{"id":156,"date":"2026-07-15T21:01:04","date_gmt":"2026-07-15T21:01:04","guid":{"rendered":"https:\/\/hoge.gg\/se\/post-mortem-ursprung-flyg-sre-dora\/"},"modified":"2026-07-15T21:01:04","modified_gmt":"2026-07-15T21:01:04","slug":"post-mortem-ursprung-flyg-sre-dora","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/post-mortem-ursprung-flyg-sre-dora\/","title":{"rendered":"Post-mortemens r\u00f6tter: vad krypto l\u00e5nade fr\u00e5n flyg och Silicon Valley"},"content":{"rendered":"

Fredagen den 11 juli 2026, klockan 20.40 amerikansk \u00f6stkusttid, satte en ok\u00e4nd angripare in 250 SAUCE-token i utl\u00e5ningsprotokollet Bonzo Lend p\u00e5 Hedera-n\u00e4tverket. Elva minuter senare skickade samma adress en prisuppdatering till orakelleverant\u00f6ren Supras verifieringskontrakt, en f\u00f6rfalskad signatur best\u00e5ende enbart av nollor som kontraktet av misstag godk\u00e4nde och som bl\u00e5ste upp SAUCE-kursen med omkring tolv tiopotenser. Fyrtio minuter efter den f\u00f6rsta ins\u00e4ttningen hade Bonzo Lend pausat protokollet. Total value locked hade rasat 77 procent och 9,05 miljoner dollar, drygt 87 miljoner kronor, var borta<\/a>. Inom loppet av ett par dagar hade Supra publicerat grundorsaken, Bonzo hade lagt ut en tidslinje minut f\u00f6r minut, och en andra angripare hade sj\u00e4lvmant identifierat sig som white hat och lovat l\u00e4mna tillbaka ytterligare en miljon dollar den hunnit l\u00e5na innan pausen.<\/p>

Det h\u00e4r m\u00f6nstret, en offentlig obduktion inom timmar eller dagar, \u00e4r numera s\u00e5 etablerat i krypto att det knappt v\u00e4cker uppm\u00e4rksamhet l\u00e4ngre. Men varifr\u00e5n kom id\u00e9n egentligen? Krypto uppfann inte konceptet att offentligt utreda sina egna katastrofer. Branschen l\u00e5nade det, oftast utan att s\u00e4ga det rakt ut, fr\u00e5n flygindustrin, fr\u00e5n sjukv\u00e5rden, och fr\u00e5n ett blogginl\u00e4gg en teknikchef p\u00e5 Etsy skrev 2012. Den h\u00e4r artikeln sp\u00e5rar det sl\u00e4kttr\u00e4det, f\u00f6rklarar varf\u00f6r regelverket ser radikalt annorlunda ut f\u00f6r traditionell finans (EU:s DORA-f\u00f6rordning har fasta klockor, decentraliserad DeFi har noll), och avslutar med en checklista f\u00f6r att l\u00e4sa n\u00e4sta protokolls obduktionsrapport med kritiska \u00f6gon.<\/p>

Vad \u00e4r egentligen en protokoll-post-mortem?<\/h2>

En protokoll-post-mortem \u00e4r en offentlig incidentrapport som ett DeFi-protokoll, en bro eller en b\u00f6rs publicerar efter en hack, en exploit eller en allvarlig bugg. Till skillnad fr\u00e5n en traditionell banks tystnad efter ett dataintr\u00e5ng bygger kryptots version p\u00e5 att blockkedjan redan \u00e4r offentlig: varje transaktion g\u00e5r att sp\u00e5ra f\u00f6r vem som helst, vilket g\u00f6r att hemlighetsmakeri s\u00e4llan fungerar i praktiken. Vi har tidigare g\u00e5tt igenom de sju byggstenarna i en trov\u00e4rdig rapport<\/a> i detalj, s\u00e5 den h\u00e4r artikeln n\u00f6jer sig med k\u00e4rnan: en tidslinje, en teknisk grundorsak, en fullst\u00e4ndig skadeomfattning, en \u00e5tg\u00e4rdsplan och, oftast, ett besked om vem som ers\u00e4tts och hur.<\/p>

Ursprunget till genren i krypto brukar dateras till The DAO-hacket i juni 2016, d\u00e5 en angripare utnyttjade en reentrancy-bugg och drog med sig omkring en tredjedel av fondens inneh\u00e5ll, motsvarande ungef\u00e4r 50 miljoner dollar vid d\u00e5tidens kurs, vilket i sin tur ledde till Ethereums hard fork. Vi och andra har kartlagt den h\u00e4ndelsen och flera liknande fall i detalj tidigare<\/a>, s\u00e5 det som \u00e4r mindre utforskat, och det den h\u00e4r artikeln \u00e4gnar sig \u00e5t, \u00e4r att The DAO inte uppfann formatet. Den l\u00e5nade det, precis som varje protokoll g\u00f6r idag, fr\u00e5n branscher som obducerat sina egna misslyckanden mycket l\u00e4ngre \u00e4n krypto ens funnits.<\/p>

Kontrasten mot vad som h\u00e4nde bara tv\u00e5 \u00e5r tidigare \u00e4r sl\u00e5ende. N\u00e4r b\u00f6rsen Mt. Gox kollapsade i februari 2014 och f\u00f6rlorade merparten av sina kunders bitcoin f\u00f6rsvann bolaget i praktiken in i tystnad i m\u00e5nader, med spekulationer och l\u00e4ckta interna dokument som i princip enda informationsk\u00e4lla f\u00f6r drabbade anv\u00e4ndare. The DAO-hacket 2016 \u00e4r den punkt d\u00e4r kryptobranschen ist\u00e4llet valde motsatt v\u00e4g: fullst\u00e4ndig, snabb och offentlig genomlysning, mitt i krisen, inte m\u00e5nader efter\u00e5t.<\/p>

Ett l\u00e5nat ord: flyghaverikommissionens svarta l\u00e5da<\/h2>

Den amerikanska myndigheten National Transportation Safety Board (NTSB) har utrett civila flygolyckor sedan 1967. Modellen \u00e4r enkel i teorin: ett multidisciplin\u00e4rt team, ett s\u00e5 kallat go-team, rycker ut inom timmar efter en allvarlig olycka, s\u00e4krar flygdataregistratorn och cockpit-r\u00f6stinspelaren, tillsammans k\u00e4nda som den svarta l\u00e5dan trots att den i verkligheten \u00e4r orange, och sammanst\u00e4ller sedan en offentlig rapport med en fastst\u00e4lld sannolik orsak samt konkreta s\u00e4kerhetsrekommendationer.<\/p>

Hela processen tar normalt 12 till 24 m\u00e5nader<\/a>, betydligt l\u00e4ngre \u00e4n krypto n\u00e5gonsin skulle tolerera, men principen att publicera fakta \u00f6ppet, \u00e4ven n\u00e4r slutsatsen \u00e4r obekv\u00e4m f\u00f6r flygbolaget eller tillverkaren, \u00e4r densamma som Bonzo Lend och andra protokoll f\u00f6ljer i dag. Internationellt regleras samma sak av ICAO:s Annex 13, som g\u00f6r haveriutredning till en fr\u00e5ga om s\u00e4kerhet f\u00f6r hela flygsystemet, inte om att hitta en enskild syndabock hos ett specifikt flygbolag.<\/p>

Det \u00e4r ingen slump att just den principen, systemet f\u00f6re individen, \u00e4r den som \u00e5terkommer starkast i kryptots egna rapporter. N\u00e4r Chaos Labs eller Halborn utreder en exploit letar de i f\u00f6rsta hand efter vilken arkitektonisk brist som gjorde attacken m\u00f6jlig, inte efter vilken enskild utvecklare som r\u00e5kade skriva den aktuella raden kod.<\/p>

Blamefri kultur: Google SRE och John Allspaws arv<\/h2>

Den mer direkta f\u00f6rlagan f\u00f6r krypto kommer sannolikt fr\u00e5n mjukvaruindustrin. I maj 2012 publicerade John Allspaw, d\u00e5 teknikchef p\u00e5 Etsy, ett inl\u00e4gg med titeln Blameless PostMortems and a Just Culture<\/a> p\u00e5 f\u00f6retagets utvecklarblogg. Tanken var enkel men kontroversiell f\u00f6r sin tid: straffas en ingenj\u00f6r f\u00f6r ett misstag l\u00e4r sig ingen n\u00e5gonting av det, f\u00f6r n\u00e4sta person g\u00f6mmer i st\u00e4llet sina egna misstag i st\u00e4llet f\u00f6r att rapportera dem \u00f6ppet. En just culture, som Allspaw kallade det, balanserar s\u00e4kerhet mot ansvar genom att utreda de situationsm\u00e4ssiga orsakerna bakom ett fel snarare \u00e4n att jaga en skyldig person.<\/p>

Fyra \u00e5r senare kodifierade Google samma id\u00e9 i kapitel 15 av sin numera klassiska bok om drifts\u00e4kerhet, med rubriken Postmortem Culture: Learning from Failure<\/a>. Google skriver d\u00e4r rakt ut att den blamefria kulturen ursprungligen kommer fr\u00e5n sjukv\u00e5rden och flygindustrin, exakt de tv\u00e5 branscher som redan n\u00e4mnts ovan. Inom n\u00e5gra \u00e5r hade blameless postmortem blivit standardvokabul\u00e4r i hela techbranschen, l\u00e5ngt utanf\u00f6r Googles egna v\u00e4ggar.<\/p>

N\u00e4r krypto sedan byggde sin egen version efter The DAO-hacket \u00e4rvde den b\u00e5de ordet och tankes\u00e4ttet, fast anpassad till en milj\u00f6 d\u00e4r rapporten inte stannar i ett internt wiki utan publiceras f\u00f6r hela v\u00e4rlden, inklusive angriparen sj\u00e4lv. Det \u00e4r ocks\u00e5 d\u00e4r just culture-tanken f\u00e5r en s\u00e4regen kryptovariant: eftersom \u00e4ven angriparens pl\u00e5nbok \u00e4r offentlig och sp\u00e5rbar blir det ibland mer rationellt f\u00f6r ett protokoll att f\u00f6rhandla direkt med tjuven, som n\u00e4r Euler Finance fick tillbaka n\u00e4stan hela sin f\u00f6rlorade summa 2023 efter att angriparen skrivit att den inte hade f\u00f6r avsikt att beh\u00e5lla det som inte var dess, \u00e4n att bara f\u00f6rd\u00f6ma handlingen. Att skilja p\u00e5 system och skuld, k\u00e4rnan i Allspaws ursprungliga id\u00e9, blir bokstavlig n\u00e4r sj\u00e4lva f\u00f6rhandlingen sker i klartext p\u00e5 blockkedjan.<\/p>

Sjukv\u00e5rdens d\u00f6dsfallskonferenser och GDPR:s 72-timmarsregel<\/h2>

Sjukv\u00e5rden har en \u00e4nnu \u00e4ldre tradition: morbiditets- och mortalitetskonferenser, ofta f\u00f6rkortat M&M-konferenser, d\u00e4r ett sjukhus samlar personalen f\u00f6r att g\u00e5 igenom fall d\u00e4r n\u00e5got gick fel, inte i f\u00f6rsta hand f\u00f6r att utse en syndabock utan f\u00f6r att hitta systematiska brister i rutinerna. Principen liknar den Google beskriver, fast praktiken \u00e4r \u00f6ver hundra \u00e5r gammal inom amerikansk och europeisk sjukhusv\u00e5rd. I Sverige finns en delvis lagstadgad motsvarighet i Lex Maria, som tvingar v\u00e5rdgivare att anm\u00e4la allvarliga v\u00e5rdskador till Inspektionen f\u00f6r v\u00e5rd och omsorg.<\/p>

Den mer regelstyrda europeiska motsvarigheten utanf\u00f6r sjukv\u00e5rden \u00e4r GDPR. Artikel 33 kr\u00e4ver att ett f\u00f6retag som drabbas av ett personuppgiftsintr\u00e5ng ska anm\u00e4la det till tillsynsmyndigheten senast 72 timmar efter att man f\u00e5tt k\u00e4nnedom om det<\/a>, om det inte \u00e4r osannolikt att intr\u00e5nget inneb\u00e4r en risk f\u00f6r de drabbades r\u00e4ttigheter.<\/p>

H\u00e4r b\u00f6rjar m\u00f6nstret bryta mot krypto p\u00e5 ett viktigt s\u00e4tt: GDPR \u00e4r lag, med sanktionsavgift f\u00f6r den som struntar i tidsgr\u00e4nsen. Ingen motsvarande skyldighet finns f\u00f6r ett DeFi-protokoll som blir hackat, vilket f\u00f6r oss till den springande punkten i resten av den h\u00e4r artikeln.<\/p>

Vad krypto lade till: en kedja som inte kan ljuga<\/h2>

Det krypto lade till, det ingen av f\u00f6rlagorna ovan hade, \u00e4r sj\u00e4lva beviskedjan. En flygolycka kr\u00e4ver ett expertteam med fysisk tillg\u00e5ng till vrakdelar. En protokollhack l\u00e4mnar i st\u00e4llet hela brottsplatsen offentligt tillg\u00e4nglig i evighet, p\u00e5 en blockkedja vem som helst kan l\u00e4sa. Det g\u00f6r att utomst\u00e5ende utredare, som Chainalysis, TRM Labs eller anonyma detektiver p\u00e5 X, ofta publicerar sin egen analys innan protokollet ens hunnit sl\u00e4ppa sin officiella version. Det skapar ett konkurrenstryck mellan protokollet och internet: v\u00e4ntar teamet f\u00f6r l\u00e4nge med sin rapport hinner ett rykte, eller en felaktig slutsats, sprida sig f\u00f6rst.<\/p>

Bybits vd Ben Zhou drev den logiken till sin spets efter februari 2025-hacket p\u00e5 1,5 miljarder dollar, drygt 14,5 miljarder kronor, den st\u00f6rsta kryptost\u00f6lden n\u00e5gonsin. B\u00f6rsen publicerade Sygnias och Verichains forensiska f\u00f6rhandsrapporter inom loppet av dagar, och Zhou sj\u00e4lv sammanfattade det med att s\u00e4ga att \u201dour response is primarily to maintain transparency\u201d<\/a>, ett syns\u00e4tt som satte en ny norm f\u00f6r hela branschen och som vi g\u00e5tt igenom n\u00e4rmare i kryptobranschens offentliga obduktioner<\/a>.<\/p>

Hastigheten har ocks\u00e5 \u00f6kat dramatiskt \u00f6ver tid, vilket \u00e4r lika talande som sj\u00e4lva rapporterna. Ronin-bron, som vi g\u00e5tt igenom i v\u00e5r guide till Sky Mavis<\/a>, f\u00f6rlorade 625 miljoner dollar i mars 2022, men det tog ungef\u00e4r sex dagar innan n\u00e5gon ens uppt\u00e4ckte att pengarna var borta, efter att en anv\u00e4ndare inte kunde ta ut sina egna medel. Fyra \u00e5r senare, i fallet Bonzo Lend, gick det fyrtio minuter fr\u00e5n f\u00f6rsta ins\u00e4ttning till pausat protokoll. Det \u00e4r den tidsaxeln, snarare \u00e4n enskilda dollarsummor, som b\u00e4st visar hur mycket snabbare hela ekosystemet blivit p\u00e5 att uppt\u00e4cka och offentligg\u00f6ra sina egna misstag.<\/p>

Fyra branscher, fyra s\u00e4tt att hantera ett misslyckande<\/h2>

St\u00e4ller man branscherna sida vid sida framtr\u00e4der ett tydligt m\u00f6nster: krypto \u00e4r den enda som g\u00f6r hela processen b\u00e5de offentlig och frivillig samtidigt. Flyget \u00e4r offentligt men lagstadgat. Mjukvaruindustrin \u00e4r frivillig men oftast intern. Traditionell finans \u00e4r lagstadgad men rapporterar till en myndighet, inte till allm\u00e4nheten.<\/p>

Bransch<\/th>Vem utreder<\/th>Offentlig rapport<\/th>Tidsram<\/th>Konsekvens f\u00f6r den ansvariga<\/th><\/tr><\/thead>
Flygindustrin<\/td>Nationell haverikommission, till exempel NTSB<\/td>Ja, lagstadgat<\/td>12 till 24 m\u00e5nader<\/td>S\u00e4kerhetsrekommendationer, s\u00e4llan straffansvar<\/td><\/tr>
Mjukvara och SRE<\/td>Interna incident-team<\/td>S\u00e4llan i detalj, oftast internt<\/td>Dagar till veckor<\/td>I princip aldrig, kulturen \u00e4r uttalat blamefri<\/td><\/tr>
Sjukv\u00e5rd<\/td>M&M-konferens, ibland Lex Maria-anm\u00e4lan<\/td>S\u00e4llan i detalj offentligt<\/td>Veckor<\/td>Kan leda till tillsyn fr\u00e5n IVO<\/td><\/tr>
Traditionell finans i EU<\/td>F\u00f6retaget sj\u00e4lvt, rapporterar till myndighet<\/td>Nej, rapporten g\u00e5r till myndigheten<\/td>4 timmar, 72 timmar, 1 m\u00e5nad enligt DORA<\/td>Sanktionsavgift vid utebliven rapport<\/td><\/tr>
Krypto och DeFi<\/td>Protokollteamet, ofta med extern forensiker<\/td>Ja, frivilligt, till hela v\u00e4rlden<\/td>Timmar till dagar<\/td>N\u00e4stan ingen, marknaden \u00e4r straffet<\/td><\/tr><\/tbody><\/table><\/figure>

Rad fyra i tabellen ovan f\u00f6rtj\u00e4nar en egen sektion, f\u00f6r den \u00e4r den enda som direkt ber\u00f6r svenska finansbolag, inklusive de som handlar med krypto.<\/p>

DORA: TradFi:s lagstadgade motsvarighet<\/h2>

Digital Operational Resilience Act, f\u00f6rkortat DORA, har g\u00e4llt inom EU sedan den 17 januari 2025. Till skillnad fr\u00e5n GDPR:s 72-timmarsregel, som g\u00e4ller alla f\u00f6retag som hanterar personuppgifter oavsett bransch, \u00e4r DORA specifikt riktad mot finanssektorn: banker, f\u00f6rs\u00e4kringsbolag, v\u00e4rdepappersbolag och, viktigt f\u00f6r den h\u00e4r artikeln, kryptoplattformar. Alla bolag som f\u00e5tt tillst\u00e5nd som CASP, Crypto-Asset Service Provider, under MiCA r\u00e4knas uttryckligen som finansiella entiteter enligt f\u00f6rordningens artikel 2(1)(s).<\/p>

De tekniska standarderna som EU:s tillsynsmyndigheter tagit fram s\u00e4tter h\u00e5rda klockor f\u00f6r vad f\u00f6rordningen kallar en allvarlig IKT-incident: en f\u00f6rsta anm\u00e4lan senast fyra timmar efter att incidenten klassificerats<\/a>, dock aldrig senare \u00e4n 24 timmar efter att den uppt\u00e4ckts, en mellanrapport inom 72 timmar, och en slutrapport inom en m\u00e5nad. Kraven \u00e4r dessutom proportionerliga: en liten svensk kryptom\u00e4klare m\u00f6ter ett enklare ramverk \u00e4n en systemviktig b\u00f6rs, men ingen reglerad akt\u00f6r \u00e4r helt undantagen de grundl\u00e4ggande kraven p\u00e5 IKT-riskhantering, incidentrapportering och kontroll av tredjepartsleverant\u00f6rer.<\/p>

Det \u00e4r i praktiken n\u00e4stan exakt de tidsramar krypto redan frivilligt n\u00e4rmar sig, som vi s\u00e5g med Bonzo Lends fyrtio minuter till paus och Gnosis Pays tv\u00e5 timmar till fastst\u00e4lld grundorsak. Skillnaden \u00e4r att DORA g\u00f6r tidsramarna obligatoriska, med sanktionsavgift som p\u00e5tryckningsmedel, f\u00f6r den del av branschen som faktiskt \u00e4r licensierad. Och det \u00e4r precis d\u00e4r gr\u00e4nsen g\u00e5r.<\/p>

Finansinspektionen och luckan f\u00f6r decentraliserad DeFi<\/h2>

I Sverige \u00e4r Finansinspektionen utsedd beh\u00f6rig myndighet f\u00f6r DORA och har sedan januari 2025 integrerat f\u00f6rordningen i sin l\u00f6pande tillsyn av finansiella entiteter<\/a>, inklusive de kryptob\u00f6rser och f\u00f6rvaringstj\u00e4nster som f\u00e5tt MiCA-tillst\u00e5nd att verka i Sverige.<\/p>

Men h\u00e4r ligger den springande punkten i hela den h\u00e4r artikeln: DORA tr\u00e4ffar bara f\u00f6retag som redan \u00e4r licensierade. Bonzo Lend, Aave, Euler och praktiskt taget varje protokoll som n\u00e4mnts i den h\u00e4r artikelserien \u00e4r inte licensierade av n\u00e5gon myndighet, eftersom de \u00e4r upps\u00e4ttningar smarta kontrakt utan en central juridisk person att utf\u00e4rda ett tillst\u00e5nd till i f\u00f6rsta hand. MiCA undantar uttryckligen fullt decentraliserad DeFi utan mellanhand fr\u00e5n sitt till\u00e4mpningsomr\u00e5de, vilket betyder att varken MiCA:s konsumentskydd eller DORA:s rapporteringsplikt n\u00e5gonsin n\u00e5r fram till dem.<\/p>

Post-mortemen \u00e4r, med andra ord, inte ett komplement till reglering f\u00f6r ett DeFi-protokoll. Den \u00e4r den enda regleringen som finns, helt sj\u00e4lvp\u00e5tagen och utan n\u00e5gon sanktion f\u00f6r den som v\u00e4ljer att strunta i den. En svensk sparare som f\u00f6rlorar pengar i en decentraliserad exploit har ingen Finansinspektion att klaga hos, ingen ins\u00e4ttningsgaranti och inget ombudsmannaf\u00f6rfarande. Det enda som \u00e5terst\u00e5r \u00e4r protokollets egen vilja att ber\u00e4tta vad som h\u00e4nde, och marknadens minne av hur den ber\u00e4ttelsen togs emot.<\/p>

N\u00e4r post-mortemen handlar om ett eget misstag: Aave och CAPO-glappet<\/h2>

De flesta exemplen i den h\u00e4r artikeln handlar om en angripare som utnyttjar en s\u00e5rbarhet. Men n\u00e5gra av de mest l\u00e4rorika post-mortemsen handlar om att protokollet skadar sig sj\u00e4lvt, utan att n\u00e5gon utomst\u00e5ende ens beh\u00f6ver agera.<\/p>

I mars 2026 uppt\u00e4ckte Aave att dess CAPO-mekanism, Correlated Asset Price Oracle, som \u00e4r t\u00e4nkt att skydda mot att en token med ett stabilt v\u00e4rdef\u00f6rh\u00e5llande till en annan (som wstETH mot ETH) priss\u00e4tts fel vid en pl\u00f6tslig kursr\u00f6relse, hade ett internt glapp mellan en sparad \u00f6gonblicksbild och dess tidsst\u00e4mpel. Glappet gjorde att wstETH underv\u00e4rderades med ungef\u00e4r 2,85 procent, vilket i sin tur utl\u00f6ste likvidering av 34 konton till ett v\u00e4rde av omkring 26 till 27 miljoner dollar, motsvarande 250 till 260 miljoner kronor<\/a>, utan att en enda rad skadlig kod var inblandad och utan att protokollet fick n\u00e5gra d\u00e5liga skulder.<\/p>

Chaos Labs, som driver CAPO-verktyget, publicerade grundorsaken i Aaves eget styrningsforum inom loppet av dagar. Grundaren Omer Goldberg lovade offentligt: \u201dEvery affected user will be fully reimbursed\u201d<\/a>, ett l\u00f6fte han sedan f\u00f6ljde upp med en konkret ers\u00e4ttningsplan i styrningsforumet<\/a>.<\/p>

Fallet \u00e4r ett bra motargument mot tanken att en post-mortem bara handlar om att jaga en hackare. Ibland \u00e4r den egna s\u00e4kerhetsmekanismen boven, den som var t\u00e4nkt att skydda anv\u00e4ndarna orsakade i st\u00e4llet f\u00f6rlusten, och det kr\u00e4ver minst lika mycket \u00f6ppenhet att erk\u00e4nna det som det g\u00f6r att peka ut en extern angripare. J\u00e4mf\u00f6r det med hur en traditionell bank hanterar ett internt priss\u00e4ttningsfel: i b\u00e4sta fall en teknisk anm\u00e4rkning i en kvartalsrapport l\u00e5ngt senare, i v\u00e4rsta fall ingenting alls om ingen kund r\u00e5kar fr\u00e5ga. Aaves styrningsforum, d\u00e4r vem som helst kan l\u00e4sa hela utredningen samma dag den publiceras, \u00e4r i sig ett resultat av samma kultur som resten av den h\u00e4r artikeln beskriver, bara till\u00e4mpad p\u00e5 ett misstag utan en enda skyldig utomst\u00e5ende part.<\/p>

F\u00f6rs\u00e4kringen efter obduktionen: Nexus Mutual och Chainproof<\/h2>

Ett sista lager har vuxit fram runt post-mortem-kulturen: f\u00f6rs\u00e4kring. Nexus Mutual, det \u00e4ldsta on-chain-f\u00f6rs\u00e4kringsbolaget, har s\u00e5lt skydd sedan 2019 och betalat ut drygt 18,2 miljoner dollar, cirka 176 miljoner kronor, f\u00f6rdelat p\u00e5 37 skadeanm\u00e4lningar<\/a>, enligt bolagets egen skadedashboard.<\/p>

N\u00e4r DeFi-protokollet Arcadia Finance f\u00f6rlorade cirka 3,5 miljoner dollar, drygt 33 miljoner kronor, i juli 2026 betalade Nexus Mutual, tillsammans med distributionspartnern OpenCover, ut omkring 250 000 dollar, drygt 2,4 miljoner kronor, till drabbade andels\u00e4gare inom loppet av n\u00e5gra veckor efter en obligatorisk karenstid. Det \u00e4r en br\u00e5kdel av totalf\u00f6rlusten f\u00f6r de enskilda drabbade, men det \u00e4r samtidigt mer f\u00f6ruts\u00e4gbart \u00e4n att sitta och v\u00e4nta p\u00e5 att en angripare frivilligt ska \u00e5ngra sig, som i fallet med Euler Finance 2023.<\/p>

Ett nyare bolag, Chainproof, tar en annan v\u00e4g: det \u00e4r byggt som ett reglerat f\u00f6rs\u00e4kringsbolag med traditionellt \u00e5terf\u00f6rs\u00e4kringskapital i botten snarare \u00e4n en on-chain-pool, och lovar att betala ut ers\u00e4ttning inom 14 till 30 arbetsdagar baserat p\u00e5 verifierbar on-chain-data. Att t\u00e4ckningen \u00e4nd\u00e5 f\u00f6rblir liten handlar delvis om kapital: en on-chain-f\u00f6rs\u00e4kringspool m\u00e5ste vara fullt kapitaliserad i f\u00f6rv\u00e4g av andra kryptoanv\u00e4ndare som sj\u00e4lva tar en risk, till skillnad fr\u00e5n en traditionell f\u00f6rs\u00e4kringsj\u00e4tte med tillg\u00e5ng till globala kapitalmarknader och \u00e5terf\u00f6rs\u00e4kring. Det g\u00f6r att den absoluta merparten av alla protokoll som n\u00e4mns i den h\u00e4r artikeln aldrig hade n\u00e5got f\u00f6rs\u00e4kringsskydd att falla tillbaka p\u00e5 \u00f6ver huvud taget.<\/p>

Ingen av modellerna \u00e4r i n\u00e4rheten av att t\u00e4cka de hundratals miljoner dollar som s\u00e4kerhetsfirmor r\u00e4knar som \u00e5rliga f\u00f6rluster i sektorn. Men b\u00e5da \u00e4r ett tecken p\u00e5 att post-mortemen h\u00e5ller p\u00e5 att f\u00e5 ett konkret ekonomiskt efterspel, inte bara en teknisk redog\u00f6relse utan \u00e4ven en handling som kan utl\u00f6sa en faktisk utbetalning.<\/p>

S\u00e5 bed\u00f6mer du en post-mortems trov\u00e4rdighet: sju kontrollpunkter<\/h2>

Inte alla post-mortemsar \u00e4r lika \u00e4rliga. Vissa \u00e4r genomarbetade tekniska redog\u00f6relser som h\u00e5ller f\u00f6r granskning \u00e5r senare. Andra \u00e4r PR-dokument som bara ser ut som teknik. H\u00e4r \u00e4r sju kontrollpunkter att g\u00e5 igenom innan du litar p\u00e5 ett protokolls egen version av vad som h\u00e4nde.<\/p>

Kontrollpunkt<\/th>Vad en trov\u00e4rdig rapport visar<\/th>Varningssignal att se upp f\u00f6r<\/th><\/tr><\/thead>
Tidslinje<\/td>Exakta klockslag, g\u00e4rna kopplade till blocknummer eller transaktionshash<\/td>Vaga formuleringar som tidigt p\u00e5 morgonen<\/td><\/tr>
Grundorsak<\/td>En konkret teknisk f\u00f6rklaring: kodrad, felkonfiguration eller komprometterad nyckel<\/td>Vi utreder fortfarande, veckor efter h\u00e4ndelsen<\/td><\/tr>
Skadeomfattning<\/td>Exakt antal drabbade pl\u00e5nb\u00f6cker och belopp per tillg\u00e5ngsslag<\/td>Ett enda rundat totalbelopp utan uppdelning<\/td><\/tr>
Extern verifiering<\/td>En namngiven, oberoende forensisk firma bekr\u00e4ftar slutsatserna<\/td>Bara protokollets eget team uttalar sig<\/td><\/tr>
\u00c5tg\u00e4rdsplan<\/td>En konkret kodfix, g\u00e4rna kopplad till en genomf\u00f6rd re-audit<\/td>L\u00f6ften om f\u00f6rb\u00e4ttrad s\u00e4kerhet utan detaljer<\/td><\/tr>
Ers\u00e4ttning<\/td>Tydligt besked om vem som f\u00e5r tillbaka pengar och n\u00e4r<\/td>Tystnad om de drabbade anv\u00e4ndarnas situation<\/td><\/tr>
Styrningskonsekvens<\/td>F\u00f6r\u00e4ndrad multisig-tr\u00f6skel, nya signerare, uppdaterade rutiner<\/td>Business as usual inom en vecka<\/td><\/tr><\/tbody><\/table><\/figure>

Ju fler av de sju punkterna en rapport uppfyller, desto st\u00f6rre anledning att lita p\u00e5 den. Ju fler varningssignaler, desto st\u00f6rre anledning att v\u00e4nta p\u00e5 en oberoende bekr\u00e4ftelse innan du drar egna slutsatser.<\/p>

Kritiken: teater eller terapi?<\/h2>

Post-mortem-genren har ocks\u00e5 sina kritiker. N\u00e4r Ethereums nya s\u00e4kerhetsfond, uppbyggd kring 75 000 tidigare outnyttjade ETH fr\u00e5n The DAO-hacket 2016, lanserades i b\u00f6rjan av 2026, f\u00f6rdelade den redan under sin f\u00f6rsta omg\u00e5ng \u00f6ver en miljon dollar i bidrag till 134 s\u00e4kerhetsprojekt. Fonden delar ut ungef\u00e4r \u00e5tta miljoner dollar om \u00e5ret, drygt 77 miljoner kronor, genom sju namngivna kuratorer.<\/p>

Marcin Kazmierczak, medgrundare av orakelleverant\u00f6ren RedStone, pekade p\u00e5 en obekv\u00e4m sanning i sammanhanget. Enligt honom \u201dit doesn’t remove trust, it just moves it\u201d<\/a>. Ist\u00e4llet f\u00f6r att lita p\u00e5 att koden \u00e4r felfri ska anv\u00e4ndarna nu lita p\u00e5 att sju namngivna personer och en f\u00f6rdelningsprocess allokerar pengarna klokt.<\/p>

Samma logik g\u00e5r att applicera p\u00e5 post-mortemen som genre i stort. En v\u00e4lskriven rapport k\u00e4nns betryggande i stunden, men den bevisar i sig inget om att protokollet faktiskt blir s\u00e4krare n\u00e4sta g\u00e5ng. Flera protokoll har genom \u00e5ren publicerat n\u00e4rap\u00e5 identiska l\u00f6ften om f\u00f6rb\u00e4ttrad s\u00e4kerhetsarkitektur efter upprepade incidenter, utan att n\u00e5gon oberoende part sedan kontrollerar om l\u00f6ftet faktiskt h\u00e5lls \u00f6ver tid. S\u00e5 l\u00e4nge marknaden bel\u00f6nar en snabb och v\u00e4lskriven obduktion n\u00e4stan lika mycket som den bestraffar den faktiska s\u00e5rbarheten som orsakade den, finns risken att formatet gradvis optimeras f\u00f6r att se bra ut snarare \u00e4n att p\u00e5 allvar f\u00f6rhindra n\u00e4sta Bonzo Lend.<\/p>

Det betyder inte att hela genren \u00e4r cynisk. De protokoll som konsekvent levererar detaljerade, snabba och sj\u00e4lvkritiska rapporter, \u00e5r efter \u00e5r, bygger p\u00e5 sikt ett rykte som \u00e4r sv\u00e5rt att fejka en enda g\u00e5ng. Skillnaden mellan teater och terapi handlar i slut\u00e4nden om m\u00f6nster \u00f6ver tid, inte om en enskild rapports formuleringar.<\/p>

Vart \u00e4r genren p\u00e5 v\u00e4g?<\/h2>

N\u00e5gra svaga signaler pekar \u00e4nd\u00e5 mot en form av standardisering. Security Alliance publicerar redan gemensamma ramverk, b\u00e5de f\u00f6r multisigs\u00e4kerhet och f\u00f6r sin Whitehat Safe Harbor, en mall f\u00f6r hur en f\u00f6rhandling med en angripare b\u00f6r g\u00e5 till f\u00f6r att r\u00e4knas som legitim snarare \u00e4n utpressning. Forensiska firmor som Halborn, Chaos Labs och Sygnia dyker upp som \u00e5terkommande, namngivna avs\u00e4ndare i allt fler rapporter, vilket sakta bygger n\u00e5got som liknar en oberoende revisionsbransch runt hela post-mortem-formatet.<\/p>

EU har samtidigt signalerat att MiCA:s n\u00e4sta fas, tidigast v\u00e4ntad 2027 till 2028, kan komma att ber\u00f6ra delar av decentraliserad finans som i dag st\u00e5r helt utanf\u00f6r regelverket. Om s\u00e5 sker vore det f\u00f6rsta g\u00e5ngen en lagstiftare p\u00e5 allvar n\u00e4rmar sig det som Bonzo Lend, Aave och hundratals andra protokoll redan g\u00f6r helt frivilligt varje m\u00e5nad.<\/p>

Tills dess \u00e4r den b\u00e4sta garantin fortfarande inbyggd i genren sj\u00e4lv: en blockkedja som inte gl\u00f6mmer n\u00e5gonting, och en l\u00e4sekrets som med tiden blivit tillr\u00e4ckligt van vid formatet f\u00f6r att se skillnaden mellan en genomarbetad utredning och ett hastigt sammansatt PR-utskick. Den skillnaden, mer \u00e4n n\u00e5gon enskild lag, \u00e4r det som i slut\u00e4nden avg\u00f6r om n\u00e4sta protokolls post-mortem g\u00e5r att lita p\u00e5.<\/p>

Vanliga fr\u00e5gor om post-mortems och reglering<\/h2>

Vad \u00e4r en post-mortem inom krypto?<\/h3>

En post-mortem \u00e4r en offentlig rapport som ett protokoll, en b\u00f6rs eller en bro publicerar efter en hack, en exploit eller en allvarlig bugg. Den beskriver normalt vad som h\u00e4nde i tidsordning, vilken teknisk brist som utnyttjades, hur mycket som f\u00f6rlorades och vilka \u00e5tg\u00e4rder som vidtas f\u00f6r att det inte ska upprepas. Formatet \u00e4r frivilligt, men har blivit s\u00e5 pass etablerat i krypto att ett protokoll som tiger helt efter en incident sticker ut negativt.<\/p>

\u00c4r protokoll juridiskt skyldiga att publicera en post-mortem efter en hack?<\/h3>

Nej, inte om protokollet \u00e4r fullt decentraliserat. MiCA undantar DeFi utan en central mellanhand, och Digital Operational Resilience Act, DORA, som tvingar reglerade finansbolag att rapportera allvarliga IT-incidenter inom best\u00e4mda tidsramar, g\u00e4ller bara f\u00f6retag som redan har ett tillst\u00e5nd att f\u00f6rlora, till exempel en b\u00f6rs med CASP-licens. Ett protokoll som Bonzo Lend eller Aave har ingen tillsynsmyndighet som kan kr\u00e4va en rapport, vilket g\u00f6r att hela praxisen bygger p\u00e5 sj\u00e4lvreglering och grupptryck snarare \u00e4n lag.<\/p>

Vad \u00e4r skillnaden mellan en post-mortem och en s\u00e4kerhetsrevision?<\/h3>

En revision, eller audit, sker f\u00f6re en incident och letar proaktivt efter s\u00e5rbarheter i koden innan den lanseras eller uppdateras. En post-mortem skrivs efter en incident och f\u00f6rklarar vad som redan g\u00e5tt fel. Ett protokoll kan allts\u00e5 ha genomg\u00e5tt flera revisioner och \u00e4nd\u00e5 drabbas av en hack, om revisionen missade en s\u00e5rbarhet eller om koden \u00e4ndrades efter granskningen. De tv\u00e5 dokumenten kompletterar varandra men svarar p\u00e5 olika fr\u00e5gor: en revision fr\u00e5gar vad som kan g\u00e5 fel, en post-mortem fr\u00e5gar vad som gick fel och varf\u00f6r det missades.<\/p>

Hur snabbt brukar protokoll publicera en post-mortem efter en hack?<\/h3>

Det varierar kraftigt. De starkaste exemplen, som Gnosis Pay och Bonzo Lend, har identifierat grundorsaken inom ett par timmar och publicerat en fullst\u00e4ndig rapport inom n\u00e5gra dagar. Andra fall drar ut p\u00e5 flera veckor, s\u00e4rskilt n\u00e4r flera parter \u00e4r oense om skuldfr\u00e5gan. Som j\u00e4mf\u00f6relse ger EU:s DORA-f\u00f6rordning reglerade finansbolag fyra timmar f\u00f6r en f\u00f6rsta anm\u00e4lan och en m\u00e5nad f\u00f6r en slutrapport, tidsramar som de snabbaste kryptoprotokollen redan frivilligt sl\u00e5r med god marginal.<\/p>

Kan jag lita p\u00e5 ett protokolls egen post-mortem-rapport?<\/h3>

Var k\u00e4llkritisk. Leta efter en detaljerad tidslinje, en konkret teknisk grundorsak, en fullst\u00e4ndig skadeomfattning och helst en namngiven extern forensisk firma som bekr\u00e4ftar slutsatserna. Var mer skeptisk om rapporten \u00e4r vag om orsaken, undviker att n\u00e4mna hur m\u00e5nga anv\u00e4ndare som drabbades, eller stannar vid allm\u00e4nna l\u00f6ften om f\u00f6rb\u00e4ttrad s\u00e4kerhet utan konkreta \u00e5tg\u00e4rder. En post-mortem skriven av protokollet sj\u00e4lvt \u00e4r alltid en part i m\u00e5let, inte en oberoende domare.<\/p>