) i AAVE-token. Det är, så vitt någon vet, den största enskilda utförandeförlusten i DeFi:s historia. Men det verkligt intressanta hände efteråt, när två team satte sig ner för att förklara vad som gått fel.

Aave publicerade en obduktion. CoW Swap, vars swap-widget låg inbäddad i Aaves gränssnitt, publicerade en annan. Samma händelse, samma blockkedja, samma pengar som gick upp i rök, men två olika berättelser om vem som bar skulden. Det är själva poängen med den här texten. En post-mortem i krypto presenteras som en neutral obduktion, ett kyligt tekniskt protokoll över ett dött protokoll. I praktiken är den nästan alltid skriven av den part som drabbades, granskad av den partens jurister och formulerad för att skydda den partens rykte. Den är en partsinlaga i obduktionens kläder.

HOGE Wire har tidigare gått igenom obduktionens anatomi, dess ursprung i flyg- och mjukvarukultur och frågan om varför vissa protokoll överlever ett hack medan andra dör. Den här gången handlar det inte om vad som står i rapporten, utan om hur det står. Vem är meningens subjekt? Vad utelämnas? Och varför spelar den grammatiken en roll för allt från aktiekursen till om någon till slut hamnar i rätten?

Samma katastrof, två berättelser

Fakta i Aave-fallet är inte omtvistade. Användaren växlade aEthUSDT mot AAVE via en widget, ordern gick mot en SushiSwap-pool med bara ungefär 73 000 dollar (cirka 690 000 kronor) i total likviditet, och en order på 50 miljoner dollar mot en så tunn marknad utplånade nästan hela värdet under utförandet. Gränssnittet hade visat varningen ”High price impact (99.9%)”, och användaren hade bekräftat den på en mobil innan transaktionen gick igenom.

Där tar enigheten slut. Aaves obduktion la tyngdpunkten på marknaden och användaren: poolen var illikvid, varningen var tydlig, användaren klickade ändå. Slutsatsen blev en produktändring som heter ”Aave Shield”, en spärr som som standard blockerar varje swap med över 25 procents prispåverkan. CoW Swaps obduktion var betydligt mer självkritisk. Den beskrev en kedja av egna fel: en föråldrad gastaksregel i systemet sållade bort bättre prissatta bud, en toppresterande solver vann två auktioner i rad men skickade aldrig ut någon av transaktionerna till kedjan, och blockkedjebevis pekade på att ordern läckte ut ur en privat mempool. Det sista öppnade dörren för att block-byggaren Titan Builder kunde fånga in ungefär 34 miljoner dollar (cirka 323 miljoner kronor) i värde.

CoW Swaps rapport nöjde sig inte med att räkna upp felen, den ifrågasatte själva premissen att en bekräftad varning löser ett ansvar. Att vara ”tekniskt korrekt” var inte det tak teamet borde sikta mot, skrev man, och en enkel kryssruta är ”ett trubbigt instrument när insatsen når femtio miljoner dollar”, enligt The Block. Det är en anmärkningsvärt självutlämnande hållning för ett team mitt i en kris, och den står i skarp kontrast mot Aaves kyligare linje. Skillnaden är ingen tillfällighet. De två parterna hade olika saker att förlora: Aave, som utlåningsprotokoll, riskerade att en dom om produktansvar drabbade hela plattformen, medan CoW Swap, som infrastruktur för orderflöde, hade mer att vinna på att framstå som ärligt självkritiskt inför de professionella handlare och solvers som är dess kunder. Retoriken följer intressena, inte bara sanningen.

Två obduktioner, ett hack, och den enda skillnaden är vem som står i meningens mitt. Hos Aave är det användaren som handlar. Hos CoW Swap är det systemet som sviker. Läsaren som bara ser en av rapporterna går därifrån med en helt annan uppfattning om vems felet var.

En post-mortem är en partsinlaga, inte ett protokoll

Formatet lånades ursprungligen från en helt annan värld. Googles klassiska text om ”blameless postmortem” byggde på en idé från flyg- och driftsäkerhetskulturen: när något går fel ska man leta efter systemfelet, inte efter syndabocken, eftersom människor som är rädda för att straffas slutar rapportera. Det förutsätter en sak som nästan aldrig gäller i krypto: att det finns en enda organisation som äger hela incidenten och kan vara ärlig internt utan att förlora något externt.

I DeFi är obduktionen offentlig från första sekunden, och den skrivs mitt i en pågående förtroendekris. Runt bordet sitter ofta flera parter med motstridiga intressen: protokollet, gränssnittet, den underliggande kedjan, likviditetsleverantörerna, en försäkringspool. Var och en har starka skäl att skriva en version där någon annan är subjektet. Den skuldfria kulturen från Google blir i krypto en kamp om vem som ska slippa skulden. Tabellen nedan sammanfattar fem obduktioner från 2026 och den retorik som präglade dem.

Grammatiken som fördelar skuld

Det låter som en petitess, men det är kärnan i hela genren: skillnaden mellan ”användaren accepterade en varning” och ”vårt system lät en order på femtio miljoner passera mot en pool på sjuttiotusen”. Båda meningarna kan vara sanna om samma sekund. Den första gör användaren till en aktör som fattade ett dåligt beslut. Den andra gör systemet till en aktör som borde ha stoppat honom. Valet av subjekt är ett redaktionellt beslut med reella konsekvenser.

Den vanligaste flyktvägen är den agentlösa passivformen. ”Medel gick förlorade.” ”En sårbarhet utnyttjades.” ”Fel begicks.” Meningen saknar subjekt helt, och därmed saknar den någon att peka på. En obduktion som konsekvent skriver i passiv form berättar en sanning om siffrorna men döljer en sanning om ansvaret. En trovärdig obduktion gör tvärtom: den namnger sina egna misstag i aktiv form. CoW Swaps rapport gjorde delvis det, när den erkände att en solver vann budet men aldrig skickade transaktionen. Aaves rapport gjorde det mindre, när den lät den illikvida marknaden och användarens klick bära tyngden.

Ta ett konkret exempel på hur samma händelse kan skrivas om. Version A: ”Användaren bekräftade en varning om 99,9 procents prispåverkan och genomförde ändå bytet.” Version B: ”Vårt gränssnitt lät en order på nästan femtio miljoner dollar dirigeras mot en pool på sjuttiotusen, och den enda spärren var en kryssruta på en mobilskärm.” Ingen av meningarna ljuger. Men version A gör användaren ensam ansvarig och pekar mot slutsatsen att inget behöver ändras, medan version B gör produkten ansvarig och pekar mot en spärr som Aave Shield. Att välja mellan dem är att välja vem som ska betala nästa gång, och det valet görs i det tysta av den som håller i pennan. En läsare som inte känner till version B nöjer sig ofta med version A, helt enkelt för att det är den enda som publicerades.

Detta är inte unikt för krypto. Politiker och företag har i decennier gömt sig bakom formuleringar som att misstag har begåtts. Det nya är att i DeFi publiceras dokumentet på minuten, det läses av tiotusentals människor vars pengar står på spel, och det blir en permanent del av protokollets historia. Grammatiken fryser till fakta.

Titan Builder och miljonerna ingen ville äga

Det mest talande med Aave-fallet är inte vad obduktionerna sa, utan vad de tonade ned. Av de nästan femtio miljoner dollar som försvann fångades ungefär 34 miljoner (cirka 323 miljoner kronor) in av block-byggaren Titan Builder, och en separat MEV-bot tjänade uppskattningsvis 9,9 miljoner dollar (cirka 94 miljoner kronor) på en så kallad sandwich-attack, enligt The Blocks genomgång. Pengarna dunstade inte bort. De flyttade till en identifierbar aktör i blockkedjans infrastruktur.

Men Titan Builder är varken Aaves eller CoW Swaps ansvar att förklara, och alltså blev MEV-vinsten en fotnot snarare än en huvudperson. Här syns en tredje retorisk figur: den externa boven. När skulden kan läggas på en tredje part utanför den egna organisationen, på en MEV-bot, på en angripare, på Nordkorea, då blir obduktionen plötsligt mycket lättare att skriva. Ingen part i rummet behöver vara subjektet. Problemet är att den externa boven ofta är strukturell. MEV är inte en olycka, det är hur kedjan fungerar, och en obduktion som skyller allt på boten missar att systemet var byggt så att boten kunde vinna.

MEV, eller maximalt extraherbart värde, är värt en kort förklaring just för att det så ofta blir obduktionernas bekväma bov. Varje gång en order når blockkedjan kan de aktörer som bygger block välja i vilken ordning transaktionerna hamnar, och den ordningen är värd pengar. En order på femtio miljoner mot en tunn pool är en inbjudan: den som ser den först kan lägga sina egna affärer före och efter, klämma åt priset och håva in mellanskillnaden. Att ordern läckte från en privat mempool, där den skulle ha legat skyddad, är därför inte en bisak utan själva mekanismen bakom förlusten. Poängen för den här texten är att både Aave och CoW Swap kunde peka på Titan Builder utan att någon av dem behövde säga att deras eget system matade boten med målet. Den externa boven är sann och bekväm på samma gång, vilket är precis vad som gör den så användbar i en obduktion.

Transparens som strategi

Den skickligaste krishanteringen i modern kryptohistoria är förmodligen Bybits svar på stölden i februari 2025, då ungefär 1,5 miljarder dollar (cirka 14 miljarder kronor) försvann i det som räknas som det största kryptohacket någonsin. Roten var inte ett kontraktsfel utan en manipulerad signeringsprocess, men det som gjorde skillnad var kommunikationen. Bybits vd Ben Zhou körde en linje av nästan påträngande öppenhet: livesändningar, publicerade forensiska delrapporter från externa firmor inom dagar och en dashboard som visade hur mycket som spårats och frusits.

Zhou beskrev själv logiken utan omsvep. Enligt en genomgång hos Cryptonews sa han att bolagets respons främst handlade om att upprätthålla transparens och att Bybit skulle använda ”transparens och kommunikation för att undanröja tvivel hos våra kunder”. Det är värt att stanna vid: transparensen presenteras här inte som en moralisk plikt utan som en strategi, ett verktyg för att behålla kunder mitt i en bankrusning. Det gör den inte oärlig. Det gör den till retorik i ordets ursprungliga mening, konsten att övertyga en publik, och den fungerade eftersom börsen samtidigt faktiskt hade kapital nog att täcka förlusten.

Läxan för mindre protokoll är obekväm. Radikal transparens är billig att prisa och dyr att leva upp till. Den kräver att man har något att vara transparent om, och att verkligheten tål att visas. Ett team utan kapital att göra kunderna hela kan publicera hur många dashboards som helst utan att vinna tillbaka förtroendet.

Det Bybit gjorde utöver orden var att backa upp dem med bevis. Börsen släppte forensiska delrapporter från externa säkerhetsfirmor inom dagar och lade ut en efterlysningstavla med de spårade adresserna, tillsammans med en belöning för den som hjälpte till att frysa medlen. Den kombinationen, snabb öppenhet plus oberoende bekräftelse plus en jakt som communityn kunde följa i realtid, blev en mall som senare incidenter mäts mot. Den höjde också ribban för alla andra. När en aktör en gång har visat att det går att publicera minutupplösta tidslinjer och tredjepartsanalys inom en vecka, framstår ett team som drar ut på tiden och håller korten tätt mot kroppen nästan per automatik som något att oroa sig för. Transparens blev en förväntan snarare än en dygd, och tystnad blev i sig en uppgift i obduktionen.

Comeback-berättelsen: att bygga om, inte att lappa

En av de mest kraftfulla figurerna i genren är ombyggnaden. Den 13 april 2026 utnyttjade en angripare ett fel i Hyperbridges verifieringslogik, tillverkade ett förfalskat bevis och lyckades prägla ungefär en miljard falska DOT-token på Ethereum. Absurt nog blev den faktiska vinsten liten: token dumpades direkt i likviditetspooler och drog bara ut runt 108 ETH, värt omkring 237 000 dollar (cirka 2,2 miljoner kronor), enligt CoinDesk. Förlusten reviderades senare upp till ungefär 2,5 miljoner dollar (cirka 24 miljoner kronor) när skadan på incitamentspooler räknats in.

Det retoriskt intressanta ligger i hur teamet ramade in återkomsten. I sin obduktion valde Hyperbridge att inte tala om en patch utan om en ombyggnad: i stället för att laga det gamla systemet byggde man om de delar som koncentrerade risken under nätverket. En oberoende granskning från Security Research Labs plus internt arbete identifierade fjorton sårbarheter, som alla åtgärdades. ”Ombyggnad” låter större än ”lappning”, och det är meningen. Ordet signalerar att felet inte var ytligt utan grundläggande, och att svaret var lika grundläggande.

Samma berättelse driver DeFi-utlånaren Euler, som efter ett hack på nästan 200 miljoner dollar 2023 kom tillbaka med en helt ny version. Michael Bentley, vd för Euler Labs, satte ord på tyngden i beslutet i en intervju med CoinDesk: ”A lot of people wrote us off and said it would have been totally normal for us to end the project right there.” Comeback-retoriken fungerar därför att den vänder ett nederlag till en dygd. Att bygga om från grunden blir ett bevis på seriositet snarare än ett kvitto på att den första versionen var trasig.

Euler-fallet rymmer dessutom krypto-obduktionens mest särpräglade retoriska drag, ett som varken flyg- eller mjukvarukulturen kände till: den offentliga förhandlingen med angriparen. Efter hacket 2023 förde Euler en dialog rakt på blockkedjan, i transaktionernas meddelandefält, och angriparen skickade till slut tillbaka merparten av pengarna. När protokollet sedan relanserade sin nya version skedde det efter ett stort antal oberoende granskningar, och just den siffran, antalet granskningar, blev en del av berättelsen. Att räkna upp hur många firmor som synat koden är också retorik: det översätter en svårbedömd sak, säkerhet, till ett tal som låter betryggande. En läsare bör minnas att antalet granskningar inte är samma sak som frånvaro av buggar, något branschens egna haverier gång på gång har visat. Men som återuppbyggnadsberättelse fungerar det, för det ger publiken något konkret att hänga sitt förnyade förtroende på.

Godvilja, inte skuld: kompensationens språk

Ingenstans är retoriken mer noggrant kalibrerad än när pengar ska betalas tillbaka. Den 14 april 2026 kapades CoW Swaps domän cow.fi i ungefär fyra och en halv timme. Angriparna socialmanipulerade registraren Gandi SAS genom att utge sig för en ledande medarbetare i CoW DAO och skicka in förfalskade id-handlingar till Traficom, Finlands transport- och kommunikationsmyndighet. Under fönstret ledde domänen besökare till en nätfiskesajt, och användare förlorade uppskattningsvis 1,2 miljoner dollar (cirka 11 miljoner kronor), enligt crypto.news. Att en nordisk myndighet stod i centrum för en global DeFi-incident är en påminnelse om hur tunn gränsen är mellan webbens gamla infrastruktur och den nya finansen.

CoW DAO svarade med ett styrningsförslag, CIP-86, som inrättade ett program för att ersätta drabbade med upp till hundra procent. Men läs hur ersättningen formulerades i själva förslaget på styrningsforumet: den beskrevs som frivillig godvilja, uttryckligen inte som ett erkännande av juridiskt ansvar. Anspråk skulle in senast den 14 maj, utbetalningar börja efter en granskning med kundkännedom. Varje ord är valt för att göra det rätta utan att i en domstol låta som ett medgivande att man var skyldig att göra det. Det är kompensationens paradox: man betalar helt, men man erkänner ingenting.

När erkännandet blir bevis

Skälet till att språket är så försiktigt är att en obduktion inte lever i ett vakuum. Den kan läsas upp i en rättssal flera år senare. Ett protokoll som i sin rapport skriver att man kände till risken men inte prioriterade den har just skapat ett bevis mot sig självt. Ett team som lovar full kompensation kan senare argumentera för att det var en engångsgest, inte ett åtagande. Det är därför obduktioner numera passerar juridisk granskning innan de publiceras, och det är därför de ofta känns mer skrivna av advokater än av ingenjörer.

Den spänningen mellan den ärliga tekniska sanningen och den försiktiga juridiska formuleringen är genrens grundkonflikt. HOGE Wire har följt vad som händer när en post-mortem hamnar i rätten, och mönstret är tydligt: det som skrevs för att lugna en community kan bli åklagarens citat. En obduktion är alltså två dokument på en gång. Ett som talar till användarna och säger att vi tar ansvar, och ett som talar till framtida motparter och säger att vi erkänner ingenting bindande. Ju skickligare texten är, desto mer sömlöst rymmer den båda budskapen.

Effekten syns i små, avslöjande ordval. Ett team skriver hellre att en åtgärd ”infördes” än att den ”saknades”, hellre att en risk ”identifierades och åtgärdades” än att den ”förbisågs i två år”. Skillnaden är inte kosmetisk. I en framtida tvist är det just formuleringen om vad teamet visste och när som avgör om det handlar om otur eller oaktsamhet. Därför läser erfarna läsare en obduktion nästan som en jurist läser ett avtal, med blicken på vad som medvetet lämnats osagt. Det tomrummet, mellan det som erkänns rakt ut och det som antyds i passivform, är ofta den mest informativa delen av hela dokumentet.

Antimodellen: ”FTX är okej. Tillgångarna är okej.”

Den mest kända texten i hela genren är egentligen ingen obduktion alls, utan dess motsats. Den 7 november 2022, mitt under den bankrusning som skulle sänka börsen inom en vecka, skrev FTX-grundaren Sam Bankman-Fried en rad tweets med budskapet att FTX var okej och att tillgångarna var okej. Han hävdade att bolaget inte investerade kundmedel och att alla uttag behandlades. Tweetarna raderades dagen därpå. Kort efter var FTX i konkurs och siffrorna visade sig vara osanna.

FTX-fallet är antimodellen som varje senare obduktion mäts mot. Det visar vad som händer när kommunikation frikopplas från verklighet: den falska försäkran köper några timmar men förstör allt förtroende när sanningen kommer fram. Och den lämnar ett arv som förgiftar hela genren. Varje gång ett team i dag säger att medlen är säkra läser en del av publiken det genom FTX-filtret och hör Bankman-Frieds raderade rader. Just därför har den trovärdiga obduktionen tvingats bli mer konkret: minutupplösta tidslinjer, on-chain-adresser, externa forensiker. Bevisbördan höjdes den dag en vd skrev att allt var okej och det inte var det.

Arvet efter den lögnen syns tydligast i hur börser numera försöker bevisa solvens i förväg, med publika reserver och kryptografiska intyg, i stället för att be om att bli trodda på sitt ord. Det är en direkt reaktion på FTX: när en enda falsk försäkran har kostat en hel bransch dess trovärdighet blir varje senare försäkran misstänkt tills den kan verifieras. Även det är retorik, fast av ett ärligare slag, för ett bevis som vem som helst kan kontrollera är svårare att avfärda än en vd:s lugnande ord. Antimodellen tvingade fram en högre standard, och det är kanske det enda goda FTX lämnade efter sig.

Obduktionen utan svarande

Hela genren förutsätter något som inte alltid finns: en part som kan skriva berättelsen. Ett protokoll, ett team, en kassa, minst en identifierbar ansvarig. Sommaren 2026 kollapsade den förutsättningen i Coldcard-fallet, där ett fel i en hårdvaruplånboks slumptalsgenerator legat vilande i över fem år. Här fanns ingen DAO, ingen token, ingen kassa stor nog att täcka de över 130 miljoner dollar (cirka 1,2 miljarder kronor) som till slut drogs, och ingen enskild angripare att förhandla med, eftersom flera oberoende grupper kapplöpte om samma sårbara adresser.

Utan svarande finns ingen som kan välja meningens subjekt, ingen som kan rama in en ombyggnad, ingen som kan formulera godvilja utan ansvar. Det blir ett retoriskt vakuum. Varje drabbad användare får skriva sin egen lilla obduktion, och ingen samlad berättelse uppstår. HOGE Wire har gått igenom vad haveriet betydde för valet av hårdvaruplånbok efter Coldcard, men den bredare lärdomen hör hemma här: post-mortem-kulturen är beroende av att det finns en aktör med både något att förlora och något att säga. Där den aktören saknas tystnar genren, och med den tystnaden försvinner också den enda form av upprättelse som DeFi egentligen erbjuder.

När ingen enskild aktör skriver berättelsen tar communityn ofta över minnet. Sajten rekt.news för en publik topplista över de största stölderna, skriven i en kylig, nästan nekrologartad ton, och den fungerar som branschens kollektiva skamvrå. Det är en annan sorts obduktion: inte partens egen försvarsskrift utan en utomståendes eftermäle. De två formerna kompletterar varandra. Partens rapport bestämmer den första dagens narrativ, men topplistan och de oberoende forensikernas trådar bestämmer hur incidenten minns om ett år. För en läsare är lärdomen att aldrig läsa en obduktion isolerad. Den mest intresserade versionen och den mest oförsonliga versionen finns oftast båda tillgängliga, och sanningen brukar ligga i spänningen mellan dem.

Det här är också anledningen till att narrativ kontroll blivit en så eftertraktad tillgång i branschen. Att äga scenen, att få bestämma hur historien berättas, är en form av makt. Vi har beskrivit samma dynamik i grundarintervjun som medieformat, där en noggrant regisserad berättelse kan väga tyngre än siffrorna. Obduktionen är den mörka tvillingen till den intervjun: samma kamp om vem som håller i pennan, fast under press och med förlusterna redan bokförda.

Retorikens verktygslåda: sju återkommande drag

När man läst tillräckligt många obduktioner börjar samma grepp återkomma. De är inte i sig ohederliga; de flesta används av seriösa team med goda skäl. Men att känna igen dem är det första steget till att läsa en rapport med öppna ögon. Tabellen nedan samlar de vanligaste.

Ett hälsosamt sätt att använda tabellen är inte att avfärda varje obduktion som spin, utan att fråga vilken blandning av grepp en text lutar sig mot. En rapport som bara har agentlös passiv och externa bovar är misstänkt tunn. En rapport som vågar sätta sig själv som subjekt i aktiv form, namnge sitt eget misstag och ändå erbjuda kompensation, den har förtjänat en del av det förtroende den ber om.

Vad MiCA och Finansinspektionen kräver, och inte kräver

Här blir skillnaden mellan centraliserat och decentraliserat avgörande, och den är i grunden juridisk. En auktoriserad kryptoleverantör, en CASP i MiCA:s språk, står under tillsyn. I Sverige är det Finansinspektionen som är behörig myndighet, och företag som drev verksamhet före den 30 december 2024 måste ha ansökt om tillstånd senast den 30 september 2025. En sådan aktör omfattas dessutom av DORA, EU:s regelverk för digital operativ motståndskraft, som sätter en klocka på incidentrapportering.

Den klockan är konkret. Enligt DORA ska en allvarlig ICT-incident anmälas till myndigheten så snart som möjligt, senast fyra timmar efter att den klassats som allvarlig, med en mellanrapport inom 72 timmar och en slutrapport inom en månad. För en reglerad börs är alltså tidslinjen och delvis innehållet en plikt, inte ett val. För ett renodlat decentraliserat DeFi-protokoll gäller nästan motsatsen. MiCA riktar sig mot leverantörer och emittenter, inte mot autonom kod, och ett sådant protokoll har i regel ingen skyldighet att rapportera någonting till Finansinspektionen. Dess obduktion är helt frivillig, både i tid och i tonläge.

Bilden kompliceras av att kryptoderivat, som terminer och eviga kontrakt, inte faller under MiCA utan under värdepappersregelverket MiFID II, med den nationella marknadsmyndigheten som tillsyn. En och samma incident kan därför träffa flera regelverk samtidigt beroende på exakt vilka produkter som var inblandade. Och luckan som i dag lämnar rena DeFi-protokoll utanför är inte tänkt att bestå för alltid: EU har flaggat för att särskilda regler för decentraliserad finans kan komma längre fram, sannolikt först mot slutet av årtiondet. Fram till dess är obduktionen det som fyller tomrummet. Det gör den till mer än en genre eller ett stycke krishantering. Den är, för många drabbade, hela rättsprocessen, domen och upprättelsen i ett enda dokument som den anklagade själv har skrivit.

Det är den tystaste men viktigaste delen av hela berättelsen. Den offentliga obduktionen är ofta det enda en DeFi-drabbad har att gå på, eftersom det inte finns någon reglerad motpart att klaga hos, ingen garantifond, ingen myndighet med jurisdiktion över koden. Post-mortem-texten ersätter det rättsliga skyddet snarare än att komplettera det. Och just därför att den ersätter skyddet, borde den läsas med samma kritiska blick som man läser en parts inlaga i en tvist. Ett dåligt hanterat efterspel kan dessutom sluta med att token faller ur börsernas listor helt, något vi gått igenom i vår genomgång av avnotering när kryptobörsen tar bort din token.

Så läser du en obduktion kritiskt

Man behöver inte vara jurist eller Solidity-utvecklare för att läsa en post-mortem med urskillning. Man behöver bara ställa några frågor konsekvent, oavsett hur välskriven texten är. Följande checklista fungerar för allt från en börskoncerns pressrum till ett anonymt teams inlägg på ett styrningsforum.

• Vem skrev den, och vad hade just den parten att förlora? En obduktion från den drabbade parten är per definition partisk, vilket inte gör den falsk men gör den intresserad.
• Vem är subjektet i meningarna om grundorsaken? Om det alltid är användaren, marknaden eller en extern angripare, men aldrig protokollet självt, är det ett varningstecken.
• Vad utelämnas? Fråga efter siffror som inte nämns, adresser som inte länkas och parter som borde ha figurerat men inte gör det, som MEV-vinnaren i Aave-fallet.
• Hur formuleras kompensationen? Godvilja utan erkänt ansvar är standard, men en text som lovar mycket och binder sig till lite förtjänar en extra läsning.
• Bekräftas grundorsaken av någon oberoende? En obduktion som backas av externa forensiker eller en ny granskning väger tyngre än en ren självdeklaration.
• Stämmer tidslinjen med hur allvarligt felet framställs? Ett team som säger att allt var under kontroll men rapporterade först efter flera dagar berättar två motstridiga saker.

Den ärligaste obduktionen är inte den som får protokollet att framstå som felfritt. Det är den som vågar sätta sig själv som subjekt, säga vad den gjorde fel i aktiv form, visa siffrorna även när de skaver och ändå be om förtroende. Sådana texter finns, och de är läsvärda just för att de är sällsynta. Resten är, precis som Aave mot CoW Swap visade, en fråga om vem som håller i pennan när berättelsen skrivs.

Det finns en sista sak värd att hålla i minnet. Att en obduktion är en partsinlaga betyder inte att den är värdelös, tvärtom. De bästa exemplen i genren har lärt hela branschen något, från hur man kopplar bort en angripares behörighet i realtid till hur man för en dialog om återlämnade medel utan att bryta mot sanktionsregler. Poängen är inte att sluta läsa obduktioner, utan att läsa dem som det de är: skickligt skrivna dokument av parter med mycket att förlora, inte neutrala protokoll från en opartisk patolog. Den som håller båda tankarna i huvudet samtidigt, att texten kan vara både upplysande och strategisk, läser kryptobranschens mest ärliga genre på det enda sätt den förtjänar att läsas.

Vanliga frågor

Vad är en post-mortem i krypto?

En post-mortem, eller obduktion, är den offentliga rapport som ett protokoll eller en börs publicerar efter ett hack eller ett allvarligt fel. Den beskriver vad som hände, när det hände, vilken grundorsaken var och vad teamet gör åt saken. Formatet lånades från Google och flygbranschens haverirapporter, men i krypto skrivs det nästan alltid av den part som drabbades, vilket gör det till en partsinlaga lika mycket som ett tekniskt dokument.

Varför publicerar Aave och CoW Swap olika versioner av samma hack?

Därför att de hade olika saker att förlora. Aave beskrev förlusten på 50,4 miljoner dollar som ett resultat av en illikvid marknad och användarens eget beslut att klicka förbi en varning, medan CoW Swap pekade på egna tekniska brister i sitt system. Samma händelse blev två berättelser eftersom valet av vem som är meningens subjekt avgör vem som bär skulden.

Är en post-mortem juridiskt bindande?

Nej, men den kan få juridiska följder. En obduktion är inte ett kontrakt, men varje erkännande i den kan användas som bevis i en senare tvist eller brottsutredning. Därför granskas texterna ofta av jurister innan de publiceras, och kompensation formuleras nästan alltid som frivillig godvilja snarare än ett erkänt ansvar.

Måste ett DeFi-protokoll rapportera ett hack till Finansinspektionen?

Ett renodlat, decentraliserat DeFi-protokoll faller i regel utanför MiCA och har ingen skyldighet att rapportera till Finansinspektionen. En auktoriserad kryptoleverantör (CASP) omfattas däremot av DORA, som kräver en första anmälan inom fyra timmar efter att en incident klassats som allvarlig och en slutrapport inom en månad. Skillnaden gör att ett DeFi-teams tidslinje och tonläge är ett fritt val, inte en plikt.

Hur läser jag en post-mortem kritiskt?

Fråga vem som skrev den och vad den parten hade att förlora. Läs vem som är subjektet i varje mening, om skulden läggs på användaren, på koden eller på en extern angripare, och vad som utelämnas. Kontrollera om kompensation beskrivs som godvilja eller som ansvar, och om orsaken bekräftas av oberoende forensiker. En trovärdig obduktion namnger sina egna misstag.

Marcus Okafor bevakar kryptokultur, säkerhet och regelverk för HOGE Wire.