Vem betalar notan när ett kryptoprotokoll töms?

När betalkortsföretaget Gnosis Pay tömdes sommaren 2026 blev obduktionen en läroboksversion av genren: en tidslinje på minuten, en grundorsak som var kartlagd på ett par timmar, en signaturvalideringsbugg som legat vilande i infrastrukturen sedan 2023. Ändå förlorade kunderna ingenting. Bolaget tog hela smällen över sin egen balansräkning och gjorde varenda drabbad plånbok hel igen, samtliga 5 281 av dem, inom några dagar (Crypto Times).

När bryggprotokollet Multichain kollapsade 2023 skrevs ingen obduktion alls, av ett skäl som är svårt att argumentera emot: det fanns inget team kvar som kunde skriva den. Vd:n hade gripits av kinesisk polis, runt 265 miljoner dollar (motsvarande cirka 2,5 miljarder kronor) hade lämnat protokollet, och användarna förlorade i praktiken allt (CoinDesk).

Två hack, två helt olika utfall för dem som faktiskt hade pengar i systemet, och skillnaden hade ingenting med obduktionens kvalitet att göra. Poängen är att obduktionen och notan är två skilda dokument. En bra post-mortem svarar utmärkt på två av de klassiska frågorna, vad som hände och varför. Om den tredje frågan, vem som betalar, säger den nästan ingenting. Den här texten handlar om den tredje frågan: ekonomin i förlusten efter att obduktionen är publicerad. (Dollarbelopp räknas genomgående om till kronor med en kurs på ungefär 9,5 kronor per dollar, kursen i mitten av augusti 2026, och avrundas, se Exchange Rates UK.)

Obduktionen svarar på vad, inte på vem som betalar

En protokoll-post-mortem är i grunden en teknisk berättelse. Den beskriver angreppsvektorn, den felande kodraden eller den läckta nyckeln, tidslinjen från första transaktionen till att larmet gick, och de åtgärder teamet vidtog. Den bästa varianten av genren lånar sin form från Google SRE-traditionens skuldfria obduktion och från flygets haverirapporter, där fokus ligger på systemet och inte på syndabocken. Allt detta gör post-mortem till kryptobranschens kanske ärligaste dokumentform.

Men det finns en fråga som nästan aldrig får ett lika tydligt svar, och det är den enda fråga som spelar roll för den som hade pengar i systemet: kommer jag att få tillbaka mina pengar, och i så fall från vem? Vem som pekas ut som skyldig är en retorisk strid i sig, ofta utkämpad mellan protokollets och angriparens versioner av samma händelse, något vi behandlat separat i genomgången av hur dubbla obduktioner fördelar skulden. Betalningsfrågan är något annat. Den avgörs inte av hur välskriven obduktionen är, utan av var pengarna fanns, vem som råkade ha en kassa, och om det över huvud taget finns en ansvarig part kvar att vända sig till.

Skillnaden är inte akademisk. I traditionell finans är svaret på vem som betalar oftast inskrivet i lag innan något går fel. I krypto avgörs det i efterhand, från fall till fall, och utfallen spänner från full ersättning inom ett dygn till noll kronor och ett blogginlägg som enda tröst.

Det gör betalningsfrågan till kryptos mest ojämlika lotteri. Två användare kan drabbas av tekniskt sett identiska angrepp, en läckt nyckel här, en läckt nyckel där, och den ena får allt tillbaka inom ett dygn medan den andra aldrig ser en krona igen. Skillnaden avgörs inte av hur försiktig användaren var, utan av strukturen bakom protokollet: om det finns en kassa, en investerare, en DAO eller en angripare som går att förhandla med. För att förstå sitt eget skydd måste man därför läsa protokollets balansräkning och styrning lika noga som dess säkerhetslöften.

Fem sätt att bära en miljardförlust

Går man igenom de senaste årens stora incidenter framträder ungefär fem återkommande sätt att fördela en förlust, plus ett sjätte som egentligen är frånvaron av alla de andra. De är inte ömsesidigt uteslutande; ett enskilt hack kan kombinera flera, till exempel en investerarrunda plus en DAO-omröstning. Men som mentala fack är de användbara.

Notera vad som saknas i tabellen: en myndighet, en garantifond, en domstol som per automatik dömer ut ersättning. Alla fem betalningssätten är frivilliga eller marknadsbaserade. Det är själva poängen med den kultur som post-mortem-genren tillhör: när det inte finns någon formell regressrätt blir obduktionen, hittelönen och DAO-omröstningen den enda upprättelse som står till buds. Vi går igenom facken ett i taget.

När bolaget tar smällen ur egen kassa

Det renaste utfallet, sett från kundens stol, är att bolaget bakom tjänsten helt enkelt betalar. Gnosis Pay-fallet är mönsterexemplet i liten skala: cirka 1,5 miljoner dollar (omkring 14 miljoner kronor) drogs ut ur kortinfrastrukturen via en signaturvalideringsbugg, och bolaget absorberade hela beloppet så att kunderna inte förlorade en krona (crypto.news).

I den absoluta toppen av skalan finns Bybit. I februari 2025 tömdes börsen på omkring 1,5 miljarder dollar (cirka 14 miljarder kronor) i det som är kryptohistoriens största stöld, inte via ett kontraktsfel utan via ett manipulerat signeringsgränssnitt som fick personalen att godkänna en illasinnad transaktion. Det är en påminnelse om varför skillnaden mellan clear signing och blind signering har blivit en säkerhetsfråga i egen rätt, ett tema vi går på djupet med i guiden till signerings-UX och blind signering. Bybit var solvent och täckte samtliga kunder ur egen kassa och via lån. Vd:n Ben Zhou gjorde radikal transparens till strategi och förklarade att bolagets svar i första hand handlade om att upprätthålla öppenhet, och att kommunikation var verktyget för att skingra kundernas tvivel (Cryptonews).

Modellen fungerar bara så länge det finns en balansräkning som är större än hålet. En centraliserad börs eller ett välfinansierat bolag klarar det; ett litet DeFi-team med en tunn kassa gör det inte. Det är därför samma sorts fel kan sluta i full ersättning i ett fall och total förlust i ett annat, utan att obduktionerna behöver skilja sig nämnvärt åt.

När en riskkapitalist täpper till hålet

Ibland kommer pengarna inte från driftbolaget utan från en investerare eller ett moderbolag med starkt intresse av att projektet överlever. Det tydligaste exemplet är Wormhole. När bryggan mellan Solana och Ethereum förlorade 320 miljoner dollar (omkring 3 miljarder kronor) i februari 2022 genom ett fel i signaturverifieringen fyllde handelsfirman Jump Crypto på hela beloppet inom ungefär ett dygn, för att hålla bryggan solvent (Fortune). Ett år senare lyckades Jump och Oasis dessutom, via ett domstolsbeslut i England, tvinga tillbaka ytterligare 225 miljoner dollar från angriparens öppna positioner (Cointelegraph).

Ronin, spelkedjan bakom Axie Infinity, är det andra skolboksfallet. Efter att komprometterade validatornycklar dränerat bryggan på 625 miljoner dollar (nästan 6 miljarder kronor) reste utvecklaren Sky Mavis 150 miljoner dollar i en runda ledd av Binance och fyllde tillsammans med den egna kassan på bryggan igen, varefter användarna gjordes hela. Historien om företaget, hacket och pengarna bakom Ronin är i sig en fallstudie i hur en räddning finansieras. Aleksander Larsen, medgrundare och operativ chef på Sky Mavis, var uttrycklig med prioriteringen och sa att bolaget var fullt engagerat i att ersätta sina spelare så snart som möjligt (CoinDesk).

Den gemensamma nämnaren är att någon med djupa fickor bedömer att protokollets framtida värde är större än kostnaden för att rädda det. Det är en affärskalkyl, inte en rättighet. En användare kan inte kräva en sådan räddning; hen kan bara hoppas att kalkylen råkar falla ut till hens fördel.

Förhandlingen som sker på blockkedjan

Ett av kryptos mest särpräglade bidrag till genren är att offret och angriparen kan förhandla i realtid, offentligt, direkt i transaktionernas meddelandefält. Ritualen har ett tydligt manus: teamet erbjuder en white hat-hittelön, ofta runt tio procent, i utbyte mot att resten skickas tillbaka, och lovar att inte driva rättsliga anspråk om pengarna kommer åter.

Euler Finance blev genrens referensfall. Efter en flash loan-attack i mars 2023 som kostade omkring 197 miljoner dollar (cirka 1,9 miljarder kronor) erbjöd teamet angriparen tio procent i hittelön. Efter dagar av publika meddelanden på kedjan skickade angriparen tillbaka så gott som allt, med den numera bevingade repliken på kedjan: ”No intention of keeping what is not ours” (The Block). Poly Network gick ännu längre: efter att ha länsats på svindlande 611 miljoner dollar (nästan 6 miljarder kronor) 2021 lämnade angriparen tillbaka i princip allt och tackade nej till både en halv miljon dollar i hittelön och ett erbjudande om att bli protokollets säkerhetsrådgivare (Cointelegraph).

Även derivatbörsen GMX återfick sina cirka 42 miljoner dollar (omkring 400 miljoner kronor) sommaren 2025 efter att ha erbjudit en hittelön på 5 miljoner dollar (CoinDesk). Förhandlingsmodellen har en obekväm baksida: den fungerar bara mot en angripare som går att nå och som har något att vinna på att förbli anonym snarare än att tvätta pengarna. Mot en statsunderstödd grupp som Nordkoreas Lazarus, som stod bakom en stor del av 2026 års förluster, finns ingen motpart att förhandla med; när KelpDAO förlorade omkring 292 miljoner dollar (cirka 2,8 miljarder kronor) i april 2026 fanns inget meddelandefält att svara i (CoinDesk).

Ritualen har också en juridisk gråzon som sällan syns i obduktionen. Att kalla en angripare för white hat efter att pengarna kommit tillbaka är en efterhandskonstruktion; personen bröt sig ändå in, och en hittelön kan i praktiken se ut som en lösensumma. Flera av de mest kända återlämningsfallen har senare hamnat i utredning, oavsett hur vänskaplig förhandlingen var på kedjan, eftersom en uppgörelse mellan offer och angripare inte binder åklagaren. För protokollet är on-chain-förhandlingen ändå ofta den snabbaste vägen tillbaka till pengarna, och snabbhet väger tungt när varje timme innebär att medel tvättas vidare och blir svårare att spåra.

När en DAO röstar om din ersättning

I protokoll som styrs av en DAO kan ersättningen bli en omröstningsfråga. Tokeninnehavarna beslutar, ofta med protokollets egen kassa som finansiering, om och hur de drabbade ska hållas skadeslösa. Curve Finance använde modellen efter att en bugg i Vyper-kompilatorn 2023 kostat mellan 50 och 70 miljoner dollar (i storleksordningen en halv miljard kronor): styret röstade igenom en ersättningsplan på nästan 71,8 miljoner CRV, och en av angriparna lämnade dessutom frivilligt tillbaka drygt 12 miljoner dollar (Chainalysis).

Men DAO-modellen kan också producera utfall som ser ut som rena förhandlingar med en angripare. I Mango Markets-fallet 2022, där Avraham Eisenberg manipulerat priset på MNGO-perpen och dränerat protokollet på över 110 miljoner dollar (drygt 1 miljard kronor), röstade DAO:n för att låta honom behålla omkring 47 miljoner dollar mot att han skickade tillbaka resten och att inga anmälningar skulle göras (TRM Labs). Att MNGO-token senare avnoterades och att protokollet vecklades ihop visar hur en DAO-röst kan lösa den akuta notan men inte rädda projektet på sikt, ett scenario som liknar det vi beskrivit i genomgången av vad som händer vid en avnotering på kryptobörsen.

En DAO-omröstning har dessutom en gräns som blev tydlig först i efterhand: den binder inte rättsväsendet. Eisenberg åtalades och dömdes trots DAO-uppgörelsen, även om domen långt senare revs upp på andra grunder. Det en tokeninnehavarmajoritet beslutar är en intern fördelning, inte ett juridiskt vattentätt frikännande.

Kryptots egna försäkringsbolag

Det finns en marknad som försöker göra betalningsfrågan förutsägbar i förväg: on-chain-försäkring. Nexus Mutual, den största aktören, har enligt egna uppgifter skyddat över 6 miljarder dollar (motsvarande över 55 miljarder kronor) i digitala tillgångar sedan 2019 (Nexus Mutual) och rankas av DefiLlama som det största försäkringsprotokollet mätt i låst värde, med drygt 100 miljoner dollar i poolen (DefiLlama). Modellen liknar ett ömsesidigt bolag: medlemmar betalar premier in i en gemensam pool, och ersättning betalas ut efter att ett anspråk godkänts. Nyare aktörer som Quantstamp-stödda Chainproof marknadsför utbetalningar inom två till fyra veckor baserat på data på kedjan.

Problemet är proportionerna. De faktiska utbetalningarna är små i förhållande till sektorns samlade förluster. Under 2026 rörde det sig om utbetalningar i storleksordningen hundratusentals dollar för enskilda incidenter, där Nexus Mutual och OpenCover tillsammans betalade omkring en kvarts miljon dollar efter Arcadia Finance-exploiten, samtidigt som enskilda hack samma år kostade hundratals miljoner (Reinsurance News). Försäkring täcker alltså en verklig men liten del av risken, och bara för dem som aktivt tecknat den i förväg.

Varför tecknar då inte fler täckning, om skyddet ändå finns? Dels kostar premierna, inte sällan flera procent av det försäkrade beloppet per år, vilket äter direkt av avkastningen i en redan riskabel position. Dels är poolernas kapital begränsat: ett enda stort hack skulle kunna tömma en stor del av branschens samlade försäkringskapital, vilket sätter ett tak för hur mycket risk systemet realistiskt kan bära. Och dels är villkoren fulla av undantag, där just den sortens fel som faktiskt inträffar, en komprometterad nyckel eller ett socialt manipulerat team, ofta ligger i gränslandet för vad som täcks. On-chain-försäkring är därför i dag mer ett komplement för sofistikerade aktörer än ett skyddsnät för den vanliga användaren.

För en vanlig svensk sparare är det värt att förstå vad detta faktiskt är: inte en myndighetsgaranti, utan en frivillig, marknadsprissatt produkt med egna undantag i de finstilta villkoren. Den som inte köpt täckning står utanför, precis som i den fysiska försäkringsvärlden.

Bug bounty: att betala i förväg för att slippa notan

Det billigaste sättet att betala för ett hack är att betala för att det aldrig ska ske. Bug bounty-program vänder på ekonomin: i stället för att ersätta offer i efterhand betalar protokollet en white hat-forskare för att rapportera sårbarheten innan någon hinner utnyttja den. Plattformen Immunefi har gjort detta till en marknad, och de största programmens belöningspooler är i dag i mångmiljonklassen; Uniswaps v4-program har en pool på 15,5 miljoner dollar (omkring 150 miljoner kronor). Den största enskilda utbetalningen i genrens historia är fortfarande de 10 miljoner dollar (cirka 95 miljoner kronor) som forskaren satya0x fick för ett fynd i Wormhole 2022 (The Block).

Marknaden konsoliderades under 2026 när tävlingsplattformen Code4rena lade ner och Immunefi tog över dess program och forskare. Kvar står en enkel men obekväm sanning: en hittelön på några hundra tusen dollar är nästan alltid billigare än en obduktion om ett niosiffrigt hack. Att fler protokoll numera behandlar bounty-budgeten som en löpande driftskostnad snarare än en marknadsföringspost är kanske det tydligaste tecknet på att branschen internaliserat lärdomen.

Men bug bounty flyttar bara notan, den avskaffar den inte. Belöningen betalas av protokollets kassa, alltså ytterst av tokeninnehavarna eller av bolaget, och den täcker per definition bara de sårbarheter som någon faktiskt hittar och väljer att rapportera i stället för att utnyttja.

Den mörkaste raden i tabellen: ingen betalar

Så finns det fall där svaret på vem som betalar helt enkelt är: ingen. Det är den mörkaste raden i varje jämförelsetabell, och den är vanligare än branschens uppbyggliga återlämningshistorier låter påskina. Multichain är arketypen: när runt 265 miljoner dollar (cirka 2,5 miljarder kronor) lämnade protokollet 2023 fanns snart inget team kvar, eftersom vd:n hade gripits, ingen kassa, och därmed ingen obduktion och ingen ersättning.

Coldcard-incidenten 2026 visar en annan variant av samma problem. En svag slumptalsgenerator i firmware, vilande i över fem år, lät angripare rekonstruera privata nycklar, och mer än 130 miljoner dollar (över 1,2 miljarder kronor) försvann från hårdvaruplånböcker (TechCrunch). Här fanns ingen DAO, ingen token, ingen kassa och ingen enskild angripare att förhandla med, utan flera oberoende grupper som kapplöpte om samma sårbara adresser. Tillverkaren var alldeles för liten för att backa upp en förlust av den storleken, och en firmware-uppdatering återställer inte en nyckel som redan genererats osäkert; varje drabbad användare måste själv skapa en ny nyckel och flytta sina medel, en påminnelse om varför valet av enhet och rutin i vår testguide för hårdvaruplånböcker är mer än en teknikalitet. Notan hamnade i sin helhet hos användarna.

Till samma kategori hör flertalet rug pulls och exit-bedrägerier, där det aldrig fanns någon avsikt att göra användarna hela. I dessa fall är obduktionen inte ett steg mot ersättning, utan bokstavligen det enda offret får: en förklaring, inte en återbetalning.

Nio hack, nio notor: vem stod för förlusten?

Tabellen nedan sammanfattar mönstret. Den mest slående kolumnen är den sista: om kunderna gjordes hela eller inte hänger mindre på hur avancerat angreppet var och mer på vem som råkade stå bakom protokollet. En centraliserad börs eller ett kapitalstarkt bolag kunde betala; ett litet, ledarlöst eller övergivet protokoll kunde det inte.

Beloppen är avrundade; flera av förlustsiffrorna varierar mellan källor beroende på hur man räknar netto mot brutto, och kronbeloppen bygger på kursen omkring 9,5 kronor per dollar. Mönstret håller ändå: de fyra fallen med full ersättning hade alla en solvent motpart, medan de två fallen där notan landade hos användarna saknade en sådan helt.

Vad ett svenskt sparkonto har som DeFi saknar

För att förstå hur ovanlig kryptos betalningsordning är räcker det att jämföra med ett vanligt svenskt bankkonto. Pengar på ett konto hos ett institut som omfattas av den statliga insättningsgarantin är skyddade upp till ett maxbelopp som från och med den 1 januari 2026 höjdes från 1 050 000 till 1 150 000 kronor per person och institut, en förändring som Riksgälden genomförde som del av den obligatoriska femårsomräkningen för länder utanför eurozonen (Riksgälden). Går banken omkull får spararen sina pengar tillbaka, oftast inom några arbetsdagar, utan att behöva förhandla med någon.

Värdepapper har ett eget, mindre skydd: investerarskyddet, som också administreras av Riksgälden och ersätter förlorade värdepapper eller likvida medel hos ett fallerat värdepappersbolag upp till 250 000 kronor per person och institut (Riksgälden). Poängen är inte de exakta beloppen, utan att skyddet är inskrivet i lag och finns på plats innan något går fel.

Kryptovalutor faller utanför båda. Bitcoin i din egen plånbok, eller tokens på en börs, omfattas varken av insättningsgarantin eller av investerarskyddet. Med en bitcoin som i augusti 2026 kostar runt 600 000 kronor (CoinGecko) är det fullt möjligt att hålla värden långt över bankkontots garanterade tak helt utan motsvarande skydd. Det är det tomrummet som post-mortem-kulturen, hittelönerna och de frivilliga ersättningarna försöker fylla, med blandat resultat.

MiCA, Finansinspektionen och gränsen för skyddet

EU:s regelverk MiCA har flyttat en del av kryptomarknaden in i den skyddade zonen, men bara en del. MiCA reglerar utgivare och det som kallas leverantörer av kryptotillgångstjänster, alltså CASP: börser, förvaringstjänster, handelsplattformar och liknande. Ett sådant bolag som vänder sig till svenska kunder måste sedan hösten 2025 ha sökt tillstånd hos Finansinspektionen eller upphöra, och MiCA för med sig ett ansvarsregelverk, bland annat ett förvaringsansvar där en tjänsteleverantör kan bli ersättningsskyldig om den förlorar kundernas tillgångar (Finansinspektionen). För den som handlar via en licensierad börs finns alltså en motpart att rikta anspråk mot, och en tillsynsmyndighet i bakgrunden.

Men MiCA drar en skarp gräns. Fullt decentraliserade tjänster, sådana som drivs uteslutande via smarta kontrakt utan någon juridisk motpart, faller enligt förordningens ingress uttryckligen utanför regelverket (news.bitcoin.com). I praktiken är gränsen suddig; ett gränssnittsteam, en förvaltningsmultisig eller en uppgraderingsnyckel kan räcka för att en tjänst ska anses tillräckligt centraliserad för att omfattas. Men för ett verkligt ledarlöst DeFi-protokoll finns ingen CASP, ingen klagomålshantering och ingen garantifond. Där är obduktionen fortfarande den enda regressen.

EU är medvetet om luckan. En konsultation om ett kommande DeFi-regelverk, ibland kallat MiCA 2.0, inleddes i maj 2026 (Cointribune). Under tiden finns en asymmetri värd att notera: en reglerad CASP lyder under DORA, som kräver att en allvarlig incident rapporteras till tillsynsmyndigheten inom timmar, med en första anmälan inom fyra timmar efter klassificering, medan ett DeFi-protokoll inte har någon som helst rapporteringsplikt och kan välja sin egen tidslinje, eller ingen alls (EIOPA om DORA).

Varför protokoll betalar trots att lagen inte kräver det

Om ingen lag tvingar ett DeFi-protokoll att ersätta sina användare, varför gör så många det ändå? Svaret är förtroende, som i kryptovärlden är den enda valuta som är svårare att trycka än en token. Ett protokoll som låter användarna bära hela förlusten kan tekniskt sett ha rätt, men det överlever sällan berättelsen om att det gjorde det. Att betala notan, även frivilligt, är därför ofta en investering i den egna framtiden snarare än en ren kostnad.

Euler är det tydligaste exemplet på att kalkylen kan gå ihop. Efter att ha återfått de stulna medlen byggde teamet om protokollet och lanserade en andra version. Michael Bentley, vd för Euler Labs, har beskrivit hur nära det var att sluta helt och sagt att många hade skrivit av dem och tyckt att det hade varit helt normalt att lägga ner projektet på fläcken (CoinDesk). Att de i stället valde att betala, bygga om och komma tillbaka blev en del av förtroendekapitalet.

Men förtroendeargumentet har en gräns, och den går ungefär där kassan tar slut. Ett välfinansierat protokoll kan köpa tillbaka sitt rykte genom att göra användarna hela; ett litet team utan djup kassa kan vilja göra samma sak men helt enkelt inte ha råd. Då blir den frivilliga ersättningen nästan en klassfråga: de projekt som bäst har råd att betala är också de som har minst att förlora på att göra det, medan de som verkligen skulle behöva köpa tillbaka förtroendet är de som inte kan. Det är en av flera anledningar till att branschens mest uppbyggliga återlämningshistorier inte bör läsas som normen, utan som undantagen som råkade få en rubrik.

Det är här den ekonomiska frågan och kulturfrågan möts. Post-mortem-kulturen är inte bara ett sätt att dokumentera fel; den är den mekanism genom vilken en bransch utan formell regressrätt fördelar skuld, förtroende och, till slut, pengar. Obduktionen, hittelönen, DAO-omröstningen och den frivilliga ersättningen är tillsammans ett slags privat, marknadsdrivet ersättningssystem som trätt in där lagen ännu inte nått.

Så bedömer du vem som faktiskt kommer att betala

För en läsare som vill bedöma sin egen risk, snarare än att lita på att en räddning dyker upp i efterhand, är några frågor mer avslöjande än obduktionens tekniska detaljer:

• Finns det en identifierbar motpart? En licensierad CASP med tillstånd hos Finansinspektionen ger en adress att rikta anspråk mot; ett anonymt, ledarlöst protokoll gör det inte.
• Hur stor är kassan i förhållande till det förvaltade värdet? En ersättning kan bara komma från en balansräkning som är större än hålet.
• Finns en investerare med skäl att rädda projektet? Ronin och Wormhole räddades för att någon bedömde framtiden som värd priset.
• Är protokollet en DAO, och i så fall hur har den röstat i tidigare incidenter? Tidigare ersättningsröster är den bästa vägledningen om hur nästa kommer att falla ut.
• Har du själv köpt on-chain-täckning, och vad står i undantagen? Försäkring hjälper bara den som tecknat den innan smällen.

Ingen av frågorna handlar om hur elegant koden eller obduktionen är. De handlar om var pengarna finns och vem som har ett skäl att skjuta till dem. Det är den distinktion som post-mortem-genrens dramaturgi lätt döljer: en lysande obduktion och en tömd plånbok är fullt förenliga. Nästa gång en rubrik meddelar att ett team har publicerat en föredömligt transparent post-mortem är det värt att läsa vidare till den rad som faktiskt avgör saken, den som säger vem som betalar.

Vanliga frågor

Vem betalar för mina pengar om ett DeFi-protokoll hackas?

Det beror på. I fullt decentraliserad DeFi finns oftast ingen garanti: ersättning kräver att teamet, en investerare eller en DAO frivilligt täcker förlusten, att angriparen lämnar tillbaka medlen, eller att du själv köpt on-chain-försäkring. Saknas allt detta står du för hela notan, och obduktionen blir din enda upprättelse.

Täcker den svenska insättningsgarantin kryptovalutor?

Nej. Insättningsgarantin skyddar banktillgodohavanden upp till 1 150 000 kronor per person och institut från 2026, och investerarskyddet täcker värdepapper upp till 250 000 kronor. Kryptovalutor, vare sig de ligger på en börs eller i din egen plånbok, omfattas av ingen av dem.

Vad är en white hat-hittelön, och hur stor kan den vara?

Det är en belöning till en hackare som lämnar tillbaka stulna medel, eller till en forskare som rapporterar en sårbarhet innan den utnyttjas. Nivån varierar från några procent av det stulna beloppet till mångmiljonpooler; Uniswaps program har 15,5 miljoner dollar, och det största enskilda fyndet gav 10 miljoner dollar.

Får en hackare behålla pengarna efter en DAO-omröstning?

Ibland. I Mango Markets-fallet röstade DAO:n för att låta angriparen behålla omkring 47 miljoner dollar mot att resten återlämnades. En sådan omröstning binder dock inte rättsväsendet; personen åtalades och dömdes ändå, även om domen senare revs upp på andra grunder.

Skyddar MiCA mig om jag förlorar pengar i ett kryptohack?

MiCA ger dig en motpart och en tillsynsmyndighet om du drabbas via en licensierad CASP, som en börs eller förvaringstjänst, med Finansinspektionen som svensk tillsyn. Fullt decentraliserade DeFi-protokoll faller enligt förordningens ingress utanför MiCA, och särskilda DeFi-regler väntas först senare.

Text: Marcus Okafor, senior redaktör på HOGE Wire. Han bevakar kryptosäkerhet, marknadsstruktur och regelverk för nordiska läsare.