{"id":142,"date":"2026-07-09T20:59:23","date_gmt":"2026-07-09T20:59:23","guid":{"rendered":"https:\/\/hoge.gg\/se\/post-mortem-anatomi-kryptohack-guide\/"},"modified":"2026-07-09T20:59:23","modified_gmt":"2026-07-09T20:59:23","slug":"post-mortem-anatomi-kryptohack-guide","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/post-mortem-anatomi-kryptohack-guide\/","title":{"rendered":"S\u00e5 skrivs en post-mortem: anatomin efter ett kryptohack"},"content":{"rendered":"

Vad \u00e4r en protokoll-post-mortem?<\/h2>

Den 22 maj 2025 tog det angriparen bakom Sui-protokollet Cetus mindre \u00e4n 15 minuter att dra ut motsvarande 223 miljoner dollar, drygt 2,1 miljarder kronor, ur en likviditetspool. Det tog Cetus-teamet n\u00e4rmare tre veckor att publicera en fullst\u00e4ndig teknisk redog\u00f6relse f\u00f6r exakt vad som h\u00e4nt. Den tidsskillnaden, mellan katastrofens hastighet och f\u00f6rklaringens l\u00e5ngsamhet, ligger i hj\u00e4rtat av en genre som vuxit fram parallellt med kryptobranschens s\u00e4kerhetsproblem: protokollets post-mortem.<\/p>

En protokoll-post-mortem \u00e4r den skriftliga redog\u00f6relse ett kryptoprojekt publicerar efter en s\u00e4kerhetsincident: vad som h\u00e4nde, varf\u00f6r det kunde h\u00e4nda, hur mycket som f\u00f6rsvann och vad teamet t\u00e4nker g\u00f6ra \u00e5t det. Begreppet \u00e4r h\u00e4mtat rakt av fr\u00e5n medicinens obduktionsrapport och fr\u00e5n mjukvarubranschens incidentuppf\u00f6ljning, den typ av interna granskningar s\u00e4kerhetsteam p\u00e5 f\u00f6retag som Google har skrivit i \u00e5rtionden f\u00f6r att undvika att samma misstag upprepas.<\/p>

Skillnaden i krypto \u00e4r att n\u00e4stan allt redan \u00e4r offentligt. En bank som uts\u00e4tts f\u00f6r ett dataintr\u00e5ng kan h\u00e5lla utredningen intern i m\u00e5nader. Ett DeFi-protokoll vars smarta kontrakt t\u00f6ms p\u00e5 n\u00e5gra minuter granskas ist\u00e4llet i realtid av tusentals anv\u00e4ndare som ser transaktionerna passera p\u00e5 en blockkedjeutforskare l\u00e5ngt innan teamet hunnit formulera ett officiellt uttalande. Post-mortemen blir d\u00e4rf\u00f6r inte bara en teknisk rapport, utan protokollets enda egentliga chans att \u00e5terta kontrollen \u00f6ver sin egen ber\u00e4ttelse.<\/p>

Vi har tidigare skrivit om den bredare kulturen kring detta i Post-mortem-kulturen: kryptobranschens offentliga obduktioner<\/a>. Den h\u00e4r artikeln g\u00e5r ist\u00e4llet in p\u00e5 hur en enskild rapport faktiskt \u00e4r uppbyggd, vad som skiljer en trov\u00e4rdig post-mortem fr\u00e5n ett PR-utspel, och varf\u00f6r s\u00e5 m\u00e5nga protokoll v\u00e4ljer att publicera frivilligt trots att ingen lag tvingar dem.<\/p>

Fr\u00e5n DAO till Trillion Dollar Security: arvet fr\u00e5n 2016<\/h2>

Genren har r\u00f6tter i en enda h\u00e4ndelse: kraschen f\u00f6r The DAO i juni 2016, d\u00e5 en angripare drog ut motsvarande vad som d\u00e5 var runt 50 miljoner dollar ur vad som var den st\u00f6rsta crowdfundingen i kryptohistorien vid det tillf\u00e4llet, och tvingade fram en h\u00e5rd fork som delade kedjan i Ethereum och Ethereum Classic. Det fanns ingen etablerad mall f\u00f6r hur ett decentraliserat projekt skulle f\u00f6rklara sig efter en katastrof av den storleken. Ethereum-communityt fick i praktiken uppfinna formatet under galgen, mitt i en av branschens mest existentiella kriser.<\/p>

Tio \u00e5r senare, i januari 2026, fick historien en ov\u00e4ntad avslutning. Cirka 75 000 ether som aldrig gjorde anspr\u00e5k p\u00e5 efter 2016 \u00e5rs \u00e5terh\u00e4mtning, vilande dels i ett s\u00e5 kallat ExtraBalance-kontrakt (omkring 70 500 ETH), dels i en kuratormultisig (ytterligare 4 600 ETH), omvandlades till TheDAO Security Fund. Fonden v\u00e4rderades till omkring 220 miljoner dollar, n\u00e4ra 2,1 miljarder kronor, vid lanseringen, men hade fallit till n\u00e4rmare 130 miljoner dollar redan i juni samma \u00e5r i takt med att ether-priset sj\u00f6nk mot cirka 1 750 dollar, enligt The Blocks genomg\u00e5ng<\/a>. Sju kuratorer, d\u00e4ribland Ethereum-grundaren Vitalik Buterin och den tidigare MetaMask-s\u00e4kerhetschefen Taylor Monahan, f\u00f6rvaltar fonden, som stakar sitt kapital f\u00f6r att generera omkring 8 miljoner dollar om \u00e5ret i avkastning, \u00f6ronm\u00e4rkt f\u00f6r s\u00e4kerhetsforskning och snabbinsatsteam, i samordning med Ethereum-stiftelsens Trillion Dollar Security-initiativ.<\/p>

Cirkeln \u00e4r talande: branschens f\u00f6rsta riktigt stora hack finansierar nu, ett decennium senare, en del av den infrastruktur som ska f\u00f6rhindra n\u00e4sta. Ethereum Classic, kedjan som aldrig v\u00e4nde tillbaka fr\u00e5n den ursprungliga st\u00f6lden, existerar f\u00f6r \u00f6vrigt fortfarande som en st\u00e4ndig p\u00e5minnelse om att beslutet 2016 aldrig var enh\u00e4lligt, och att fr\u00e5gan om ett n\u00e4tverk b\u00f6r g\u00e5 in och \u00e5ngra en st\u00f6ld fortfarande delar branschen, senast i debatten om Suis validerarfrysning av Cetus-medlen (mer om det nedan).<\/p>

Anatomin: de sju byggstenarna i en trov\u00e4rdig rapport<\/h2>

Varje incident \u00e4r unik, men de mest trov\u00e4rdiga rapporterna, de som fortfarande h\u00e5ller n\u00e4r utomst\u00e5ende s\u00e4kerhetsforskare granskar dem m\u00e5nader senare, delar en gemensam struktur. Efter att ha j\u00e4mf\u00f6rt dussintals rapporter fr\u00e5n det senaste decenniet g\u00e5r det att destillera fram sju \u00e5terkommande byggstenar.<\/p>

Byggsten<\/th>Vad den ska svara p\u00e5<\/th>Exempel fr\u00e5n verkligheten<\/th><\/tr><\/thead>
Tidslinje<\/td>Exakt n\u00e4r f\u00f6rsta transaktionen skedde, n\u00e4r teamet uppt\u00e4ckte den, och n\u00e4r kontrakt pausades eller validerare stoppade trafiken<\/td>Ronin-bryggan uppt\u00e4cktes inte f\u00f6rr\u00e4n sex dagar efter f\u00f6rsta uttaget<\/td><\/tr>
Grundorsak<\/td>Vilken kodrad, vilken nyckel eller vilken m\u00e4nniska som fallerade, och varf\u00f6r befintliga skydd inte f\u00e5ngade det<\/td>En enda felaktig overflow-kontroll i ett delat matematikbibliotek hos Cetus<\/td><\/tr>
Fondfl\u00f6de<\/td>Vilka adresser, broar och mixrar medlen passerade, ofta illustrerat med on-chain-grafer<\/td>Sygnias och Verichains sp\u00e5rning av Bybit-medlen till Lazarus-kontrollerade pl\u00e5nb\u00f6cker<\/td><\/tr>
P\u00e5verkan<\/td>Hur m\u00e5nga anv\u00e4ndare, pooler eller kedjor som drabbades, och den totala ekonomiska skadan<\/td>KelpDAOs wrapped ether som fastnade utspritt \u00f6ver 20 kedjor<\/td><\/tr>
Krisrespons<\/td>Vilka n\u00f6d\u00e5tg\u00e4rder som vidtogs medan bl\u00f6dningen p\u00e5gick: pausade kontrakt, frysta adresser, f\u00f6rhandlingar<\/td>Suis validerare som blockerade angriparens adresser i realtid<\/td><\/tr>
Ers\u00e4ttning<\/td>Hur och n\u00e4r drabbade anv\u00e4ndare f\u00e5r tillbaka v\u00e4rde, samt varifr\u00e5n kapitalet kommer<\/td>Sky Mavis l\u00e5n p\u00e5 150 miljoner dollar fr\u00e5n Binance f\u00f6r att \u00e5terbetala Ronin-anv\u00e4ndare<\/td><\/tr>
F\u00f6rebyggande \u00e5tg\u00e4rder<\/td>Konkreta, verifierbara f\u00f6r\u00e4ndringar: nya revisioner, h\u00f6jda multisig-tr\u00f6sklar, krav p\u00e5 fler verifierare<\/td>LayerZeros krav p\u00e5 flera oberoende verifierare efter Kelp-incidenten<\/td><\/tr><\/tbody><\/table><\/figure>

De sju delarna beh\u00f6ver inte komma i just den ordningen, men en rapport som saknar flera av dem, som exempelvis inte n\u00e4mner ers\u00e4ttning alls eller som beskriver grundorsaken i vaga formuleringar som “en s\u00e5rbarhet uppt\u00e4cktes”, b\u00f6r l\u00e4sas med en h\u00e4lsosam skepsis. Det s\u00e4ger ofta mer om hur mycket teamet faktiskt vet, eller hur mycket de \u00e4r villiga att dela, \u00e4n om sj\u00e4lva incidenten.<\/p>

Tidslinjen som avsl\u00f6jar allt: minuter, timmar, dagar<\/h2>

Om det finns en enskild variabel som avg\u00f6r hur allvarligt en incident betraktas i efterhand \u00e4r det tiden mellan attack och uppt\u00e4ckt, inte bara beloppet som stals. Ronin-bryggan<\/a>, byggd av Sky Mavis f\u00f6r spelet Axie Infinity, f\u00f6rlorade i mars 2022 motsvarande 625 miljoner dollar, drygt 6 miljarder kronor, i ether och USDC efter att fem av nio validernoder komprometterats: fyra kontrollerade direkt av Sky Mavis och en femte via en \u00e5tkomst som Axie DAO gl\u00f6mt \u00e5terkalla efter ett tillf\u00e4lligt samarbete m\u00e5naderna innan. Det som gjorde incidenten extra allvarlig var att den inte uppt\u00e4cktes f\u00f6rr\u00e4n sex dagar senare, n\u00e4r en anv\u00e4ndare rapporterade att hen inte kunde ta ut 5 000 ether, enligt Sky Mavis egen postmortem<\/a>. Sex dagar \u00e4r en evighet i on-chain-termer: angriparen fick gott om tid att flytta medel innan n\u00e5gon ens visste att n\u00e5got var fel.<\/p>

J\u00e4mf\u00f6r det med Drift Protocol, vars angripare planerade i sex m\u00e5nader men genomf\u00f6rde sj\u00e4lva t\u00f6mningen p\u00e5 ungef\u00e4r tolv minuter i april 2026 (mer om den incidenten nedan). Tv\u00e5 helt olika tidslinjer, men b\u00e5da visar samma sak: post-mortemens tidslinjeavsnitt \u00e4r ingen formalitet. Det \u00e4r beviset p\u00e5 om organisationen hade fungerande \u00f6vervakning \u00f6ver huvud taget, och hur l\u00e4nge angriparen i praktiken fick operera ost\u00f6rt.<\/p>

Grundorsaken: kod, nycklar eller m\u00e4nniskor?<\/h2>

S\u00e4kerhetsanalytiker delar vanligen in grundorsaker i tre breda kategorier, och f\u00f6rdelningen mellan dem har skiftat p\u00e5tagligt p\u00e5 senare \u00e5r. Enligt TRM Labs halv\u00e5rsrapport f\u00f6r 2026<\/a> intr\u00e4ffade 207 separata incidenter under \u00e5rets f\u00f6rsta sex m\u00e5nader, en rekordniv\u00e5 i antal, men den sammanlagda f\u00f6rlusten landade p\u00e5 972 miljoner dollar, motsvarande ungef\u00e4r 9,4 miljarder kronor: mindre \u00e4n h\u00e4lften av de 2,3 miljarder dollar som stals under samma period 2025.<\/p>

Det intressanta \u00e4r f\u00f6rdelningen mellan incidenter och belopp. Rena buggar i smarta kontrakt, den typ av fel Cetus f\u00f6ll offer f\u00f6r, stod f\u00f6r 125 av de 207 incidenterna, ungef\u00e4r sex av tio, men bara f\u00f6r en liten andel av det totala dollarv\u00e4rdet. Infrastruktur- och driftskompromisser, i praktiken stulna privata nycklar och seed-fraser, utgjorde bara omkring 15 procent av incidenterna men hela 76 procent av de stulna v\u00e4rdena. Medianf\u00f6rlusten per hack l\u00e5g p\u00e5 219 000 dollar, medan medelv\u00e4rdet drogs upp till 4,7 miljoner dollar av ett f\u00e5tal katastrofalt stora incidenter, vilket visar hur skevt f\u00f6rdelad risken faktiskt \u00e4r.<\/p>

Nordkoreanska akt\u00f6rer, som TRM Labs knyter till ungef\u00e4r 643 miljoner dollar eller 66 procent av det totala v\u00e4rdet som stals under halv\u00e5ret, dominerar just den infrastrukturtunga kategorin. Tv\u00e5 incidenter i april, mot Drift Protocol och KelpDAO, stod tillsammans f\u00f6r 577 av de 643 miljonerna.<\/p>

En tredje kategori, som ofta gl\u00f6ms bort i rubrikerna, \u00e4r ren social ingenj\u00f6rskonst riktad mot m\u00e4nniskorna bakom protokollet snarare \u00e4n mot koden: falska rekryterare, f\u00f6rfalskade identiteter och m\u00e5nader av f\u00f6rtroendeskapande innan en enda transaktion signeras. Drift Protocol-incidenten \u00e4r det tydligaste exemplet fr\u00e5n 2026, och just d\u00e4rf\u00f6r m\u00e5ste en post-mortem beskriva vilken av de tre kategorierna som orsakade incidenten, eftersom \u00e5tg\u00e4rderna som kr\u00e4vs skiljer sig helt \u00e5t: en kodrevision hj\u00e4lper inte mot ett lurat styrelser\u00e5d.<\/p>

F\u00f6rdelningen har praktiska konsekvenser f\u00f6r hur protokoll b\u00f6r investera sina s\u00e4kerhetsbudgetar. Ett team som l\u00e4gger hela budgeten p\u00e5 \u00e4nnu en kodrevision, samtidigt som administrat\u00f6rsnycklar ligger kvar i en vanlig molntj\u00e4nst utan h\u00e5rdvarubaserat skydd, skyddar sig mot den statistiskt mindre vanliga men mer uppm\u00e4rksammade risken. Den faktiska, sannolikhetsviktade f\u00f6rlusten ligger ist\u00e4llet ofta i den kategori som f\u00e5r minst uppm\u00e4rksamhet i marknadsf\u00f6ringen: nyckelhantering, personalens motst\u00e5ndskraft mot social manipulation och interna beh\u00f6righetsprocesser.<\/p>

Att f\u00f6lja pengarna: on-chain-detektiverna<\/h2>

En stor del av det tunga tekniska arbetet i en modern post-mortem g\u00f6rs inte av protokollteamet sj\u00e4lvt, utan av frist\u00e5ende utredningsfirmor som Chainalysis, Elliptic, TRM Labs, CertiK, BlockSec, Sygnia och Verichains. Dessa f\u00f6retag klustrar adresser, sp\u00e5rar medel genom broar och mixrar, och i allt h\u00f6gre grad \u00e4ven genom ordrar p\u00e5 centraliserade b\u00f6rser d\u00e4r angripare f\u00f6rs\u00f6ker v\u00e4xla ut sitt byte till kontanter.<\/p>

Bybit-hacket i februari 2025, d\u00e4r motsvarande 1,4 till 1,5 miljarder dollar i ether f\u00f6rsvann fr\u00e5n en av b\u00f6rsens kalla pl\u00e5nb\u00f6cker (oftast angivet till runt 1,5 miljarder dollar, cirka 14,5 miljarder kronor), \u00e4r ett skolboksexempel p\u00e5 hur det samarbetet ser ut i praktiken. B\u00e5de Sygnias utredning<\/a> och en separat rapport fr\u00e5n Verichains pekade p\u00e5 exakt samma grundorsak: JavaScript-resurser i den AWS S3-hink som levererade gr\u00e4nssnittet f\u00f6r pl\u00e5nboksleverant\u00f6ren Safe hade manipulerats redan tv\u00e5 dagar f\u00f6re den skadliga transaktionen. Koden var utformad f\u00f6r att bara aktiveras n\u00e4r den k\u00e4nde igen Bybits kontraktsadress, och maskerade sedan gr\u00e4nssnittet s\u00e5 att undertecknarna trodde de godk\u00e4nde en helt annan transaktion \u00e4n den som faktiskt skickades. Signeringsenheterna gjorde med andra ord precis vad de skulle. Det var sk\u00e4rmen som lj\u00f6g f\u00f6r dem.<\/p>

Den typen av attack, d\u00e4r h\u00e5rdvaran \u00e4r intakt men displayen \u00e4r manipulerad, \u00e4r precis anledningen till att vi har granskat kalla pl\u00e5nb\u00f6cker p\u00e5 djupet<\/a> separat: en fysisk enhet skyddar mot st\u00f6ld av privata nycklar, men inte mot att man luras att signera fel transaktion med r\u00e4tt nyckel.<\/p>

Bybits medgrundare Ben Zhou valde att m\u00f6ta krisen med \u00f6ppenhet snarare \u00e4n tystnad. Inom 30 minuter efter att intr\u00e5nget uppt\u00e4ckts h\u00f6ll han en lives\u00e4nd fr\u00e5gestund f\u00f6r att svara p\u00e5 anv\u00e4ndarnas fr\u00e5gor, och har sedan dess konsekvent framh\u00e5llit transparens som b\u00f6rsens viktigaste skydd under de kaotiska timmar som f\u00f6ljde, enligt CCN:s genomg\u00e5ng av h\u00e4ndelsef\u00f6rloppet<\/a>. Bybit hann genomf\u00f6ra fem interna och fyra externa s\u00e4kerhetsgranskningar redan i mitten av april samma \u00e5r.<\/p>

N\u00e4r post-mortem blir en tvist: KelpDAO mot LayerZero<\/h2>

Den vanligaste missuppfattningen om post-mortems \u00e4r att de \u00e4r objektiva. I verkligheten skrivs de av parter med starka incitament att placera skulden n\u00e5gon annanstans, vilket dispyten mellan KelpDAO och bryggprotokollet LayerZero under april och maj 2026 visade med \u00f6nskv\u00e4rd tydlighet.<\/p>

Den 18 april 2026 f\u00f6rlorade KelpDAOs rsETH-brygga motsvarande 292 miljoner dollar, n\u00e4stan 2,82 miljarder kronor, i wrapped ether utspritt \u00f6ver 20 olika kedjor. Angriparna, som misst\u00e4nks ha kopplingar till Nordkorea, hade redan den 6 mars f\u00e5tt en LayerZero-utvecklare att av misstag l\u00e4mna ifr\u00e5n sig sessionsnycklar genom social manipulation, och anv\u00e4nde sedan den tillg\u00e5ngen f\u00f6r att mata falska verifieringssignaler till en s\u00e5 kallad DVN-konfiguration (Decentralized Verifier Network) som bara kr\u00e4vde en enda verifierare f\u00f6r att godk\u00e4nna en \u00f6verf\u00f6ring.<\/p>

LayerZeros f\u00f6rsta offentliga redog\u00f6relse lade skulden i praktiken helt p\u00e5 KelpDAO, och beskrev 1-av-1-konfigurationen som ett val Kelp gjort mot f\u00f6retagets uttryckliga rekommendationer. Kelp DAO gick i sin tur ut och bestred den beskrivningen rakt av<\/a>, och h\u00e4vdade att den s\u00e5rbara konfigurationen faktiskt var LayerZeros egen standardinst\u00e4llning, inte en avvikelse Kelp valt p\u00e5 egen hand.<\/p>

Tre veckor senare sv\u00e4ngde LayerZero. I ett uppdaterat inl\u00e4gg medgav f\u00f6retaget att den ursprungliga post-mortemen hade missat k\u00e4rnan i kritiken: “Vi tycker att utvecklare ska v\u00e4lja sina egna s\u00e4kerhetskonfigurationer, men vi gjorde ett misstag genom att l\u00e5ta v\u00e5r DVN agera som en 1-av-1-verifierare f\u00f6r transaktioner av det h\u00e4r v\u00e4rdet. Vi granskade inte vad v\u00e5r DVN faktiskt s\u00e4krade, vilket skapade en risk vi helt enkelt inte s\u00e5g”, skrev f\u00f6retaget i sitt uppdaterade incidentutl\u00e5tande<\/a>.<\/p>

Episoden \u00e4r en bra p\u00e5minnelse om att en post-mortems f\u00f6rsta version s\u00e4llan \u00e4r dess sista, och att l\u00e4sare g\u00f6r klokt i att kontrollera om ett dokument har reviderats innan de drar slutsatser om ansvarsfr\u00e5gan. Kaskadeffekterna var dessutom brutala: obackade tokens fl\u00f6dade in i utl\u00e5ningspooler p\u00e5 flera protokoll, d\u00e5lig skuld spred sig vidare, och \u00f6ver 13 miljarder dollar i totalt l\u00e5st v\u00e4rde f\u00f6rsvann ur ekosystemet p\u00e5 under 48 timmar.<\/p>

T\u00e5lamodets vapen: Drift Protocol och sex m\u00e5naders infiltration<\/h2>

Om KelpDAO-incidenten handlade om en teknisk standardinst\u00e4llning, handlade attacken mot det Solana-baserade derivatprotokollet Drift om ren m\u00e4nsklig infiltration, utstr\u00e4ckt \u00f6ver ett halv\u00e5r.<\/p>

Enligt Drift Protocols egen post-mortem inledde en grupp som utgav sig f\u00f6r att vara ett kvantitativt handelsf\u00f6retag kontakt med teammedlemmar redan h\u00f6sten 2025, vid en stor branschkonferens. Under de f\u00f6ljande sex m\u00e5naderna tr\u00e4ffade individer ur gruppen Drift-medarbetare personligen vid flera event i olika l\u00e4nder, och byggde sakta upp f\u00f6rtroende, enligt Chainalysis genomg\u00e5ng av h\u00e4ndelsen<\/a>.<\/p>

Den 1 april 2026, p\u00e5 sj\u00e4lvaste f\u00f6rsta april, n\u00e5got branschmedia snabbt noterade ironin i, utnyttjade angriparna Solanas funktion f\u00f6r s\u00e5 kallade durable nonces f\u00f6r att f\u00e5 medlemmar av Drifts s\u00e4kerhetsr\u00e5d att, utan att f\u00f6rst\u00e5 det, f\u00f6rhandssignera transaktioner som till slut gav angriparna administrativ kontroll \u00f6ver protokollet. V\u00e4l inne vitlistade de en v\u00e4rdel\u00f6s, konstgjort prissatt token (CVT) som s\u00e4kerhet, satte in 500 miljoner av den, och anv\u00e4nde den konstruerade s\u00e4kerheten f\u00f6r att ta ut riktiga tillg\u00e5ngar som USDC, SOL och ETH till ett v\u00e4rde av 285 miljoner dollar, ungef\u00e4r 2,75 miljarder kronor. Sj\u00e4lva utt\u00f6mningen tog omkring tolv minuter.<\/p>

Fallet illustrerar varf\u00f6r en post-mortem som bara beskriver den tekniska mekaniken, “en f\u00f6rfalskad token vitlistades”, missar po\u00e4ngen. Den egentliga s\u00e5rbarheten var organisatorisk: ett s\u00e4kerhetsr\u00e5d som kunde luras att signera bort kontrollen efter m\u00e5nader av noggrant uppbyggt f\u00f6rtroende. Ingen kodrevision i v\u00e4rlden f\u00e5ngar den typen av risk. Det kr\u00e4vs governance-processer som antar att varje enskild underskrift kan vara komprometterad, oavsett hur betrodd undertecknaren verkar vara.<\/p>

Att frysa pengarna: Cetus och validatorernas dilemma<\/h2>

Den 22 maj 2025 exploaterade en angripare en felaktig overflow-kontroll i checked_shlw, en funktion i ett delat matematikbibliotek (integer-mate) som Sui-baserade Cetus Protocol anv\u00e4nde f\u00f6r sina likviditetsber\u00e4kningar. Genom att ta ett flashl\u00e5n och \u00f6ppna en position med ett extremt smalt tick-intervall fick angriparen protokollet att registrera en position v\u00e4rd en astronomisk m\u00e4ngd likviditet, trots att den faktiska insatsen i praktiken motsvarade en enda enhet. Resultatet: motsvarande 223 miljoner dollar dr\u00e4nerades p\u00e5 under 15 minuter.<\/p>

Det som g\u00f6r Cetus-fallet extra intressant ur ett post-mortem-perspektiv \u00e4r inte bara buggen, utan vad som h\u00e4nde efter\u00e5t. Omkring 60 miljoner dollar hann bryggas ut till Ethereum innan n\u00e5gon reagerade, men resterande 162 miljoner dollar satt fortfarande kvar p\u00e5 Sui. Ist\u00e4llet f\u00f6r att f\u00f6rlita sig p\u00e5 f\u00f6rhandlingar koordinerade Suis validerare ett n\u00f6dingripande och blockerade angriparens adresser direkt i konsensuslagret, vilket i praktiken fr\u00f6s medlen innan de kunde flyttas vidare, enligt CoinDesks rapportering<\/a>.<\/p>

Det l\u00f6ste den akuta krisen men \u00f6ppnade en debatt som fortfarande p\u00e5g\u00e5r i DeFi-kretsar: om validerare kan enas om att blockera specifika adresser n\u00e4r det gynnar offren, vad hindrar dem i teorin fr\u00e5n att g\u00f6ra det av andra sk\u00e4l l\u00e4ngre fram? Cetus bidrog sj\u00e4lva med hela sin kassareserv p\u00e5 7 miljoner dollar och tog ett l\u00e5n p\u00e5 30 miljoner dollar i USDC fr\u00e5n Sui-stiftelsen f\u00f6r att fylla igen h\u00e5len i de drabbade likviditetspoolerna, och kunde \u00e5teruppta driften efter 17 dagars avst\u00e4ngning.<\/p>

Post-mortemen f\u00f6r Cetus \u00e4r d\u00e4rf\u00f6r i praktiken tv\u00e5 dokument i ett: en teknisk redog\u00f6relse f\u00f6r en overflow-bugg av det slag s\u00e4kerhetsgranskare letar efter varje dag, och en oavsiktlig fallstudie i hur mycket makt en “decentraliserad” kedja faktiskt kan mobilisera n\u00e4r tillr\u00e4ckligt mycket st\u00e5r p\u00e5 spel. Det \u00e4r i grunden samma fr\u00e5ga som splittrade Ethereum-communityt 2016, bara i en snabbare och mer koncentrerad form: ska ett n\u00e4tverks regler vara absoluta, eller ska de kunna b\u00f6jas n\u00e4r tillr\u00e4ckligt m\u00e5nga validerare \u00e4r \u00f6verens om att en st\u00f6ld m\u00e5ste r\u00e4ttas till?<\/p>

F\u00f6rhandlingsbordet: n\u00e4r protokollet pratar med hackaren<\/h2>

Ibland \u00e4r den mest effektiva delen av en post-mortem inte en teknisk beskrivning utan en f\u00f6rhandlingshistoria. Den 13 mars 2023 utnyttjade en angripare en enda felaktig kodrad, skriven, granskad och driftsatt redan i juli 2022 f\u00f6r att fixa en helt annan, mindre allvarlig bugg, f\u00f6r att dra ut motsvarande 197 miljoner dollar, n\u00e4ra 1,9 miljarder kronor, ur l\u00e5ngivningsprotokollet Euler Finance.<\/p>

Ist\u00e4llet f\u00f6r att bara jaga angriparen juridiskt valde Euler-teamet, tillsammans med en grupp s\u00e4kerhetsexperter fr\u00e5n branschen, en annan v\u00e4g: direkt kontakt. Den 15 mars gav Euler angriparen ett ultimatum: l\u00e4mna tillbaka 90 procent av medlen, annars offentligg\u00f6rs en bel\u00f6ning p\u00e5 en miljon dollar f\u00f6r information som kan leda till ett gripande. Vad som f\u00f6ljde var veckor av meddelanden fram och tillbaka, d\u00e4r angriparen enligt uppgift bad om urs\u00e4kt f\u00f6r skadan han orsakat, innan han till slut, den 3 april, hade \u00e5terl\u00e4mnat “alla \u00e5tervinningsbara medel”, enligt CoinDesks rapportering<\/a>.<\/p>

Ironin i historien \u00e4r att Euler faktiskt kom ut med mer kapital \u00e4n vad som ursprungligen stals. Eftersom angriparen hade konverterat en stor del av bytet till ether, som steg i pris under de veckor f\u00f6rhandlingen p\u00e5gick, kunde protokollet till slut \u00e5tervinna omkring 240 miljoner dollar: mer \u00e4n de 197 miljoner som f\u00f6rsvann. Efterspelet tog enligt teamet omkring tre m\u00e5nader att reda ut internt, med personalneddragningar och omorganisering, innan arbetet med eftertr\u00e4daren Euler v2 p\u00e5b\u00f6rjades p\u00e5 allvar.<\/p>

F\u00f6rhandlingsgenren fungerar b\u00e4st n\u00e4r angriparen sitter p\u00e5 pseudonyma men sp\u00e5rbara medel utan n\u00e5got realistiskt s\u00e4tt att v\u00e4xla ut dem utan att bli identifierad. Det \u00e4r en helt annan situation \u00e4n till exempel Bybit eller Ronin, d\u00e4r statsanknutna akt\u00f6rer med etablerade tv\u00e4ttningskanaler i praktiken aldrig f\u00f6rhandlar.<\/p>

SEAL Whitehat Safe Harbor: post-mortem som f\u00f6rebyggande kontrakt<\/h2>

Om post-mortemen \u00e4r ber\u00e4ttelsen efter\u00e5t, \u00e4r Security Alliances (SEAL) Whitehat Safe Harbor-avtal ett f\u00f6rs\u00f6k att skriva en del av ber\u00e4ttelsen i f\u00f6rv\u00e4g. Initiativet, som leds av Robert MacWha och Dickson Wu, f\u00f6ddes ur frustrationen efter Nomad-hacket 2022, d\u00e5 mer \u00e4n 190 miljoner dollar, n\u00e4ra 1,83 miljarder kronor, dr\u00e4nerades under loppet av n\u00e5gra timmar medan white hat-hackare som var villiga att hj\u00e4lpa till stod handfallna: de riskerade eget r\u00e4ttsligt ansvar f\u00f6r att “hacka” ett protokoll \u00e4ven i r\u00e4ddande syfte, enligt SEALs egen beskrivning av ramverket<\/a>.<\/p>

Mekaniken \u00e4r enkel. Ett protokoll som antar avtalet definierar i f\u00f6rv\u00e4g vilka kontrakt som omfattas, vilken adress r\u00e4ddade medel ska skickas till, och vilka bel\u00f6ningsvillkor som g\u00e4ller. Standardvillkoren kr\u00e4ver att r\u00e4ddade medel \u00e5terl\u00e4mnas inom 72 timmar, med en bel\u00f6ning p\u00e5 10 procent av det \u00e5tervunna beloppet, som mest en miljon dollar, drygt 9,6 miljoner kronor. I geng\u00e4ld f\u00e5r den som ingriper ett tydligt juridiskt skydd mot att sj\u00e4lva bli \u00e5talade f\u00f6r r\u00e4ddningsinsatsen.<\/p>

Vid det h\u00e4r laget har avtalet f\u00e5tt ett rej\u00e4lt fotf\u00e4ste. 29 protokoll, d\u00e4ribland Uniswap, Aave, Pendle, PancakeSwap, Balancer, Silo Finance och Zksync, har antagit ramverket, med tillg\u00e5ngar v\u00e4rda \u00f6ver 20 miljarder dollar, n\u00e4ra 193 miljarder kronor, skyddade \u00f6ver fler \u00e4n tio olika kedjor. Sammantaget uppger organisationen att white hat-interventioner kopplade till avtalet har r\u00e4ddat anv\u00e4ndarmedel v\u00e4rda \u00f6ver 25 miljarder dollar sedan starten. Flera av de st\u00f6rsta DeFi-protokollen har med andra ord kommit fram till samma slutsats som de flesta post-mortem-skribenter: det \u00e4r billigare att skriva ner spelreglerna innan krisen \u00e4n att improvisera dem medan pengarna rinner ut.<\/p>

Safe Harbor l\u00f6ser f\u00f6rst\u00e5s inte grundorsaken till en attack, men det tar bort en verklig broms: juristen som annars viskar i \u00f6rat p\u00e5 en kompetent s\u00e4kerhetsforskare att inte r\u00f6ra ett komprometterat kontrakt, \u00e4ven n\u00e4r hen vet exakt hur man stoppar bl\u00f6dningen.<\/p>

Varf\u00f6r protokoll publicerar frivilligt, och vad Finansinspektionen faktiskt t\u00e4cker<\/h2>

Det \u00e4r v\u00e4rt att vara tydlig med en sak: inget decentraliserat protokoll \u00e4r juridiskt tvunget att publicera en post-mortem. MiCA-f\u00f6rordningen, EU:s regelverk f\u00f6r kryptotillg\u00e5ngar som blev fullt till\u00e4mpligt f\u00f6r samtliga akt\u00f6rer i unionen den 1 juli 2026, reglerar utgivare av kryptotillg\u00e5ngar och s\u00e5 kallade CASP-f\u00f6retag (Crypto-Asset Service Providers), i praktiken b\u00f6rser, f\u00f6rvarare och andra centraliserade mellanh\u00e4nder. Ett protokoll utan utgivande bolag, utan f\u00f6rvar av kundmedel och utan en tydlig juridisk person bakom sig faller i stor utstr\u00e4ckning utanf\u00f6r det tillsynsansvar som Finansinspektionen<\/a> f\u00e5tt som svensk beh\u00f6rig myndighet under MiCA. J\u00e4mf\u00f6rt med en svensk bank, som enligt lag m\u00e5ste rapportera allvarliga incidenter till Finansinspektionen inom sn\u00e4va tidsramar, lever allts\u00e5 ett DeFi-protokoll i ett regulatoriskt vakuum d\u00e4r offentligg\u00f6rande \u00e4r ett val snarare \u00e4n en skyldighet.<\/p>

Det f\u00f6rklarar varf\u00f6r centraliserade b\u00f6rser som \u00e4r licensierade CASP-bolag, till exempel de som j\u00e4mf\u00f6rs i v\u00e5r genomg\u00e5ng av Coinbase, Binance, Kraken och OKX<\/a>, har en helt annan formell rapporteringsplikt gentemot tillsynsmyndigheter \u00e4n ett DeFi-protokoll som Cetus eller Drift har. En b\u00f6rs som f\u00f6rvarar svenska kunders tillg\u00e5ngar kan tvingas rapportera en incident till FI som en del av sitt tillst\u00e5nd. Ett protokoll utan den strukturen kan i teorin v\u00e4lja att inte s\u00e4ga ett ord, och n\u00e5gra har gjort precis det.<\/p>

S\u00e5 varf\u00f6r publicerar de flesta \u00e4nd\u00e5? Av rent egenintresse. Ett protokolls token, dess totala l\u00e5sta v\u00e4rde och dess community-f\u00f6rtroende \u00e4r i praktiken dess enda kapital. En trov\u00e4rdig, snabb och detaljerad post-mortem, av det slag Sky Mavis och Cetus b\u00e5da till slut levererade, signalerar till anv\u00e4ndare och investerare att teamet f\u00f6rst\u00e5r vad som gick fel och kan f\u00f6rhindra att det upprepas. Tystnad, eller en rapport full av luckor, tolkas n\u00e4stan alltid som det s\u00e4msta t\u00e4nkbara alternativet: antingen inkompetens eller m\u00f6rkl\u00e4ggning. I avsaknad av lagstadgad tillsyn har rykte i praktiken blivit den huvudsakliga regleringsmekanismen f\u00f6r DeFi, och post-mortemen \u00e4r dess viktigaste dokument.<\/p>

Ett decennium i siffror: s\u00e5 l\u00e4ser du en rapport kritiskt<\/h2>

S\u00e4tter man samman de st\u00f6rsta incidenterna fr\u00e5n det senaste decenniet i en tabell blir m\u00f6nstret tydligt: beloppen v\u00e4xer, men s\u00e5 g\u00f6r ocks\u00e5 verktygen och rutinerna f\u00f6r att hantera dem.<\/p>

Incident<\/th>\u00c5r<\/th>Belopp (uppskattat)<\/th>Grundorsak<\/th>Utfall<\/th><\/tr><\/thead>
The DAO<\/td>2016<\/td>~50 miljoner dollar (vid tidpunkten)<\/td>Reentrancy-bugg i smart kontrakt<\/td>H\u00e5rd fork, kedjan delades i Ethereum och Ethereum Classic<\/td><\/tr>
Ronin-bryggan<\/td>2022<\/td>~625 miljoner dollar<\/td>Komprometterade validernycklar<\/td>Anv\u00e4ndare fullt \u00e5terbetalda, validern\u00e4tverket byggdes ut<\/td><\/tr>
Euler Finance<\/td>2023<\/td>~197 miljoner dollar<\/td>Bugg i en enda kodrad<\/td>F\u00f6rhandling, omkring 240 miljoner dollar \u00e5tervunnet<\/td><\/tr>
Bybit<\/td>2025<\/td>~1,5 miljarder dollar<\/td>Manipulerat Safe-gr\u00e4nssnitt via komprometterad S3-hink<\/td>Fullt t\u00e4ckt av Bybits egna reserver<\/td><\/tr>
Cetus<\/td>2025<\/td>~223 miljoner dollar<\/td>Overflow-bugg i delat matematikbibliotek<\/td>Validerarfrysning, 162 miljoner dollar r\u00e4ddat<\/td><\/tr>
Drift Protocol<\/td>2026<\/td>~285 miljoner dollar<\/td>Social ingenj\u00f6rskonst mot s\u00e4kerhetsr\u00e5d<\/td>Utredning och governance-\u00f6versyn p\u00e5g\u00e5r<\/td><\/tr>
KelpDAO<\/td>2026<\/td>~292 miljoner dollar<\/td>Enskild DVN-verifierare i LayerZero-brygga<\/td>\u00d6ppen ansvarstvist, reviderad post-mortem<\/td><\/tr><\/tbody><\/table><\/figure>

Det \u00e4r ocks\u00e5 v\u00e4rt att beh\u00e5lla skepsisen \u00e4ven n\u00e4r statistiken ser uppmuntrande ut p\u00e5 ytan. S\u00e4kerhetsfirman CertiK varnade, efter att ha sammanst\u00e4llt sina egna siffror f\u00f6r f\u00f6rsta halv\u00e5ret 2026 som visade en nedg\u00e5ng p\u00e5 47 procent i stulna belopp j\u00e4mf\u00f6rt med samma period 2025, f\u00f6r att dra f\u00f6r snabba slutsatser: “En rubrik om att f\u00f6rlusterna minskat med n\u00e4stan 50 procent skulle antyda ett betydligt s\u00e4krare ekosystem. Det st\u00f6der inte datan”, konstaterade f\u00f6retaget, och pekade p\u00e5 att nedg\u00e5ngen till stor del berodde p\u00e5 att just Bybit-hacket, branschens dittills st\u00f6rsta enskilda incident, ingick i f\u00f6reg\u00e5ende \u00e5rs j\u00e4mf\u00f6relsesiffror, enligt Cointelegraphs rapportering<\/a>. R\u00e4knar man bort just den eng\u00e5ngsh\u00e4ndelsen var attackerna under 2026 tv\u00e4rtom mer riktade och mer ekonomiskt f\u00f6r\u00f6dande per tillf\u00e4lle, inte mindre.<\/p>

Med de exemplen i bakhuvudet g\u00e5r det att s\u00e4tta ihop en enkel checklista f\u00f6r den som vill bed\u00f6ma om en post-mortem faktiskt h\u00e5ller vad den lovar, snarare \u00e4n att bara vara ett v\u00e4lskrivet PR-utspel:<\/p>