Obduktionen får en deadline: post-mortem möter MiCA och DORA

Den 14 oktober 2026 tömdes en till synes trist hörna av DeFi. En angripare öppnade färska positioner i UNCX låsningsprotokoll, släppte och donerade tokens i en noga vald ordning och avbröt sedan positionerna; det var i avbrottssteget som andra användares pengar gick ut genom dörren. Säkerhetsföretaget Blockaid rapporterade först ett dränage på omkring 86 000 dollar på Ethereum, men inom ett dygn hade samma fel i funktionen release() utnyttjats på fyra kedjor och summan vuxit sjutton gånger, till cirka 1,49 miljoner dollar (omkring 15 miljoner kronor), sedan copycat-plånböcker och bottar hoppat på samma spår.

Inom några timmar fanns den vanliga obduktionen på plats: en teknisk tråd, ett rotorsaksdiagram, en lista på drabbade tokens. Det som inte fanns, och aldrig kommer att finnas, är en myndighet som tar emot rapporten. UNCX är ett protokoll, inte ett bolag med tillstånd, och därmed föll händelsen utanför varje formellt rapporteringskrav. Det är den tudelningen den här texten handlar om: samma sorts katastrof producerar numera två helt olika obduktioner, beroende på vem som står bakom koden.

Samma kropp, två obduktioner

Den publika kryptoobduktionen uppstod som en frivillig genre. När ett protokoll sprack skrev teamet, eller en utomstående utredare, ett offentligt inlägg: en tidslinje på minutnivå, en rotorsak, ibland en ursäkt, nästan alltid utan att peka ut en enskild skyldig. Ingen lag krävde det. Det var kultur, inte regelefterlevnad, och under flera år var det den enda redovisning någon fick.

Under 2026 har en kil drivits in i genren. För aktörer med en fot innanför det reglerade systemet, framför allt de kryptobolag som har eller söker tillstånd som leverantörer av kryptotillgångstjänster (CASP), håller obduktionen på att bli något annat: en obligatorisk, deadline-styrd och konfidentiell rapport till en tillsynsmyndighet. I Sverige är den mottagaren Finansinspektionen. Samma händelse ger alltså numera två dokument med två helt olika syften, två publiker och två rättsliga statusar. Det ena skrivs för gemenskapen, det andra för staten.

Skillnaden är inte akademisk. Den avgör om du någonsin får läsa redogörelsen, om det finns en frist som tvingar fram den, och om det finns någon myndighet alls som kan ställa frågor efteråt. För den som förlorar pengar är det skillnaden mellan ett system med formell tillsyn och ett blogginlägg man får lita på.

Så föddes den frivilliga obduktionen

Formen lånades till stora delar från mjukvarudriftens värld. Googles idé om den skuldfria obduktionen, den så kallade blameless postmortem, handlade om att utreda vad som gick fel utan att hänga ut en individ, så att organisationen lär sig i stället för att tysta ner. Krypto tog strukturen (tidslinje, rotorsak, åtgärd) och lade till något eget: offentligheten. Obduktionen publicerades, den arkiverades inte.

Ursprungsscenen är The DAO 2016, då ett reentrancy-fel tömde omkring en tredjedel av fonden och Ethereum till slut löste krisen med en omstridd hard fork som rullade tillbaka stölden. Lärdomen var att den verkliga ansvarsinstansen låg i det sociala lagret, bland utvecklare och token-innehavare, inte i koden. Ur det växte en hel estetik: den anonyma nekrologsajten rekt.news och dess leaderboard förvandlade haverierna till ett kollektivt minne, en skamvägg lika mycket som ett arkiv.

Genren fick till och med sitt eget förhandlingsritual. När Euler Finance förlorade omkring 197 miljoner dollar i mars 2023 fördes samtalet med angriparen on-chain, och pengarna kom tillbaka nästan i sin helhet mot ett bug-bounty. Inget av detta krävdes av någon myndighet. Det var branschens eget sätt att hantera förlust, död och lärdom, helt på frivillig väg.

DORA-klockan: fyra timmar, 72 timmar, en månad

Det som förändrar bilden är ett regelverk som inte handlar om krypto specifikt, utan om finanssektorns digitala motståndskraft i stort. DORA (Digital Operational Resilience Act, förordning (EU) 2022/2554) tillämpas sedan den 17 januari 2025 och omfattar finansiella aktörer, inklusive CASP-bolag under MiCA. Kärnan för vår del är inte brandväggar och leverantörsavtal, utan rapporteringskravet: en allvarlig IKT-incident ska anmälas till den nationella tillsynsmyndigheten enligt en fast klocka.

Klockan ser ut så här. En första anmälan ska in inom fyra timmar efter att incidenten klassats som allvarlig, med en yttersta gräns på 24 timmar från det att bolaget blev medvetet om den. Därefter kommer en mellanrapport inom 72 timmar, och en slutrapport senast en månad efter mellanrapporten. Det är en fundamentalt annan logik än den frivilliga obduktionen. Den frivilliga skrivs när teamet är redo och vill; DORA-rapporten skrivs när klockan säger till, oavsett om rotorsaken är klarlagd eller inte.

Och den är inte till för allmänheten. Där den publika obduktionen är en föreställning inför gemenskapen är DORA-rapporten en konfidentiell inlaga till staten. Läsaren är en handläggare, inte en diskussionstråd. Nedan ställs de två dokumenten mot varandra.

MiCA drar gränsen: vem är en CASP?

Om DORA är klockan är MiCA linjalen som avgör vem klockan gäller för. MiCA (förordning (EU) 2023/1114) reglerar utgivare av kryptotillgångar och leverantörer av kryptotillgångstjänster: börser, växling, förvaring, viss rådgivning. Den som driver en sådan tjänst måste ha tillstånd från den nationella behöriga myndigheten, och det är det tillståndet som drar in bolaget under DORA:s rapporteringsklocka.

Men MiCA drar också en skarp gräns utåt. I ingressens skäl 22 undantas uttryckligen tjänster som tillhandahålls på ett helt decentraliserat sätt utan någon mellanhand. Ett protokoll utan en identifierbar operatör faller alltså utanför MiCA, och därmed utanför DORA. Det är här UNCX hamnar, liksom den stora majoriteten av DeFi. Ingen mellanhand, ingen CASP, ingen klocka.

För svensk del är tidslinjen konkret. Sedan den 1 oktober 2025 måste varje kryptobolag som vänder sig till svenska kunder ha ansökt om tillstånd hos Finansinspektionen eller upphöra. Den som väljer att noteras på en reglerad börs, eller att driva en förvaringstjänst för svenska kunder, köper alltså in sig i både tillståndsplikten och rapporteringsklockan på samma gång. Hur den affären ser ut från börsens sida har vi beskrivit i genomgången av varför börser noterar tokens, och vad som händer när en notering ändå kollapsar syns i obduktionen av MOVE-noteringen.

Finansinspektionen blir mottagare, inte läsare

I den gamla modellen var publiken läsare. I den nya är Finansinspektionen mottagare. Skillnaden är viktig. När ett tillståndspliktigt bolag drabbas av en allvarlig incident landar den första redogörelsen på en tillsynsmyndighets bord, inte i ett blogginlägg. Myndigheten kan begära kompletteringar, väga systemrisk, jämföra med andra inlagor och i förlängningen ingripa. Finansinspektionen är den behöriga myndigheten för kryptotillgångar i Sverige och sitter i det europeiska nätverk av tillsynsmyndigheter som samordnas av Esma.

Det betyder inte att allmänheten får veta mer. Tvärtom. Den reglerade rapporten är sekretesskyddad; du som drabbad kund ser den aldrig. Det du eventuellt ser är bolagets egen, frivilliga kommunikation, som kan vara utförlig eller urvattnad. Tillsynen finns där, men den sker bakom stängda dörrar. Det är en avvägning: mer ansvarsutkrävande mot staten, mindre insyn för gemenskapen.

Det är också en kulturkrock. Kryptons obduktionstradition byggde sitt förtroende på radikal öppenhet, på att visa allt. Tillsynsmodellen bygger sitt förtroende på det motsatta: att en myndighet har sett allt, så att du slipper. Vilket av dessa som faktiskt skapar mer säkerhet är långt ifrån avgjort.

Esma jagar en DeFi-definition och varnar för «decentralisation washing»

Gränsen i skäl 22 är lättare att skriva än att dra. Vad betyder egentligen helt decentraliserat utan någon mellanhand? Ett protokoll kan ha ett gränssnitt, ett team som uppgraderar kontrakt, en styrningstoken koncentrerad hos några få. Är det då verkligen utan mellanhand? Frågan är inte teoretisk, för svaret avgör vem som slipper rapporteringsklockan.

Den 30 september 2026 lämnade Esma sitt svar på EU-kommissionens översyn av MiCA, och DeFi fick en central plats. Esma konstaterar att synen på full decentralisering går isär inom EU och att osäkerheten har ökat risken för det tillsynsmyndigheten beskriver som decentralisation washing: att en identifierbar operatör gömmer sig bakom DeFi-språk för att slippa MiCA:s skyldigheter. Esmas slutsats är att undantaget bör vara så snävt som möjligt.

Konkret vill Esma ha en tydlig DeFi-definition inskriven i lagtexten, tydligare kriterier för vad som räknas som genuint decentraliserat, och en helt ny reglerad tjänst som fångar bolag som ger användare tillgång till DeFi-protokoll för deras räkning. Poängen för obduktionskulturen är rak: om Esma får igenom sin linje flyttas fler gränssnitt och åtkomstleverantörer in under CASP-begreppet, och därmed in under DORA:s klocka. Fler haverier skulle då sluta som konfidentiella myndighetsrapporter i stället för offentliga blogginlägg. Gråzonen krymper, och med den krymper den rent frivilliga obduktionen.

Två hastigheter: EU rapporterar, USA utreder

Tudelningen ser olika ut på olika sidor av Atlanten, och det är värt att förstå för den som läser internationella obduktioner. EU har byggt en framåtblickande ordning: DORA tvingar fram en rapport medan händelsen fortfarande pågår, och MiCA avgör vem som omfattas. Logiken är förebyggande och systemisk, inte straffande i första hand.

USA har tagit en annan väg. Där finns ingen kryptospecifik rapporteringsklocka motsvarande DORA; i stället sker ansvarsutkrävandet i efterhand, genom SEC, CFTC och justitiedepartementet, och ofta först flera år senare i en domstol. Samtidigt har tillsynen under 2026 snarast backat på själva klassificeringsfrågan, sedan SEC slagit fast att de flesta kryptotillgångar inte i sig är värdepapper. Resultatet är att en amerikansk obduktion oftare blir ett underlag för en framtida stämning än en inlaga till en löpande tillsyn.

För en svensk läsare betyder det att samma incident kan se helt olika ut beroende på var bolaget sitter. Ett EU-baserat CASP-bolag har redan rapporterat till sin tillsynsmyndighet inom ett dygn; en amerikansk motpart kan mycket väl ha sagt ingenting formellt alls, och väntar i stället på om en myndighet väljer att agera. Den som jämför två obduktioner bör därför först fråga under vilken jurisdiktion de skrevs.

Den stora gråzonen: DeFi utanför klockan

Tills vidare står dock den decentraliserade majoriteten utanför. För dessa protokoll är den frivilliga obduktionen inte ett komplement, den är hela redovisningen. Finns den inte, finns ingenting. UNCX är ett exempel: ett låsningsprotokoll utan tillståndspliktig operatör, där en säkerhetsfirmas tråd blev det närmaste en officiell rapport som någonsin kommer att skrivas.

Större fall följer samma mönster. När KelpDAO förlorade omkring 290 miljoner dollar i april 2026 uppstod en offentlig skuldstrid mellan protokollet och LayerZero om vems konfiguration som bar ansvaret. Det blev två obduktioner som pekade på varandra, men ingen myndighetsinlaga, eftersom ingen av parterna agerade som ett svenskt CASP-bolag.

Statistiken bekräftar förskjutningen. Enligt TRM Labs stals omkring 972 miljoner dollar över 207 incidenter under första halvåret 2026, med Drift Protocol (omkring 285 miljoner dollar, tillskrivet Nordkorea) som ett av de två största fallen. Rena kontraktsfel stod för flest incidenter, men merparten av värdet kom från komprometterade nycklar och mänsklig manipulation, och ännu i oktober 2026 fortsatte stulna medel från vårens angrepp att röra sig vidare mot blandningstjänster. Det är just den ytan som obduktionen fångar sämst, för där finns sällan ett rent on-chain-spår, och berättelsen vilar på offrets egen ärlighet.

När ingen myndighet kan tvinga fram redovisningen avgörs ersättningen i stället av en DAO-röst eller av teamets goda vilja, en mekanik vi synat i granskningen av hur gemenskapsstyrets röster prissätts. Där ett CASP-bolag har en balansräkning och en tillsynsmyndighet har ett protokoll ofta bara en omröstning och en kassa som kan vara tömd.

Två bolag som valde ljuset: Bybit och Gnosis Pay

Att ligga nära den reglerade zonen betyder inte att öppenheten dör. Tvärtom finns de tydligaste exemplen på radikal transparens just bland aktörer med en fot i det institutionella. När börsen Bybit drabbades av historiens största kryptostöld den 21 februari 2025, omkring 1,5 miljarder dollar (ungefär 15 miljarder kronor), valde vd Ben Zhou motsatsen till tystnad. Bybit la ut löpande uppdateringar, utlyste ett spårningsbounty och lät externa utredare publicera sina forensiska rapporter inom dagar. Sygnias genomgång pekade på att vektorn var ett manipulerat signeringsgränssnitt, inte ett fel i själva kontraktet.

Det mindre men renare exemplet är Gnosis Pay, kortutgivaren i Gnosis-ekosystemet, som i juni 2026 drabbades av ett fel i signaturvalidering som legat vilande sedan 2023. Förlusten var blygsam i sammanhanget, omkring 1,5 miljoner dollar (cirka 15 miljoner kronor) över 5 281 plånböcker, och bolaget gjorde allt rätt enligt genrens ideal: tidslinje på minutnivå, rotorsak inom ett par timmar, och framför allt bar bolaget hela förlusten så att kunderna blev helt återställda. Här sammanföll den reglerade aktörens resurser med obduktionskulturens öppenhet. Det är den kombinationen, inte valet mellan dem, som pekar framåt.

Tabellen nedan sorterar några av fallen efter det som den nya tudelningen gör relevant: vilken sorts aktör det rör sig om, om händelsen alls omfattas av MiCA och DORA, vem som fick obduktionen, och vem som till slut bar förlusten.

Rapport är inte motståndskraft

En viktig varning hör hemma här. En rapport inom fyra timmar stoppar inte en enda hack. DORA handlar om motståndskraft och rapportering, inte om kodens korrekthet, och ingen tillsynsmyndighet i vare sig EU eller USA ackrediterar granskare av smarta kontrakt eller föreskriver att kod ska revideras på ett visst sätt. Det finns ingen revisorsnämnd för Solidity.

Risken är att en kryssad regelruta förväxlas med säkerhet. Mitchell Amador, grundare och vd för bug-bounty-plattformen Immunefi, har formulerat problemet skarpt för revisioner, och det gäller lika mycket för myndighetsrapporter: «’we were audited’ was never the same as ‘we are safe’». Att en inlaga har skickats till Finansinspektionen säger ingenting om huruvida nästa rad kod håller.

Branschen har för övrigt byggt sin egen, icke-statliga styrning av just responsen. Security Alliance Safe Harbor är ett offentligt, rättsligt bindande erbjudande där en white hat kan återlämna medel inom 72 timmar mot ett bounty på tio procent, med tak och med krav på identitetskontroll. Ramverket täcker protokoll värda tiotals miljarder dollar och existerar helt utan att någon myndighet skrivit det. Det är en påminnelse om att den frivilliga ordningen inte är kaos; den är bara inte lag.

När transparensen blir bevis

Det finns också en mörkare anledning till att den konfidentiella kanalen lockar. En offentlig, självkritisk obduktion är ett erkännande, och ett erkännande kan bli bevis. Ju mer ärligt ett team beskriver sina egna misstag, desto mer material ger det en framtida kärande eller åklagare. Den konfidentiella DORA-rapporten, som aldrig blir offentlig, bär inte samma exponering.

Att rättssalen numera är en del av genren är inte spekulation. Do Kwon, mannen bakom Terra-kollapsen, dömdes den 11 december 2025 till 15 års fängelse och till att förverka över 19 miljoner dollar, sedan domaren kallat kollapsen ett bedrägeri av generationsformat. I fallet Mango Markets ogiltigförklarade däremot en domare 2025 de tidigare fällande domarna mot Avraham Eisenberg, med argumentet att protokollet var tillståndslöst och automatiskt. Och i Tornado Cash-målen prövas nu själva frågan om en utvecklare kan hållas ansvarig för hur andra använder koden. Poängen är att varje offentlig mening kan läsas två gånger: en gång av gemenskapen, en gång av en jurist. Vem som egentligen bär skulden när ett decentraliserat bygge brinner har vi gått igenom separat i texten om ansvaret bakom DAO-dramat.

Resultatet är att allt fler team låter jurister läsa obduktionen innan den publiceras. Den skuldfria, öppenhjärtiga tonen som genren byggdes på är svårare att försvara när nästa läsare kan vara en förundersökningsledare. Här finns en verklig paradox: den reglerade kanalen, som tvingar fram en rapport, kan samtidigt göra det tryggare att vara ärlig, eftersom inlagan stannar hos myndigheten.

Den svenska vinkeln: vad en drabbad faktiskt kan göra

För en svensk sparare avgör tudelningen vad som faktiskt går att göra efteråt. Drabbas du via ett bolag med tillstånd från Finansinspektionen finns det en reglerad motpart: en incidentrapport går till myndigheten, tillsyn finns, och det finns klago- och prövningsvägar som för annan finansiell verksamhet. Drabbas du i stället direkt i ett decentraliserat protokoll finns i praktiken ingen sådan motpart. MiCA når inte protokollet, det finns ingen insättningsgaranti för smarta kontrakt, och obduktionen, om den ens skrivs, är hela din redovisning.

Det gör några frågor värda att ställa innan man litar på en plattform, och särskilt när en incident redan har inträffat:

• Är aktören ett bolag med tillstånd från Finansinspektionen, eller ett protokoll utan identifierbar operatör?
• Finns en reglerad rapporteringsväg (DORA), eller enbart ett frivilligt blogginlägg?
• Pekar obduktionen ut en ansvarig part, eller beskriver den bara koden?
• Finns en kassa, en försäkring eller ett ersättningsbeslut som kan göra dig hel?
• Reviderades den rättade koden på nytt, eller lappades felet bara ihop?

Ingen av frågorna ger pengarna tillbaka, men tillsammans avgör de om du har en motpart att vända dig till eller enbart en berättelse att läsa. Och de visar varför valet av plattform, på samma sätt som valet av förvaringslösning, i grunden är ett beslut om vilken sorts obduktion du vill ha rätt till om det värsta händer.

2026: obduktionen institutionaliseras

Lägg ihop delarna och en bild framträder. Den genre som föddes som gräsrotstransparens, den anonyma nekrologen och den skuldfria tekniska tråden, håller på att absorberas i formell tillsyn för en del av marknaden, medan en annan del behåller folkritualen i oförändrat skick. DORA ger klockan, MiCA drar gränsen, och Esmas septemberutspel 2026 pekar mot att gränsen ska flyttas så att den reglerade delen växer.

Vinsten är verklig: deadlines, en myndighet som kan ställa frågor, ansvarsutkrävande för aktörer som hanterar andras pengar. Förlusten är lika verklig: den publika, skuldfria, delade lärdomen riskerar att ersättas av konfidentiella inlagor som ingen utanför myndigheten får läsa. Ett tvådelat minne håller på att uppstå, ett slutet myndighetsarkiv för CASP-bolagen och ett stökigt offentligt arkiv för allt annat.

Obduktionen dör alltså inte. Den arkiveras. Och frågan branschen bär med sig in i 2027, när nya DeFi-regler väntas, är om den samlade kunskapen blir mer eller mindre användbar när hälften av den försvinner bakom sekretess och den andra hälften fortsätter att skrivas helt utan tvång. Svaret avgör om tio års obduktioner blir en lärobok eller bara en skamvägg.

Frequently Asked Questions

Vad är en krypto-post-mortem?

En krypto-post-mortem, eller obduktion, är en redogörelse som publiceras efter ett hack eller ett haveri och förklarar vad som hände: en tidslinje, en rotorsak och ofta de åtgärder som vidtagits. Traditionellt är den frivillig och offentlig, men för tillståndspliktiga bolag blir den under 2026 i stället en obligatorisk och konfidentiell rapport till en tillsynsmyndighet.

Måste ett kryptobolag rapportera en hack till Finansinspektionen?

Ja, om bolaget är en tillståndspliktig leverantör av kryptotillgångstjänster (CASP). Då gäller DORA, som kräver att en allvarlig IKT-incident anmäls till Finansinspektionen enligt en fast tidsplan. Ett helt decentraliserat protokoll utan identifierbar operatör faller däremot utanför kravet.

Vilka tidsgränser gäller för DORA-rapportering?

En första anmälan ska lämnas inom fyra timmar efter att incidenten klassats som allvarlig, med en yttersta gräns på 24 timmar från det att bolaget blev medvetet om den. Därefter följer en mellanrapport inom 72 timmar och en slutrapport senast en månad efter mellanrapporten.

Varför slipper DeFi-protokoll rapporteringskraven?

MiCA undantar i skäl 22 tjänster som tillhandahålls på ett helt decentraliserat sätt utan någon mellanhand, och utan CASP-status gäller inte DORA. Esma varnade den 30 september 2026 för att undantaget utnyttjas och vill ha en snävare och tydligare DeFi-definition, vilket skulle dra in fler aktörer under rapporteringskraven.

Kan jag få tillbaka pengar om ett DeFi-protokoll hackas?

Sällan automatiskt. Är aktören ett bolag med tillstånd från Finansinspektionen finns en reglerad motpart och klagovägar, men i ett helt decentraliserat protokoll finns ingen insättningsgaranti och ingen myndighet som kan tvinga fram ersättning. Då avgörs saken av protokollets kassa, en eventuell försäkring eller en DAO-röst, och ofta blir det ingen ersättning alls.

Av Marcus Okafor, reporter för kultur och långläsning på HOGE Wire.