Vem utreder kryptohacken? Forensikbranschen bakom post-mortems

En bransch av osynliga utredare

När ett protokoll blir hackat ser de flesta läsare bara slutresultatet: en offentlig post-mortem som publiceras dagar eller veckor senare, med tidslinje, grundorsak och ofta en plan för ersättning till drabbade användare. Men innan en enda rad av den rapporten är skriven har någon redan spårat pengarna genom mixertjänster och bryggor, kartlagt angriparens infrastruktur och försökt avgöra vem som faktiskt satt bakom tangentbordet. Det är det osynliga arbetslagret som gör post-mortemen möjlig, och det är den branschen den här texten handlar om.

Till skillnad från en vanlig brottsutredning finns det ingen enskild myndighet med exklusiv befogenhet i krypto. I stället har ett lapptäcke av aktörer vuxit fram under de senaste åren: kommersiella analysföretag som säljer verktyg till polis och tull, en pseudonym frilansutredare som ofta är snabbare än miljardbolagen, realtidsfirmor som försöker stoppa stölden medan den pågår, och en frivillig brandkår som rycker ut mitt i en pågående attack. Ingen av dem är reglerad som utredare i juridisk mening. Varken Finansinspektionen eller EU:s tillsynsstruktur under MiCA ställer krav på vilken bevisstandard en kryptoutredning ska hålla innan slutsatsen publiceras för allmänheten.

Det gör frågan “hur vet vi det här egentligen?” viktigare än den kan verka vid en första anblick. En attribution till Nordkorea eller Lazarus-gruppen låter auktoritativ i en rubrik, men källan bakom påståendet varierar enormt: från flera oberoende utredningar som självständigt pekar åt samma håll, till en enskild parts “preliminära indikatorer” i ett pressmeddelande. Den skillnaden, och vilka aktörer som faktiskt gör jobbet bakom kulisserna, är vad den här artikeln reder ut.

Forensikföretagen som sätter branschstandarden

Basen i ekosystemet är ett fåtal blockkedjeanalysföretag som byggt hela sin affär på att göra det som ser anonymt ut mindre anonymt: att koppla ihop plånboksadresser, följa pengaflöden genom mixrar och bryggor, och sälja resultatet vidare som abonnemangstjänster till myndigheter, börser och banker.

Chainalysis, grundat 2014, är den mest namnkunniga aktören och driver utredningsplattformen Reactor. Enligt företaget självt används verktyget av över 800 myndigheter i ungefär 70 länder, allt från lokal polis till skattemyndigheter och nationella säkerhetstjänster. Elliptic (grundat 2013) och TRM Labs (grundat 2018) konkurrerar i samma segment, och alla tre säljer i praktiken en liknande grundtjänst: en sökbar graf över blockkedjetransaktioner med etiketter för kända plånböcker, börsers depåkonton och, i bästa fall, redan identifierade hotaktörer. Samma verktyg används dessutom löpande i vanlig regelefterlevnad, som transaktionsövervakning (KYT, “know your transaction”) hos börser, inte bara i akuta utredningar efter ett hack, vilket är en stor del av varför bolagen har råd att bygga så pass omfattande databaser.

Det är TRM Labs som producerar en stor del av branschens aggregerade hackstatistik, och siffrorna säger något om varför utredararbetet har blivit svårare snarare än enklare med åren. Enligt TRM Labs sammanställning för första halvåret 2026 drabbades branschen av 207 separata incidenter, ett rekordantal, med en sammanlagd förlust på omkring 972 miljoner dollar (ungefär 9,3 miljarder kronor vid en kurs på cirka 9,6 kronor per dollar), mindre än hälften av samma period 2025. Mönstret i detaljerna är det intressanta för den här artikeln: smart-kontraktsexploateringar stod för 125 av de 207 incidenterna men bara en liten andel av det totala värdet, medan komprometterade nycklar och intern eller operativ säkerhet, som en stulen privat nyckel eller en kapad admin-roll, utgjorde ungefär 15 procent av incidenterna men hela 76 procent av det stulna värdet. En kodbugg lämnar nästan alltid ett spår i ett öppet källkodsarkiv som går att granska i efterhand. En stulen nyckel eller en socialt manipulerad anställd gör sällan det, vilket är precis den typ av spår forensikbranschen numera lägger mest resurser på att hitta.

Reactor, Bybit och myndigheternas verktygslåda

Det tydligaste exemplet på hur kommersiella verktyg och myndigheter samverkar i praktiken är Bybit-hacket i februari 2025, fortfarande den största kryptostölden någonsin med omkring 1,5 miljarder dollar (cirka 14,4 miljarder kronor) i stulen ether. FBI attribuerade offentligt intrånget till Lazarus-gruppen, internt spårat under kodnamnet TraderTraitor, en slutsats som backades upp av oberoende forensiska rapporter från både Sygnia och Verichains, publicerade inom loppet av några dagar efter attacken.

Att en myndighet och två separata forensikfirmor, oberoende av varandra, landade i samma slutsats är precis den typ av konvergens som gör en attribution stark i praktiken, till skillnad från fall där bara en part gör anspråket. Bybits vd Ben Zhou valde dessutom en ovanligt transparent linje och publicerade uppdateringar löpande under de första dygnen. Han sa att börsens svar “primärt handlar om att upprätthålla transparens” och att man skulle använda “transparens och kommunikation för att ta bort tvivel hos våra kunder”, enligt Cryptonews sammanställning av händelseförloppet. Bybit satte också upp en belöning på omkring 140 miljoner dollar (ungefär 1,34 miljarder kronor), motsvarande fem procent av spårade eller frysta medel, för den som hjälpte till att spåra pengarna vidare, i praktiken ett sätt att outsourca en del av utredningsarbetet till vem som helst med rätt kompetens.

Den pseudonyma utredaren: ZachXBT

En av de mest inflytelserika utredarna i hela ekosystemet är inte ett företag utan en enda pseudonym person. ZachXBT är självlärd och började gräva i blockkedjedata efter att själv ha förlorat motsvarande omkring 15 000 dollar (cirka 144 000 kronor) i en plånbokskapning kopplad till 2017 års ICO-våg. Sedan 2021 har personen bakom pseudonymen byggt upp ett track record av att identifiera insiderhandel, rug pulls och statsanknutna hackare, ofta snabbare än de stora forensikbolagen med hela avdelningar av analytiker.

Finansieringen kommer inte från abonnemangsavtal utan från donationer, juridiska crowdfunding-kampanjer när utredningarna leder till stämningar, belöningar via Arkham Intelligence (mer om det nedan) och en rådgivarroll hos handelsplattformen Paradigm. Modellen är inte utan kontroverser. I februari 2026 anklagade ZachXBT en anställd på handelsplattformen Axiom för insiderhandel, en anklagelse som själv väckte frågor om hur förhandsinformation från pågående utredningar sprids och används innan den blir offentlig, se CoinDesks rapportering.

Kritiker har pekat på att en pseudonym utredare utan ansvarsskyldighet gentemot någon tillsynsmyndighet i praktiken kan skada ett tokens pris eller ett projekts rykte utan samma prövning som skulle krävas av exempelvis en revisor eller en polisanmälan. Ingen lag, varken i Sverige eller inom EU:s MiCA-ramverk, reglerar vem som får kalla sig kryptoutredare eller vilken bevisstandard som gäller innan en anklagelse publiceras för hundratusentals följare.

Realtidsförsvaret: Blockaid och larmen före obduktionen

Medan Chainalysis, TRM Labs, Elliptic och ZachXBT i huvudsak arbetar i efterhand, spårar pengar som redan runnit, har en yngre kategori av företag byggt verktyg som försöker upptäcka attacken medan den fortfarande pågår. Blockaid, grundat 2022 av tidigare israeliska cybersäkerhetsveteraner, är det mest citerade exemplet från sommaren 2026.

Den 22 juli upptäckte Blockaid att Arbitrum-baserade handelsplattformen AFX Trade förlorade omkring 24,15 miljoner dollar (motsvarande cirka 232 miljoner kronor) efter att bryggnycklar komprometterats, med ett första larm redan klockan 21.30 UTC samma kväll, enligt CoinDesks rapportering. AFX Trade byggdes för övrigt på Arbitrum, samma ekosystem som HOGE Wire kartlagt i guiden till Orbit-kedjorna för spel, en påminnelse om att angripare letar efter svaga punkter oavsett om målet är en handelsplattform eller ett spelprojekt på samma underliggande infrastruktur.

Bara en vecka tidigare, den 15 juli, var det återigen Blockaid som lade fram mekaniken bakom hacket mot Ostium, en RWA-perpetuals-börs också byggd på Arbitrum: en komprometterad privat nyckel hos en oracle-signerare möjliggjorde omkring tjugo prismanipulerade handelsloopar och en förlust på mellan ungefär 11,86 och 18 miljoner dollar (ungefär 114 till 173 miljoner kronor), motsvarande nästan 28 procent av protokollets låsta värde, trots att Ostium enligt egen utsago genomgått flera säkerhetsgranskningar. Se Halborns tekniska genomgång av händelsen. Skillnaden mot en klassisk post-mortem är just tidsperspektivet. Blockaids uppgift är inte att förklara vad som hände i efterhand, utan att hinna slå larm innan skadan blir total, eller åtminstone dokumentera exakt vad som hände medan det fortfarande går att agera.

SEAL 911: den frivilliga brandkåren

Ett tredje lager i ekosystemet är helt frivilligt. Security Alliance, förkortat SEAL, grundades i februari 2023, delvis som en reaktion på bryggan Nomads kaotiska hack samma år, ett fall där hundratals kopior av samma exploatering plundrade protokollet parallellt innan någon organiserad respons hann sättas ihop. Ur den erfarenheten växte SEAL 911 fram: i praktiken en Telegram-baserad larmcentral där granskade vita hattar kan kopplas ihop med ett drabbat team inom minuter, mitt i en pågående attack.

Enligt organisationen själv har SEAL 911 hanterat över 3 300 ärenden och hjälpt till att rädda mer än 50 miljoner dollar (ungefär 480 miljoner kronor) sedan starten. Organisationen driver också ett separat, juridiskt bindande ramverk, Safe Harbor, som på förhand lovar vita hattar en tioprocentig belöning, upp till 1 miljon dollar (ungefär 9,6 miljoner kronor), om de returnerar stulna medel inom 72 timmar efter ett fynd. Tanken är att sänka tröskeln för att göra rätt mitt i en stressig situation, där en anonym hackare annars kanske väljer att behålla allt i stället för att förhandla.

Skillnaden mot både de kommersiella analysföretagen och Blockaids automatiserade larm är att SEAL 911 i grunden bygger på människor: erfarna säkerhetsforskare som ställer upp obetalt eller mot en eventuell bounty, koordinerade i realtid snarare än via ett kommersiellt kontrakt eller en API-integration. Det gör modellen svår att skala, men också svår att ersätta i de första kaotiska minuterna av en attack, innan någon forensikfirma ens hunnit öppna ett ärende.

Arkham Intelligence och “dox-to-earn”

Arkham Intelligence, grundat 2020 av Miguel Morel, har byggt en mer kontroversiell modell: en öppen budgivningsmarknad, Intel Exchange, där vem som helst kan lägga en belöning för att identifiera personen bakom en specifik plånboksadress, och vem som helst kan sälja information för att samla in den. Modellen kallas ibland “dox-to-earn” och har använts i flera stora, uppmärksammade fall: ett bounty-program kopplat till FTX-konkursen på omkring 415 miljoner dollar (knappt 4 miljarder kronor) i spårade tillgångar, och ett liknande program kring marknadsgaranten Wintermute på runt 160 miljoner dollar (ungefär 1,54 miljarder kronor). Se Decrypts granskning av plattformen.

Kritiken handlar om just den öppna marknadsmekaniken. När identifiering av en person blir en handelsvara uppstår ett ekonomiskt incitament att avslöja identiteter även i gränsfall, långt bortom de klassiska statsstödda hackarna som Lazarus-gruppen. Integritetsförespråkare har varnat för att modellen normaliserar en form av privat övervakning som varken en domstol eller en tillsynsmyndighet godkänt i förväg, och att den flyttar makten att avgöra vem som “förtjänar” att avslöjas bort från rättsväsendet och till den som råkar betala mest.

Det är en spänning som går igen i hela branschen som beskrivs i den här artikeln: samma metoder och verktyg som avslöjar en nordkoreansk statsaktör bakom ett miljardhack kan i teorin användas för att doxa en anonym utvecklare som bara begått ett misstag, eller en visselblåsare som av goda skäl vill förbli anonym.

Nordkorea-stämpeln: hur säker är attributionen egentligen?

“Nordkorea” och “Lazarus-gruppen” har blivit närmast reflexmässiga etiketter i kryptobranschens post-mortems, och ofta med goda skäl. FBI, det amerikanska finansdepartementets sanktionsavdelning OFAC och flera oberoende forensikfirmor har vid upprepade tillfällen konvergerat på samma slutsats i stora fall. Men konfidensnivån varierar enormt beroende på hur många oberoende källor som faktiskt backar upp attributionen, och det är sällan tydligt för läsaren vilken nivå en given rubrik befinner sig på.

Tabellen nedan ställer fyra uppmärksammade fall från 2025 och 2026 mot varandra utifrån just det: inte hur stort hacket var, utan hur solid grunden för attributionen faktiskt är.

KelpDAO-fallet är särskilt talande. LayerZero pekade offentligt ut Kelps egen konfiguration, en så kallad enskild verifierare (1-av-1 DVN), som grundorsaken, medan Kelp svarade att det var LayerZeros egna standardinställningar som orsakade sårbarheten. Båda parter drog in Lazarus-gruppen i sin respektive version, men ingen tredje, oberoende forensikfirma bekräftade offentligt vem som faktiskt hade rätt, se CoinDesks rapportering om tvisten. Det är precis den typen av fall där läsaren bör vara mer skeptisk än rubriken uppmuntrar till.

Fallstudie: Ronin, Sky Mavis och vägen till attribution

Ronin-bryggan, infrastrukturen bakom spelet Axie Infinity, förlorade omkring 625 miljoner dollar (motsvarande ungefär 6 miljarder kronor) i mars 2022 efter att fem av nio validatornoder komprometterats, tillräckligt för att en angripare skulle kunna godkänna falska uttag. Det tog sex dagar innan intrånget ens upptäcktes, en påminnelse om att utredningsklockan i många fall inte börjar ticka förrän långt efter att skadan redan skett.

FBI attribuerade senare hacket till Lazarus-gruppen och det amerikanska finansdepartementet sanktionerade de mottagande plånboksadresserna, en attribution som aldrig blivit lika ifrågasatt som KelpDAO-fallet ovan. Utvecklarbolaget Sky Mavis valde att återbetala samtliga drabbade användare fullt ut, finansierat av en kapitalanskaffning på 150 miljoner dollar (ungefär 1,44 miljarder kronor) ledd av Binance tillsammans med bolagets egen kassa. Sky Mavis operativa chef Aleksander Larsen sa vid tillfället att bolaget var “fullt engagerat i att ersätta våra spelare så snart som möjligt”, enligt CoinDesks rapportering. Ronin-bryggan relanserades sommaren 2022 och ekosystemet är fortfarande aktivt idag. HOGE Wire har tidigare gått igenom Ronin-ekosystemet efter flytten till Ethereum i en separat artikel, liksom nybörjarguiden till spelet Pixels, ett av de mer kända spelen som byggts ovanpå just den infrastrukturen.

Det som gör Ronin-fallet intressant ur ett rent utredningsperspektiv är kombinationen: en myndighetsbekräftad attribution med hög konfidens enligt tabellen ovan, en snabb och tydlig ekonomisk respons, och ett ekosystem som fortfarande existerar flera år senare. Alla tre faktorerna hänger ihop, men det är sällan alla tre infinner sig samtidigt i andra fall.

Verktygen jämförda

De sju aktörstyperna som beskrivits ovan skiljer sig åt på nästan alla punkter utom en: ingen av dem är juridiskt reglerad som utredare på det sätt en revisor eller en polismyndighet är. Tabellen nedan sammanfattar skillnaderna i affärsmodell och roll.

Ingen enskild aktör täcker hela kedjan från larm till slutgiltig, publicerad attribution. Det är en av anledningarna till att de starkaste post-mortemsen, som Bybit-fallet, nästan alltid är resultatet av flera aktörer som arbetar parallellt snarare än en enda “sanning” som levereras uppifrån av en enskild källa.

Regleringsluckan: varför ingen granskar utredarna

MiCA (Markets in Crypto-Assets), EU:s samlade regelverk för kryptotillgångar, reglerar utgivare och leverantörer av kryptotillgångstjänster (CASP), och i Sverige är det Finansinspektionen som ansvarar för registrering och tillsyn. Se Finansinspektionens egen sida om MiCA-förordningen. Men MiCA reglerar företag som tillhandahåller tjänster, inte utredare som i efterhand försöker förklara vad som gick fel. En analysplattform som Chainalysis, en pseudonym person som ZachXBT eller en frivilligorganisation som SEAL 911 faller helt enkelt utanför ramverkets definition av vad som ska tillståndsprövas.

För de företag som väl räknas som CASP finns det faktiskt en reglerad klocka, fast den gäller incidentrapportering till tillsynsmyndigheten, inte kvaliteten på den efterföljande attributionen. Under EU:s operativa motståndskraftsregelverk DORA ska en reglerad aktör lämna en första anmälan inom fyra timmar efter att en incident klassificerats (senast 24 timmar efter upptäckt), en mellanrapport inom 72 timmar och en slutrapport inom en månad. Den typen av tidsram finns inte alls för genuint decentraliserade DeFi-protokoll, vars svarstid är ett rent affärsmässigt val snarare än en juridisk skyldighet.

Samma lucka finns för verkligt decentraliserade DeFi-protokoll som blir hackade. MiCA:s konsumentskydd gäller i första hand mot registrerade CASP:er, inte mot ett protokoll utan en central juridisk person att rikta krav mot. För den typen av offer blir post-mortemen, och kvaliteten på utredningsarbetet bakom den, i praktiken den enda formen av upprättelse som finns, långt innan någon domstol eller myndighet kommer in i bilden. Det finns inte heller någon ackreditering för vem som får kalla sig kryptoforensiker, till skillnad från till exempel revisorer. Resultatet är ett system där kvaliteten på en attribution i praktiken avgörs av marknadens rykte snarare än en formell standard: Chainalysis, TRM Labs och Elliptic konkurrerar om samma myndighetskontrakt och har därför starka skäl att inte missbedöma stora fall offentligt, medan en ny eller mindre aktör inte har samma inbyggda kvalitetskontroll.

Från utredning till offentligt drama

Det är värt att komma ihåg att hela den här branschen till syvende och sist producerar underlag för en genre som kryptobranschen gjort till sin egen: den offentliga obduktionen. Webbplatsen rekt.news har i flera år fungerat som ett slags kollektivt minne för branschen, med en topplista över de största hacken som fungerar nästan som en skampåle. Utredningsarbetet som beskrivits ovan är det material som sedan formar den offentliga berättelsen: vem som får skulden, vem som framstår som transparent, och vem som tystnar helt.

Det skapar ett incitament utredarna själva sällan pratar högt om: en snabb, säker attribution är bra för det drabbade protokollets rykte eftersom det signalerar handlingskraft, men en långsam eller osäker attribution kan se ut som inkompetens även när den egentligen bara speglar att bevisen faktiskt är svagare i det specifika fallet. Läsaren gör klokt i att skilja på de två, i stället för att tolka utredningens tempo som ett mått på hur allvarligt intrånget var.

Vad det betyder för investerare, utvecklare och spelare

Med all den här bakgrunden i åtanke går det att dra ett par praktiska slutsatser för den som faktiskt använder kryptoprotokoll, oavsett om det handlar om DeFi, en börs eller ett spel byggt på en kedja som Ronin eller Arbitrum.

• Läs attributionens källa, inte bara slutsatsen. En rubrik som säger “Nordkorea” kan vila på allt från en myndighetsbekräftad, sanktionerad attribution till en enskild analytikers första magkänsla.
• Bekräftelse från flera oberoende källor, en myndighet plus minst en forensikfirma, är den starkaste signalen som faktiskt går att kontrollera som utomstående.
• För spelprojekt och mindre protokoll är en relation med SEAL 911 eller ett liknande nätverk innan något händer billigare än att improvisera mitt i en pågående attack.
• Bounty-modeller som Safe Harbor och Arkhams Intel Exchange fungerar, men läs alltid vem som faktiskt äger rätten att besluta om en belöning betalas ut och under vilka villkor.
• Ingen svensk eller europeisk myndighet granskar i dagsläget kvaliteten på själva utredningsarbetet, bara de reglerade företagen som råkar sälja verktygen.

För gaming-ekosystem specifikt, som Ronin, Arbitrums Orbit-kedjor eller andra kedjor med spel byggda ovanpå, är mönstret detsamma som i resten av branschen: infrastruktur och nycklar är oftare den svaga länken än själva spelkoden. Det är samma slutsats som HOGE Wire kom fram till i genomgången av varför vissa kryptoprotokoll överlever ett hack och andra dör: kapitalet och kommunikationen efteråt avgör ofta mer för slutresultatet än exakt hur hacket gick till rent tekniskt.

Vanliga frågor

Vad är en post-mortem inom krypto?

En post-mortem är en offentlig rapport som ett protokoll eller en börs publicerar efter en säkerhetsincident. Den beskriver vanligtvis en tidslinje över händelseförloppet, den tekniska grundorsaken, hur mycket som stals och en plan för eventuell ersättning till drabbade användare. Kryptobranschen publicerar den här typen av rapporter mer öppet än de flesta andra finansiella sektorer, delvis eftersom blockkedjedata redan är offentlig och svår att helt dölja.

Vem utreder egentligen ett kryptohack?

Det är sällan en enda aktör. Kommersiella analysföretag som Chainalysis, TRM Labs och Elliptic spårar pengaflöden och säljer underlag till myndigheter. Pseudonyma oberoende utredare som ZachXBT arbetar snabbt och publikt. Realtidsföretag som Blockaid försöker upptäcka attacken medan den pågår, och frivilligorganisationer som SEAL 911 rycker in akut. De starkaste slutsatserna kommer oftast när flera av dessa arbetar parallellt och landar i samma svar oberoende av varandra.

Hur säkert vet man att Nordkorea eller Lazarus-gruppen ligger bakom ett hack?

Det varierar kraftigt från fall till fall. I fall som Bybit-hacket 2025 konvergerade FBI och flera oberoende forensikfirmor på samma slutsats, vilket ger en hög konfidensnivå. I andra fall, som tvisten mellan KelpDAO och LayerZero 2026, är attributionen en enskild parts påstående utan oberoende bekräftelse, vilket bör läsas med betydligt större skepsis.

Vad gör SEAL 911?

SEAL 911 är en frivillig, Telegram-baserad larmcentral driven av Security Alliance, där erfarna säkerhetsforskare kan kopplas ihop med ett drabbat protokoll inom minuter, mitt i en pågående attack. Organisationen driver också Safe Harbor, ett ramverk som på förhand lovar vita hattar en belöning om de returnerar stulna medel snabbt i stället för att behålla dem.

Kan man få tillbaka stulna kryptotillgångar efter ett hack?

Ibland, men det är långt ifrån garanterat. Utfallet beror på faktorer som om protokollet har kapital eller externa investerare som kan täcka förlusten, om angriparen går med på att förhandla i utbyte mot en belöning, och om myndigheter lyckas frysa medlen innan de tvättas genom mixrar eller växlas till andra tillgångar. För verkligt decentraliserade protokoll utan en reglerad motpart finns dessutom inget CASP och ingen myndighet att rikta ett formellt klagomål mot, vilket gör en framgångsrik spårning ännu viktigare för de drabbade.

Skrivet av HOGE Wires redaktion.