Granskad men ändå hackad: vem granskar kryptorevisorn?

Balancer v2 hade granskats elva gånger. Fyra av de mest respekterade säkerhetsfirmorna i branschen, OpenZeppelin, Trail of Bits, Certora och ABDK, hade gått igenom koden, i vissa fall samma valv flera gånger om, enligt Cointelegraph. Ändå tömdes protokollet den 3 november 2025 på över 100 miljoner dollar, cirka 960 miljoner kronor, i en attack som drabbade nio blockkedjor samtidigt, enligt en efteranalys från Trail of Bits. När dammet lagt sig ställdes den fråga som nästan varje kryptohack väcker men som post-mortem-genren sällan besvarar: om några av världens skickligaste granskare läste den här koden elva gånger, vem bär då ansvaret när den brister? (Alla dollarbelopp i texten är omräknade till ungefär 9,60 kronor per dollar.)

Det korta svaret är obekvämt: nästan ingen. Kryptobranschen har byggt en imponerande kultur kring att obducera sina katastrofer offentligt, med minutprecisa tidslinjer, root cause-analyser och öppna commits på Github. Men obduktionen riktar nästan alltid strålkastaren mot koden och mot teamets hantering av krisen. Revisorn, alltså den part som fick betalt för att intyga att koden höll, står oftast kvar utanför ljuskäglan. Den här texten handlar om det tomrummet: vad en granskning faktiskt lovar, varför post-mortem sällan ställer granskaren till svars, och vad det betyder för en svensk sparare som ser stämpeln «granskad av» och känner sig trygg.

Elva revisioner, ändå tömd på 100 miljoner dollar

Balancer-fallet är lärorikt just för att ingen rimligen kan avfärda det som slarv. Grundorsaken var ett avrundningsfel i riktning, ett så kallat rounding-direction-fel, i protokollets Composable Stable Pools, där en pytteliten precisionsförlust kunde förstärkas till ett stort uttag i en pool med låg likviditet. Det anmärkningsvärda är att Trail of Bits redan 2021 hade noterat en besläktad risk i sin granskning och gett den beteckningen TOB-BALANCER-004, med allvarlighetsgraden «obestämd». Den matematik som senare exploaterades låg dessutom utanför uppdragets omfattning i genomgången av Composable Stable Pools i september 2022, enligt firmans egen redogörelse.

Efter hacket gjorde Trail of Bits något ovanligt: firman publicerade en offentlig efteranalys som ägde missen. I den skriver de rakt ut varför den här sortens fel är så svårt att fånga i tid: «En precisionsförlust på 1 wei i fel riktning kan verka obetydlig när en fuzzer först hittar den, men i ett särskilt fall, som en pool med låg likviditet konfigurerad med specifika parametrar, kan precisionsförlusten bli tillräckligt stor för att bli lönsam.» Med andra ord: buggen syntes, men dess konsekvens gick inte att bedöma utan att veta exakt hur poolen senare skulle sättas upp i drift.

Suhail Kakar, dev relations lead på TAC Blockchain, sammanfattade branschens reaktion i Cointelegraph: «Den här branschen måste acceptera att ‘granskad av X’ betyder nästan ingenting. Kod är svårt, DeFi är svårare.» Det är en hård dom, men den fångar ett verkligt problem. En stämpel som säljs in som ett trygghetsintyg är i själva verket en tidsbegränsad ögonblicksbild av ett avgränsat uppdrag. Skillnaden mellan de två är hela den här artikelns ämne.

Vad en revision faktiskt lovar (och vad den friskriver sig från)

En smart-kontraktsrevision är inte en försäkring och inte en garanti. Den är en manuell och verktygsstödd genomgång av en bestämd kodversion, en viss commit, under en avtalad tidsperiod och inom ett avtalat scope. Rapporten avslutas nästan alltid med omfattande friskrivningar: granskningen intygar inte att koden är fri från buggar, den gäller bara den version som lästes, och den tar inget ansvar för ändringar som görs efteråt. Det som marknadsförs utåt som ett kvalitetsmärke är alltså i finstilta ordalag motsatsen till ett löfte.

Jämförelsen med en bilbesiktning är inte helt fel, men den underskattar problemet. En besiktning gäller en fysisk bil som förändras långsamt. Ett smart kontrakt kan bytas ut, kompletteras med nya moduler eller kopplas till andra protokoll dagen efter att rapporten levererats. Koden lever i ett ekosystem av beroenden som granskaren aldrig läste. Och till skillnad från bilen står bilen inte och lockar med hela sin balansräkning för den som hittar en spricka.

Det här är inte en kritik av att revisioner existerar. Poängen är att avståndet mellan vad en revision är och vad allmänheten tror att den är har blivit farligt stort. När ett protokoll skriver «granskat av tre ledande firmor» på sin startsida läser en vanlig användare det som «säkert». Revisorn läser samma mening som «vi granskade den här commiten, med dessa antaganden, och friskrev oss från resten». Post-mortem-kulturen har blivit skicklig på att beskriva vad som gick fel i koden, men mycket sämre på att peka ut det här glappet i förväntningar.

Post-mortem obducerar koden, sällan granskaren

Läs igenom ett dussin publika kryptoobduktioner så framträder ett mönster. De är oftast tekniskt utmärkta: de rekonstruerar attacken transaktion för transaktion, identifierar grundorsaken och redovisar hur teamet reagerade. Men ansvarsfrågan glider undan. Grundorsaken formuleras nästan alltid som en egenskap hos koden, «en avrundning i fel riktning», «en reentrancy i en funktion», inte som ett misslyckande hos någon som betalades för att hitta just det. Granskaren nämns i förbigående, om alls.

Det finns rationella skäl till det. Ansvaret sprids ut. Rapporten friskrev sig, den exploaterade delen låg kanske utanför scope, koden kan ha ändrats efter granskningen, och teamet valde ju själva vad som skulle granskas och hur mycket det fick kosta. När alla bär en liten del av ansvaret bär ingen hela. Det är samma dynamik som gör att en styrelse kan fatta ett katastrofalt beslut utan att en enskild ledamot kan pekas ut, och det liknar den gråzon vi beskrev i vår genomgång av DAO-dramat där ingen bröt mot reglerna: när koden tillät handlingen är det oklart vem som egentligen felade.

Resultatet är att obduktionen fyller en delvis annan funktion än den utger sig för. Den ser ut som en ansvarsutredning, men fungerar oftare som en teknisk lärdomstext plus en förtroendeåterställare för teamet. Det är värdefullt, men det är inte samma sak som att någon ställs till svars. Och just den luckan förklarar varför samma revisionsfirmor kan figurera i hack efter hack utan att deras affär tar nämnvärd skada.

Scope-fällan: det dyraste ligger ofta utanför uppdraget

Om en enda lärdom ska överleva den här texten är det den här: en revision fångar bara det som ligger inom uppdragets omfattning, och det dyraste ligger allt oftare utanför. Ostium, en Arbitrum-baserad börs för perpetuals, förlorade i juli 2026 mellan 18 och 24 miljoner dollar, ungefär 170 till 230 miljoner kronor, enligt Halborn. Attacken utnyttjade inte ett fel i de smarta kontrakten. En angripare kom över en privat nyckel till protokollets prisorakel och kunde därmed signera falska prisrapporter, öppna en position på ett påhittat Bitcoin-pris på 5 000 dollar och stänga den mot det verkliga marknadspriset.

Det avgörande, enligt TechTimes, var att den off-chain-infrastruktur som matar in priser avsiktligt låg utanför protokollets bug bounty-program, och alltså fick mindre granskning än koden. Det är kartan mot terrängen: revisorn granskade det som stod på ritningen, men pengarna stals genom en dörr som aldrig fanns med.

Det är inte en marginell detalj, det är den nya huvudregeln. Enligt TRM Labs stod infrastruktur-, nyckel- och driftskompromisser för ungefär 76 procent av alla stulna värden under första halvåret 2026, trots att de bara utgjorde runt 15 procent av antalet incidenter. Rena kontraktsbuggar var 125 av 207 incidenter men en liten del av värdet. Totalt försvann 972 miljoner dollar, cirka 9,3 miljarder kronor, varav omkring 643 miljoner (66 procent) knöts till Nordkorea. CertiK, som räknar annorlunda, sätter halvårets totala förluster till över 1,31 miljarder dollar, drygt 12,5 miljarder kronor, och pekar ut plånboks- och nyckelkompromisser som den dyraste kategorin med över 444 miljoner dollar, cirka 4,3 miljarder kronor, enligt Forbes. En kodgranskning är per definition dåligt rustad mot ett sådant hotlandskap, för nycklar och signeringsrutiner är inte kod, de är rutiner och människor. Samma tema återkommer i vår analys av läxan från Radiant-hacket, där kontraktet gjorde precis som det blev tillsagt och felet ändå fanns i hur transaktioner signerades.

När granskaren såg risken men allvarlighetsgraden blev obestämd

Ibland ligger den exploaterade koden mitt i uppdraget, och buggen syns till och med i rapporten, men den prissätts fel. Balancer är ett exempel, Bunni ett annat och kanske ännu tydligare. Bunni, en decentraliserad börs byggd på Uniswap v4, förlorade den 2 september 2025 cirka 8,4 miljoner dollar, ungefär 80 miljoner kronor, i en flash loan-attack som utnyttjade ett avrundningsfel i uttagsfunktionen, enligt The Block. Protokollet hade granskats av både Trail of Bits och Cyfrin.

Det tragiska är efterspelet. I stället för att bygga vidare valde teamet att stänga ner Bunni permanent. Skälet, enligt crypto.news, var att kostnaderna för de granskningar och den övervakning som skulle krävas för en säker omstart låg i sexsiffriga eller sjusiffriga dollarbelopp, pengar protokollet inte hade. Här blir asymmetrin brutalt konkret: protokollet dog, medan revisionsfirman fortsatte som en av branschens mest anlitade. Den som betalade för tryggheten bar hela förlusten. Den som sålde den gick vidare till nästa uppdrag.

Mönstret «flaggat men underprissatt» är inte konstigt i sig. En granskare hittar ofta hundratals observationer och måste sortera dem efter allvar, annars drunknar det verkligt farliga i brus. Problemet är att just de fel som kräver en specifik driftskonfiguration för att bli farliga, som Balancers 1 wei i fel riktning, är precis de som är omöjliga att prissätta rätt vid granskningstillfället. Post-mortem beskriver detta i efterhand som självklart. Vid granskningen var det allt annat än självklart.

Trail of Bits gav sin Balancer-analys undertiteln vägledning för hela DeFi-ekosystemet, och det är ingen slump. Poängen firman driver är att problemet inte löses med ännu en granskning av samma slag, utan med bättre incitament: fler tester av matematiska gränsfall, kontinuerlig övervakning i drift och en ärligare kommunikation om vad en rapport faktiskt täcker. Det är en ovanligt självutlämnande hållning från en säljare av just granskningar. Så länge marknaden belönar en stämpel snarare än en process kommer protokoll att köpa den billigaste stämpel som ser trovärdig ut, och stanna där. Elva granskningar räckte inte för Balancer, inte för att granskarna var inkompetenta, utan för att ingen av dem var byggd för att fånga precis det som till slut small.

Cetus och biblioteket som ingen granskade på djupet

Den 22 maj 2025 tömdes Cetus, den största decentraliserade börsen på Sui, på cirka 223 miljoner dollar, ungefär 2,1 miljarder kronor. Grundorsaken låg inte i Cetus egen affärslogik utan i ett tredjepartsbibliotek för matematik, integer-mate, enligt Cyfrin. En funktion vid namn checked_shlw skulle stoppa heltalsöverflöden men jämförde mot fel gräns, så en angripare kunde med ett flash loan och ett extremt smalt prisintervall lura systemet att en enda token räckte för att claima en enorm mängd likviditet.

Cetus visar en blind fläck som revisioner sällan lyser upp: beroenden. En granskning fokuserar på protokollets egen kod och tenderar att lita på att inkluderade bibliotek gör vad de utger sig för. På Sui, där programmeringsspråket Move har ett rykte om sig att vara minnessäkert, sänkte den tilliten troligen vaksamheten just kring överflödeskontroller. Ett gott rykte hos ett språk eller ett bibliotek fungerar som en tyst rabatt på granskningen, och den rabatten var här värd 223 miljoner dollar. Sui-validerarna lyckades senare frysa en stor del av bytet och Cetus kunde återstarta, enligt The Block, men lärdomen kvarstår: din säkerhet är bara så stark som den svagaste kodrad du ärvde utan att läsa.

Beroendeproblemet växer dessutom med tiden. Moderna protokoll byggs som lego av öppna bibliotek, standardkontrakt och externa orakel, där varje del i sin tur lutar sig mot ytterligare delar. En granskning som ska rymmas inom en budget kan omöjligt läsa hela det trädet på djupet, så den drar en gräns och litar på resten. Angriparen behöver bara hitta den svagaste noden i hela kedjan, ofta något som ingen enskild granskning hade i sitt uppdrag. Det är en strukturell obalans: försvararen måste ha rätt överallt, angriparen behöver ha rätt en enda gång.

Reentrancy skulle vara löst, ändå försvann 42 miljoner

Om någon buggklass borde vara utrotad är det reentrancy. Det var den som fällde The DAO 2016, den finns i varje lärobok, och det finns färdiga skydd som ReentrancyGuard och analysverktyg som Slither och Mythril för att fånga den. Ändå förlorade GMX v1 den 9 juli 2025 cirka 42 miljoner dollar, ungefär 400 miljoner kronor, i just en reentrancy-attack, enligt Halborn. Felet låg i funktionen executeDecreaseOrder, som antog att en adressparameter alltid var en vanlig plånbok när den i själva verket kunde vara ett angriparkontrakt. Angriparen fick tillbaka det mesta mot en bug bounty på 5 miljoner dollar, cirka 48 miljoner kronor.

Den goda nyheten göms i statistiken, och den är viktig för balansen: granskningskulturen fungerar faktiskt, för en del av problemet. I OWASP Smart Contract Top 10 för 2026, sammanställd från 122 incidenter och cirka 905 miljoner dollar i spårade förluster under 2025, har reentrancy fallit från en topplacering till åttonde plats. Ett decennium av obduktioner, verktyg och standardskydd har alltså tryckt ner just den klassen. Problemet är att fronten flyttar sig. Överst på 2026 års lista ligger nu bristande åtkomstkontroll, följt av affärslogikfel och prisoraklemanipulation, med aritmetiska fel (avrundning och precision) på sjunde plats. Det är exakt de klasser som fällde Balancer, Cetus och Bunni. Varje botad sjukdom föder en ny.

Fem granskade protokoll som ändå hackades

Tabellen nedan samlar fem fall från 2025 och 2026. Det de har gemensamt är inte att revisorerna var inkompetenta, utan att stämpeln «granskad» inte stoppade förlusten. Notera hur olika grundorsakerna är, och hur ofta det avgörande låg antingen i ett underprissatt fynd, ett beroende eller något helt utanför scope.

Ingen myndighet ackrediterar en kryptorevisor

Här ligger den strukturella kärnan i ansvarsproblemet. I traditionell finans är en auktoriserad revisor godkänd av Revisorsinspektionen, lyder under en yrkesetik och kan i värsta fall bli av med sin auktorisation efter ett misslyckande. Det finns en offentlig instans som står bakom titeln och som kan straffa den som brister. Inom krypto finns ingen motsvarighet. Ingen myndighet i Sverige, EU eller USA ackrediterar eller certifierar smart-kontraktsrevisorer, och det finns inget register över godkända firmor. «Granskad av X» är ett rent privat, kommersiellt påstående utan någon offentlig uppbackning.

Kontrasten mot vanlig revision är skarp. När en auktoriserad revisor skriver under en årsredovisning ligger en hel ansvarskedja bakom namnteckningen: en yrkesorganisation, en ansvarsförsäkring, ett tillsynsorgan som kan pröva klagomål och en möjlighet till skadestånd om revisorn varit vårdslös. Underskriften är i praktiken ett rättsligt laddat löfte. En smart-kontraktsrevision saknar varje led i den kedjan. Rapporten är ett expertutlåtande utan bindande verkan, firman väljer själv sina friskrivningar, och den ende som kan utkräva något är marknaden, genom att sluta anlita den som missar för ofta. För en svensk läsare, van vid att en revisorspåskrift betyder något konkret, är det en skillnad värd att ta med sig.

Det betyder inte att krypto är oreglerat, men regleringen tar sikte på något annat än koden. Finansinspektionen övervakar under MiCA-förordningen dels utgivare av vissa kryptotillgångar, dels leverantörer av kryptotjänster (CASP) som handelsplatser, förvaringstjänster och rådgivning, med fokus på konsumentskydd, marknadsintegritet och finansiell stabilitet. Företag som var verksamma innan reglerna trädde i kraft skulle ha ansökt om tillstånd senast den 30 september 2025. Men ingenstans i MiCA finns ett krav på att de smarta kontrakten ska kodgranskas, och FI:s uppdrag omfattar inte kvaliteten på enskild kod. EU:s driftsäkerhetsregler i DORA lägger visserligen krav på CASP:ers IT-motståndskraft och incidentrapportering, med en initial rapport inom fyra timmar och en slutrapport inom en månad, men även DORA reglerar driften, inte kodgranskningsstandarder.

En sak till värd att hålla isär: kryptoderivat som perpetuals, den produkt Ostium erbjöd, är finansiella instrument under MiFID II och övervakas av den nationella marknadsregulatorn, inte av MiCA som gäller spothandel och CASP:er. Oavsett vilken regelbok man slår upp landar man på samma ställe: ingen av dem ställer en revisor till svars för en missad bugg, eftersom ingen av dem reglerar revisorn över huvud taget.

Vad en revision kostar, och vem som säljer trygghet

Bakom stämpeln finns en industri som vuxit snabbt. En enkel token-granskning kan kosta från runt 5 000 till 15 000 dollar (cirka 48 000 till 145 000 kronor), en standardgranskning av ett DeFi-protokoll ligger typiskt på 20 000 till 60 000 dollar (ungefär 190 000 till 575 000 kronor), och komplexa system landar på 80 000 till över 150 000 dollar (från cirka 770 000 kronor till över 1,4 miljoner kronor). Rosterna växlar, men bland de återkommande namnen finns Trail of Bits, OpenZeppelin, Certora, Halborn, CertiK, Sherlock och Cyfrin. Priset styr scopet, och scopet styr vad som kan hittas: en billigare granskning läser mindre kod under kortare tid.

Vid sidan av den klassiska firmagranskningen har två andra modeller vuxit fram. Tävlingsgranskningen låter många oberoende granskare tävla om en prispott, en modell som Code4rena var pionjär för innan plattformen i maj 2026 meddelade att den lägger ner och att Immunefi tar över kunder och granskare, enligt The Block. Den tredje modellen är den löpande bug bounty-programmet, där white-hats får betalt per hittad bugg efter lansering. Den största utlysta bountyn i historien är Uniswaps upp till 15,5 miljoner dollar, cirka 150 miljoner kronor, för v4, som kördes via plattformen Cantina. Den största enskilda utbetalningen förblir de 10 miljoner dollar, ungefär 96 miljoner kronor, som forskaren satya0x fick för fyndet i Wormhole 2022.

Ingen av modellerna är dålig. Tillsammans är de betydligt bättre än ingenting. Men lägg märke till sista kolumnen: i samtliga fall är ansvaret för en missad bugg antingen friskrivet, utspritt eller obefintligt. Man köper ökad sannolikhet att fel hittas, inte en utfästelse om att inga fel finns.

Reputationen är den enda domstol som finns

Om ingen myndighet dömer, vad återstår? I praktiken bara ryktet. En firma som gång på gång står med i efterhandsanalyserna riskerar att förlora uppdrag, och en granskare som vill bli tagen på allvar måste vårda sitt namn. Det är därför Trail of Bits offentliga Balancer-analys är så intressant: det var en firma som frivilligt exponerade sin egen miss, för att ryktet på lång sikt tjänar mer på ärlighet än på tystnad. Dan Guido, medgrundare av Trail of Bits, har fångat drivkraften i en mening som citeras ofta i branschen: «Jag vill aldrig någonsin hitta samma bugg två gånger», enligt Decential.

Men rykte är en svag och ojämn domstol. Den dömer snabbt de små och skonar ofta de stora. Bunni försvann, medan de firmor som granskat protokollet knappt märkte av händelsen. Samma asymmetri gäller angriparsidan, där gränsen mellan hjälte och tjuv avgörs i efterhand av just anseende och berättelse, något vi utvecklade i vår text om gråzonen mellan white-hat och tjuv. Reputationens domstol saknar dessutom bevisregler, överklagande och proportion: en firma kan ha gjort tio felfria granskningar och en olycklig, och marknaden minns antingen allt eller inget beroende på hur viral obduktionen blev. Det är en form av ansvar, men det är inte rättssäkerhet.

Fungerar granskning? Ja, men bara för halva problemet

Det vore fel att dra slutsatsen att revisioner är meningslösa. Kakars hårda formulering till trots visar OWASP-datan att branschen har botat verkliga sjukdomar: reentrancy, en gång den mest fruktade klassen, har pressats ner i rankingen tack vare just standardskydd och verktyg som växt fram ur ett decennium av obduktioner. De mest upprepade, lätt reproducerbara kodfelen krymper. Det är en framgång, och den är resultatet av granskningskulturen.

Problemet är att framgången bara täcker den del av hotet som är lätt att skriva en obduktion om. En kodbugg lämnar spår på kedjan, kan reproduceras och analyseras. En stulen nyckel, en socialt manipulerad utvecklare eller ett komprometterat orakel lämnar långt mindre, och där är den offentliga obduktionen beroende av att offret berättar sanningen. När 76 procent av värdet 2026 försvann genom nyckel- och driftskompromisser, enligt TRM Labs, betyder det att pengarna flyttat till exakt den yta som revisioner aldrig fick i uppdrag att bevaka. Slutsatsen är alltså inte «revisorn misslyckades». Den är mer obekväm: vi förväxlade en kodgenomgång med en försäkring, och krävde av granskaren ett löfte som ingen granskare någonsin gav.

Det finns dessutom en baksida av stämpeln som sällan nämns i obduktionerna: den kan göra protokoll mindre försiktiga, inte mer. När ett team kan skriva «granskat av tre firmor» på sin sajt uppstår en frestelse att lansera snabbare, ta större risker och behandla stämpeln som ett avslutat kapitel snarare än en deletapp. Ekonomer kallar det moralisk risk, och den finns även på användarsidan: en investerare som ser rätt logotyper hoppar över sin egen efterforskning. Granskningen, som var tänkt att minska risken, kan på så vis flytta runt den och ibland förstärka den. Den mest ärliga stämpeln vore därför inte «säker» utan «granskad denna dag, i denna omfattning, med dessa reservationer».

Så läser du nästa granskad av-stämpel

En stämpel utan sammanhang säger nästan ingenting. En läsare som vill värdera den på riktigt behöver ställa några konkreta frågor, ungefär som en recension bör testa hela kedjan och inte bara en detalj, vilket vi gjorde i vår genomgång av hårdvaruplånböcker. Här är checklistan.

• Vilken version eller commit granskades, och är det samma kod som körs i dag?
• Låg den del som exploaterades inom uppdragets scope, eller utanför?
• Gjordes en ny granskning efter att buggar hade åtgärdats, eller bara en gång?
• Finns det en aktiv, välfinansierad bug bounty i drift, inte bara en gammal rapport?
• Täcker granskningen bara koden, eller även nycklar, orakel och driftsrutiner?
• Är rapporten offentlig, med friskrivningar och allvarlighetsgrader synliga?

Om svaren inte går att hitta är stämpeln marknadsföring, inte information. Ett protokoll som är stolt över sin säkerhet har inga skäl att dölja datum, scope och rapport.

Vad skyddet faktiskt är värt för en svensk sparare

För den som köper krypto i Sverige beror skyddet helt på vägen in. Går du via en MiCA-licensierad handelsplats eller förvarare finns en verklig motpart: du kan klaga till bolaget, vända dig till Finansinspektionen och i vissa fall pröva tvisten hos Allmänna reklamationsnämnden. Det är en av anledningarna till att det spelar roll vem som står bakom produkten, något vi gick igenom i vår jämförelse av kryptoförvarare och vem som egentligen står bakom din ETP. Använder du i stället ett DeFi-protokoll direkt finns i praktiken ingen motpart alls. Det står «granskad av» på sajten, men bakom stämpeln finns ingen försäkring, ingen tillsynsmyndighet och ingen som kan tvingas ersätta dig. Det enda som återstår är obduktionen, och den, som vi sett, ställer sällan granskaren till svars.

EU:s regelverk för mer decentraliserade tjänster väntas först runt 2027 till 2028, och även då är det osäkert om det kommer att omfatta något krav på kodgranskning. Tills dess bör «granskad» läsas för vad ordet är: en ögonblicksbild, inte en garanti. Kryptobranschens mest hederliga uppfinning är den offentliga obduktionen, förmågan att lägga sina värsta dagar på bordet och lära av dem inför öppen ridå. Men så länge revisorn nästan aldrig hamnar på samma bord är obduktionen bara halv. Nästa steg för post-mortem-kulturen är inte fler tekniska tidslinjer, utan modet att skriva ut vem som lovade vad, och vad löftet egentligen var värt.

Vanliga frågor

Betyder «granskad av» att ett kryptoprotokoll är säkert?

Nej. En granskning är en tidsbegränsad genomgång av en viss kodversion inom ett avgränsat uppdrag, och rapporterna friskriver sig uttryckligen från att garantera att koden är buggfri. Balancer granskades elva gånger av fyra firmor och förlorade ändå över 100 miljoner dollar. Stämpeln höjer sannolikheten att fel hittas, men den är inte ett trygghetsintyg.

Kan man stämma en kryptorevisor som missade en bugg?

I praktiken nästan aldrig. Revisionsrapporter innehåller omfattande friskrivningar, ingen myndighet ackrediterar smart-kontraktsrevisorer, och ansvaret sprids mellan team, scope och senare kodändringar. Reputationen på marknaden är i praktiken den enda påföljd en firma riskerar, och den drabbar ojämnt.

Övervakar Finansinspektionen kryptokod?

Nej. Finansinspektionen övervakar under MiCA leverantörer av kryptotjänster (CASP) och utgivare av vissa kryptotillgångar, med fokus på konsumentskydd och marknadsintegritet, inte kvaliteten i enskilda smarta kontrakt. DORA reglerar CASP:ers driftsäkerhet och incidentrapportering, men inte heller det innebär någon kodgranskningsstandard.

Varför hackas granskade protokoll fortfarande?

Dels för att en granskning har ett scope som ofta utesluter det som faktiskt attackeras, som nycklar, orakel och driftsrutiner, dels för att nya buggklasser dyker upp när gamla botas. Under första halvåret 2026 kom cirka 76 procent av de stulna värdena från nyckel- och infrastrukturkompromisser, inte från kodbuggar, enligt TRM Labs.

Vad ska jag som sparare kontrollera innan jag litar på en granskad-stämpel?

Kontrollera vilken version som granskades och om det är samma kod som körs nu, om den exploaterade delen låg inom scope, om en ny granskning gjordes efter åtgärder, och om det finns en aktiv bug bounty. Kontrollera också om granskningen ens täckte nycklar och orakel. En stämpel utan datum och scope säger nästan ingenting.

Marcus Okafor skriver om kultur, säkerhet och långläsning för HOGE Wire.