N\u00e4r ett protokoll blir hackat ser de flesta l\u00e4sare bara slutresultatet: en offentlig post-mortem som publiceras dagar eller veckor senare, med tidslinje, grundorsak och ofta en plan f\u00f6r ers\u00e4ttning till drabbade anv\u00e4ndare. Men innan en enda rad av den rapporten \u00e4r skriven har n\u00e5gon redan sp\u00e5rat pengarna genom mixertj\u00e4nster och bryggor, kartlagt angriparens infrastruktur och f\u00f6rs\u00f6kt avg\u00f6ra vem som faktiskt satt bakom tangentbordet. Det \u00e4r det osynliga arbetslagret som g\u00f6r post-mortemen m\u00f6jlig, och det \u00e4r den branschen den h\u00e4r texten handlar om.<\/p>
Till skillnad fr\u00e5n en vanlig brottsutredning finns det ingen enskild myndighet med exklusiv befogenhet i krypto. I st\u00e4llet har ett lappt\u00e4cke av akt\u00f6rer vuxit fram under de senaste \u00e5ren: kommersiella analysf\u00f6retag som s\u00e4ljer verktyg till polis och tull, en pseudonym frilansutredare som ofta \u00e4r snabbare \u00e4n miljardbolagen, realtidsfirmor som f\u00f6rs\u00f6ker stoppa st\u00f6lden medan den p\u00e5g\u00e5r, och en frivillig brandk\u00e5r som rycker ut mitt i en p\u00e5g\u00e5ende attack. Ingen av dem \u00e4r reglerad som utredare i juridisk mening. Varken Finansinspektionen eller EU:s tillsynsstruktur under MiCA st\u00e4ller krav p\u00e5 vilken bevisstandard en kryptoutredning ska h\u00e5lla innan slutsatsen publiceras f\u00f6r allm\u00e4nheten.<\/p>
Det g\u00f6r fr\u00e5gan “hur vet vi det h\u00e4r egentligen?” viktigare \u00e4n den kan verka vid en f\u00f6rsta anblick. En attribution till Nordkorea eller Lazarus-gruppen l\u00e5ter auktoritativ i en rubrik, men k\u00e4llan bakom p\u00e5st\u00e5endet varierar enormt: fr\u00e5n flera oberoende utredningar som sj\u00e4lvst\u00e4ndigt pekar \u00e5t samma h\u00e5ll, till en enskild parts “prelimin\u00e4ra indikatorer” i ett pressmeddelande. Den skillnaden, och vilka akt\u00f6rer som faktiskt g\u00f6r jobbet bakom kulisserna, \u00e4r vad den h\u00e4r artikeln reder ut.<\/p>
Basen i ekosystemet \u00e4r ett f\u00e5tal blockkedjeanalysf\u00f6retag som byggt hela sin aff\u00e4r p\u00e5 att g\u00f6ra det som ser anonymt ut mindre anonymt: att koppla ihop pl\u00e5nboksadresser, f\u00f6lja pengafl\u00f6den genom mixrar och bryggor, och s\u00e4lja resultatet vidare som abonnemangstj\u00e4nster till myndigheter, b\u00f6rser och banker.<\/p>
Chainalysis, grundat 2014, \u00e4r den mest namnkunniga akt\u00f6ren och driver utredningsplattformen Reactor. Enligt f\u00f6retaget sj\u00e4lvt anv\u00e4nds verktyget av \u00f6ver 800 myndigheter i ungef\u00e4r 70 l\u00e4nder<\/a>, allt fr\u00e5n lokal polis till skattemyndigheter och nationella s\u00e4kerhetstj\u00e4nster. Elliptic (grundat 2013) och TRM Labs (grundat 2018) konkurrerar i samma segment, och alla tre s\u00e4ljer i praktiken en liknande grundtj\u00e4nst: en s\u00f6kbar graf \u00f6ver blockkedjetransaktioner med etiketter f\u00f6r k\u00e4nda pl\u00e5nb\u00f6cker, b\u00f6rsers dep\u00e5konton och, i b\u00e4sta fall, redan identifierade hotakt\u00f6rer. Samma verktyg anv\u00e4nds dessutom l\u00f6pande i vanlig regelefterlevnad, som transaktions\u00f6vervakning (KYT, “know your transaction”) hos b\u00f6rser, inte bara i akuta utredningar efter ett hack, vilket \u00e4r en stor del av varf\u00f6r bolagen har r\u00e5d att bygga s\u00e5 pass omfattande databaser.<\/p> Det \u00e4r TRM Labs som producerar en stor del av branschens aggregerade hackstatistik, och siffrorna s\u00e4ger n\u00e5got om varf\u00f6r utredararbetet har blivit sv\u00e5rare snarare \u00e4n enklare med \u00e5ren. Enligt TRM Labs sammanst\u00e4llning f\u00f6r f\u00f6rsta halv\u00e5ret 2026<\/a> drabbades branschen av 207 separata incidenter, ett rekordantal, med en sammanlagd f\u00f6rlust p\u00e5 omkring 972 miljoner dollar (ungef\u00e4r 9,3 miljarder kronor vid en kurs p\u00e5 cirka 9,6 kronor per dollar), mindre \u00e4n h\u00e4lften av samma period 2025. M\u00f6nstret i detaljerna \u00e4r det intressanta f\u00f6r den h\u00e4r artikeln: smart-kontraktsexploateringar stod f\u00f6r 125 av de 207 incidenterna men bara en liten andel av det totala v\u00e4rdet, medan komprometterade nycklar och intern eller operativ s\u00e4kerhet, som en stulen privat nyckel eller en kapad admin-roll, utgjorde ungef\u00e4r 15 procent av incidenterna men hela 76 procent av det stulna v\u00e4rdet. En kodbugg l\u00e4mnar n\u00e4stan alltid ett sp\u00e5r i ett \u00f6ppet k\u00e4llkodsarkiv som g\u00e5r att granska i efterhand. En stulen nyckel eller en socialt manipulerad anst\u00e4lld g\u00f6r s\u00e4llan det, vilket \u00e4r precis den typ av sp\u00e5r forensikbranschen numera l\u00e4gger mest resurser p\u00e5 att hitta.<\/p> Det tydligaste exemplet p\u00e5 hur kommersiella verktyg och myndigheter samverkar i praktiken \u00e4r Bybit-hacket i februari 2025, fortfarande den st\u00f6rsta kryptost\u00f6lden n\u00e5gonsin med omkring 1,5 miljarder dollar (cirka 14,4 miljarder kronor) i stulen ether. FBI attribuerade offentligt intr\u00e5nget till Lazarus-gruppen, internt sp\u00e5rat under kodnamnet TraderTraitor, en slutsats som backades upp av oberoende forensiska rapporter fr\u00e5n b\u00e5de Sygnia<\/a> och Verichains, publicerade inom loppet av n\u00e5gra dagar efter attacken.<\/p> Att en myndighet och tv\u00e5 separata forensikfirmor, oberoende av varandra, landade i samma slutsats \u00e4r precis den typ av konvergens som g\u00f6r en attribution stark i praktiken, till skillnad fr\u00e5n fall d\u00e4r bara en part g\u00f6r anspr\u00e5ket. Bybits vd Ben Zhou valde dessutom en ovanligt transparent linje och publicerade uppdateringar l\u00f6pande under de f\u00f6rsta dygnen. Han sa att b\u00f6rsens svar “prim\u00e4rt handlar om att uppr\u00e4tth\u00e5lla transparens” och att man skulle anv\u00e4nda “transparens och kommunikation f\u00f6r att ta bort tvivel hos v\u00e5ra kunder”, enligt Cryptonews sammanst\u00e4llning av h\u00e4ndelsef\u00f6rloppet<\/a>. Bybit satte ocks\u00e5 upp en bel\u00f6ning p\u00e5 omkring 140 miljoner dollar (ungef\u00e4r 1,34 miljarder kronor), motsvarande fem procent av sp\u00e5rade eller frysta medel, f\u00f6r den som hj\u00e4lpte till att sp\u00e5ra pengarna vidare, i praktiken ett s\u00e4tt att outsourca en del av utredningsarbetet till vem som helst med r\u00e4tt kompetens.<\/p> En av de mest inflytelserika utredarna i hela ekosystemet \u00e4r inte ett f\u00f6retag utan en enda pseudonym person. ZachXBT \u00e4r sj\u00e4lvl\u00e4rd och b\u00f6rjade gr\u00e4va i blockkedjedata efter att sj\u00e4lv ha f\u00f6rlorat motsvarande omkring 15 000 dollar (cirka 144 000 kronor) i en pl\u00e5nbokskapning kopplad till 2017 \u00e5rs ICO-v\u00e5g. Sedan 2021 har personen bakom pseudonymen byggt upp ett track record av att identifiera insiderhandel, rug pulls och statsanknutna hackare, ofta snabbare \u00e4n de stora forensikbolagen med hela avdelningar av analytiker.<\/p> Finansieringen kommer inte fr\u00e5n abonnemangsavtal utan fr\u00e5n donationer, juridiska crowdfunding-kampanjer n\u00e4r utredningarna leder till st\u00e4mningar, bel\u00f6ningar via Arkham Intelligence (mer om det nedan) och en r\u00e5dgivarroll hos handelsplattformen Paradigm. Modellen \u00e4r inte utan kontroverser. I februari 2026 anklagade ZachXBT en anst\u00e4lld p\u00e5 handelsplattformen Axiom f\u00f6r insiderhandel, en anklagelse som sj\u00e4lv v\u00e4ckte fr\u00e5gor om hur f\u00f6rhandsinformation fr\u00e5n p\u00e5g\u00e5ende utredningar sprids och anv\u00e4nds innan den blir offentlig, se CoinDesks rapportering<\/a>.<\/p> Kritiker har pekat p\u00e5 att en pseudonym utredare utan ansvarsskyldighet gentemot n\u00e5gon tillsynsmyndighet i praktiken kan skada ett tokens pris eller ett projekts rykte utan samma pr\u00f6vning som skulle kr\u00e4vas av exempelvis en revisor eller en polisanm\u00e4lan. Ingen lag, varken i Sverige eller inom EU:s MiCA-ramverk, reglerar vem som f\u00e5r kalla sig kryptoutredare eller vilken bevisstandard som g\u00e4ller innan en anklagelse publiceras f\u00f6r hundratusentals f\u00f6ljare.<\/p> Medan Chainalysis, TRM Labs, Elliptic och ZachXBT i huvudsak arbetar i efterhand, sp\u00e5rar pengar som redan runnit, har en yngre kategori av f\u00f6retag byggt verktyg som f\u00f6rs\u00f6ker uppt\u00e4cka attacken medan den fortfarande p\u00e5g\u00e5r. Blockaid, grundat 2022 av tidigare israeliska cybers\u00e4kerhetsveteraner, \u00e4r det mest citerade exemplet fr\u00e5n sommaren 2026.<\/p> Den 22 juli uppt\u00e4ckte Blockaid att Arbitrum-baserade handelsplattformen AFX Trade f\u00f6rlorade omkring 24,15 miljoner dollar (motsvarande cirka 232 miljoner kronor) efter att bryggnycklar komprometterats, med ett f\u00f6rsta larm redan klockan 21.30 UTC samma kv\u00e4ll, enligt CoinDesks rapportering<\/a>. AFX Trade byggdes f\u00f6r \u00f6vrigt p\u00e5 Arbitrum, samma ekosystem som HOGE Wire kartlagt i guiden till Orbit-kedjorna f\u00f6r spel<\/a>, en p\u00e5minnelse om att angripare letar efter svaga punkter oavsett om m\u00e5let \u00e4r en handelsplattform eller ett spelprojekt p\u00e5 samma underliggande infrastruktur.<\/p> Bara en vecka tidigare, den 15 juli, var det \u00e5terigen Blockaid som lade fram mekaniken bakom hacket mot Ostium, en RWA-perpetuals-b\u00f6rs ocks\u00e5 byggd p\u00e5 Arbitrum: en komprometterad privat nyckel hos en oracle-signerare m\u00f6jliggjorde omkring tjugo prismanipulerade handelsloopar och en f\u00f6rlust p\u00e5 mellan ungef\u00e4r 11,86 och 18 miljoner dollar (ungef\u00e4r 114 till 173 miljoner kronor), motsvarande n\u00e4stan 28 procent av protokollets l\u00e5sta v\u00e4rde, trots att Ostium enligt egen utsago genomg\u00e5tt flera s\u00e4kerhetsgranskningar. Se Halborns tekniska genomg\u00e5ng av h\u00e4ndelsen<\/a>. Skillnaden mot en klassisk post-mortem \u00e4r just tidsperspektivet. Blockaids uppgift \u00e4r inte att f\u00f6rklara vad som h\u00e4nde i efterhand, utan att hinna sl\u00e5 larm innan skadan blir total, eller \u00e5tminstone dokumentera exakt vad som h\u00e4nde medan det fortfarande g\u00e5r att agera.<\/p> Ett tredje lager i ekosystemet \u00e4r helt frivilligt. Security Alliance, f\u00f6rkortat SEAL, grundades i februari 2023, delvis som en reaktion p\u00e5 bryggan Nomads kaotiska hack samma \u00e5r, ett fall d\u00e4r hundratals kopior av samma exploatering plundrade protokollet parallellt innan n\u00e5gon organiserad respons hann s\u00e4ttas ihop. Ur den erfarenheten v\u00e4xte SEAL 911 fram: i praktiken en Telegram-baserad larmcentral d\u00e4r granskade vita hattar kan kopplas ihop med ett drabbat team inom minuter, mitt i en p\u00e5g\u00e5ende attack.<\/p> Enligt organisationen sj\u00e4lv har SEAL 911 hanterat \u00f6ver 3 300 \u00e4renden och hj\u00e4lpt till att r\u00e4dda mer \u00e4n 50 miljoner dollar<\/a> (ungef\u00e4r 480 miljoner kronor) sedan starten. Organisationen driver ocks\u00e5 ett separat, juridiskt bindande ramverk, Safe Harbor, som p\u00e5 f\u00f6rhand lovar vita hattar en tioprocentig bel\u00f6ning, upp till 1 miljon dollar (ungef\u00e4r 9,6 miljoner kronor), om de returnerar stulna medel inom 72 timmar efter ett fynd. Tanken \u00e4r att s\u00e4nka tr\u00f6skeln f\u00f6r att g\u00f6ra r\u00e4tt mitt i en stressig situation, d\u00e4r en anonym hackare annars kanske v\u00e4ljer att beh\u00e5lla allt i st\u00e4llet f\u00f6r att f\u00f6rhandla.<\/p> Skillnaden mot b\u00e5de de kommersiella analysf\u00f6retagen och Blockaids automatiserade larm \u00e4r att SEAL 911 i grunden bygger p\u00e5 m\u00e4nniskor: erfarna s\u00e4kerhetsforskare som st\u00e4ller upp obetalt eller mot en eventuell bounty, koordinerade i realtid snarare \u00e4n via ett kommersiellt kontrakt eller en API-integration. Det g\u00f6r modellen sv\u00e5r att skala, men ocks\u00e5 sv\u00e5r att ers\u00e4tta i de f\u00f6rsta kaotiska minuterna av en attack, innan n\u00e5gon forensikfirma ens hunnit \u00f6ppna ett \u00e4rende.<\/p> Arkham Intelligence, grundat 2020 av Miguel Morel, har byggt en mer kontroversiell modell: en \u00f6ppen budgivningsmarknad, Intel Exchange, d\u00e4r vem som helst kan l\u00e4gga en bel\u00f6ning f\u00f6r att identifiera personen bakom en specifik pl\u00e5nboksadress, och vem som helst kan s\u00e4lja information f\u00f6r att samla in den. Modellen kallas ibland “dox-to-earn” och har anv\u00e4nts i flera stora, uppm\u00e4rksammade fall: ett bounty-program kopplat till FTX-konkursen p\u00e5 omkring 415 miljoner dollar (knappt 4 miljarder kronor) i sp\u00e5rade tillg\u00e5ngar, och ett liknande program kring marknadsgaranten Wintermute p\u00e5 runt 160 miljoner dollar (ungef\u00e4r 1,54 miljarder kronor). Se Decrypts granskning av plattformen<\/a>.<\/p> Kritiken handlar om just den \u00f6ppna marknadsmekaniken. N\u00e4r identifiering av en person blir en handelsvara uppst\u00e5r ett ekonomiskt incitament att avsl\u00f6ja identiteter \u00e4ven i gr\u00e4nsfall, l\u00e5ngt bortom de klassiska statsst\u00f6dda hackarna som Lazarus-gruppen. Integritetsf\u00f6respr\u00e5kare har varnat f\u00f6r att modellen normaliserar en form av privat \u00f6vervakning som varken en domstol eller en tillsynsmyndighet godk\u00e4nt i f\u00f6rv\u00e4g, och att den flyttar makten att avg\u00f6ra vem som “f\u00f6rtj\u00e4nar” att avsl\u00f6jas bort fr\u00e5n r\u00e4ttsv\u00e4sendet och till den som r\u00e5kar betala mest.<\/p> Det \u00e4r en sp\u00e4nning som g\u00e5r igen i hela branschen som beskrivs i den h\u00e4r artikeln: samma metoder och verktyg som avsl\u00f6jar en nordkoreansk statsakt\u00f6r bakom ett miljardhack kan i teorin anv\u00e4ndas f\u00f6r att doxa en anonym utvecklare som bara beg\u00e5tt ett misstag, eller en visselbl\u00e5sare som av goda sk\u00e4l vill f\u00f6rbli anonym.<\/p> “Nordkorea” och “Lazarus-gruppen” har blivit n\u00e4rmast reflexm\u00e4ssiga etiketter i kryptobranschens post-mortems, och ofta med goda sk\u00e4l. FBI, det amerikanska finansdepartementets sanktionsavdelning OFAC och flera oberoende forensikfirmor har vid upprepade tillf\u00e4llen konvergerat p\u00e5 samma slutsats i stora fall. Men konfidensniv\u00e5n varierar enormt beroende p\u00e5 hur m\u00e5nga oberoende k\u00e4llor som faktiskt backar upp attributionen, och det \u00e4r s\u00e4llan tydligt f\u00f6r l\u00e4saren vilken niv\u00e5 en given rubrik befinner sig p\u00e5.<\/p> Tabellen nedan st\u00e4ller fyra uppm\u00e4rksammade fall fr\u00e5n 2025 och 2026 mot varandra utifr\u00e5n just det: inte hur stort hacket var, utan hur solid grunden f\u00f6r attributionen faktiskt \u00e4r.<\/p>Reactor, Bybit och myndigheternas verktygsl\u00e5da<\/h2>
Den pseudonyma utredaren: ZachXBT<\/h2>
Realtidsf\u00f6rsvaret: Blockaid och larmen f\u00f6re obduktionen<\/h2>
SEAL 911: den frivilliga brandk\u00e5ren<\/h2>
Arkham Intelligence och “dox-to-earn”<\/h2>
Nordkorea-st\u00e4mpeln: hur s\u00e4ker \u00e4r attributionen egentligen?<\/h2>