Den 15 oktober 2022 gjorde innehavarna av Mango-token n\u00e5got som hade varit ot\u00e4nkbart i n\u00e4stan vilken annan bransch som helst. Bara timmar efter att en ensam trader t\u00f6mt deras derivatb\u00f6rs p\u00e5 \u00f6ver 110 miljoner dollar (drygt en miljard kronor med dagens v\u00e4xelkurs) r\u00f6stade de igenom ett f\u00f6rslag om att l\u00e5ta honom beh\u00e5lla ungef\u00e4r 47 miljoner, mot att han l\u00e4mnade tillbaka resten och mot ett l\u00f6fte: inga polisanm\u00e4lningar, inga frysta konton. Obduktionen var klar, boken st\u00e4ngd, alla kunde g\u00e5 vidare. Arton m\u00e5nader senare satt samma man framf\u00f6r en jury i Manhattan.<\/p>
Kryptobranschen har blivit skickligare \u00e4n n\u00e4stan n\u00e5gon annan sektor p\u00e5 att obducera sina egna katastrofer. En modern post-mortem kan beskriva ett hack ned till blocknumret, namnge den felaktiga kodraden och l\u00e4gga ut hela f\u00f6rloppet minut f\u00f6r minut. Men det finns en fr\u00e5ga som ingen post-mortem kan besvara: vem, om n\u00e5gon, st\u00e4lls till svars i en riktig domstol? Den tekniska obduktionen och den juridiska r\u00e4kenskapen \u00e4r tv\u00e5 olika dokument, skrivna av olika m\u00e4nniskor, i olika tempo, efter olika regler. Den h\u00e4r texten handlar om vad som h\u00e4nder n\u00e4r de krockar, och varf\u00f6r utg\u00e5ngen n\u00e4stan aldrig blir den som obduktionen antyder.<\/p>
En post-mortem \u00e4r en teknisk ber\u00e4ttelse. Den svarar p\u00e5 hur: vilket kontrakt som hade felet, vilken transaktion som utl\u00f6ste det, hur pengarna fl\u00f6dade ut. Den skrivs oftast av de drabbade sj\u00e4lva eller av forensikfirmorna de anlitar, och den publiceras inom timmar eller dagar. Den juridiska r\u00e4kenskapen svarar p\u00e5 n\u00e5got helt annat: vem hade upps\u00e5t, vem hade beh\u00f6righet, vem kan n\u00e5s av en st\u00e4mning. Den skrivs av \u00e5klagare och domare, den tar m\u00e5nader eller \u00e5r, och den bryr sig inte det minsta om hur elegant f\u00f6rklaringen p\u00e5 kedjan s\u00e5g ut.<\/p>
De tv\u00e5 r\u00e4kenskaperna divergerar av en enkel anledning: den ena handlar om kod, den andra om m\u00e4nniskor. Ett smart kontrakt kan inte \u00e5talas. En pseudonym pl\u00e5nboksadress kan inte kallas som vittne. Och n\u00e4r protokollet \u00e4r verkligt decentraliserat finns det ofta ingen motpart alls att v\u00e4nda sig till. Under EU:s regelverk MiCA g\u00e4ller konsumentskyddet leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster, allts\u00e5 b\u00f6rser och f\u00f6rvaringsinstitut, inte autonoma protokoll. En anv\u00e4ndare som f\u00f6rlorar pengar i ett rent DeFi-hack har d\u00e4rf\u00f6r s\u00e4llan n\u00e5gon myndighet att klaga hos, ingen garantifond, ingen ansvarig att st\u00e4mma. I det vakuumet byggde branschen n\u00e5got eget.<\/p>
I fr\u00e5nvaron av domstolar improviserade krypto fram ett privat r\u00e4ttssystem. Det har flera institutioner. Den f\u00f6rsta \u00e4r DAO-omr\u00f6stningen, d\u00e4r tokeninnehavare r\u00f6star om hur ett hack ska l\u00f6sas, ibland \u00e4nda fram till att erbjuda g\u00e4rningsmannen amnesti. Den andra \u00e4r f\u00f6rhandlingen p\u00e5 kedjan, d\u00e4r de drabbade skriver meddelanden direkt till angriparens adress och erbjuder en andel av bytet, en s\u00e5 kallad bounty, i utbyte mot resten. Den tredje \u00e4r whitehat-kulturens formaliserade varianter, som Security Alliances Safe Harbor, ett offentligt och juridiskt bindande erbjudande om att den som \u00e5terl\u00e4mnar medel inom en viss tid f\u00e5r beh\u00e5lla en kapad andel utan \u00e5tal.<\/p>
Po\u00e4ngen med dessa institutioner \u00e4r att de fyller ett tomrum. En kund som blir bestulen p\u00e5 en centraliserad b\u00f6rs kan i teorin v\u00e4nda sig till en tillsynsmyndighet, en domstol eller en ins\u00e4ttningsgaranti. En anv\u00e4ndare som f\u00f6rlorar pengar i ett autonomt l\u00e5neprotokoll har inget av detta. Safe Harbor-modellen f\u00f6rs\u00f6ker g\u00f6ra det b\u00e4sta av l\u00e4get genom att i f\u00f6rv\u00e4g lova en angripare straffrihet och en andel av bytet mot snabb \u00e5terl\u00e4mning, med krav p\u00e5 identitetskontroll s\u00e5 att pengarna inte r\u00e5kar hamna hos en sanktionerad akt\u00f6r. Det \u00e4r inte lag, men det \u00e4r det n\u00e4rmaste ett r\u00e4ttsligt ramverk som en bransch utan eget r\u00e4ttssystem har lyckats bygga.<\/p>
Ibland fungerar det f\u00f6rbluffande v\u00e4l. N\u00e4r utl\u00e5ningsprotokollet Euler f\u00f6rlorade n\u00e4stan 200 miljoner dollar (cirka 1,9 miljarder kronor) i en flash loan-attack i mars 2023 b\u00f6rjade de drabbade f\u00f6rhandla med angriparen rakt p\u00e5 blockkedjan. Efter n\u00e5gra dagar skrev g\u00e4rningsmannen tillbaka: ”No intention of keeping what is not ours”<\/a>, och l\u00e4mnade s\u00e5 gott som allt tillbaka. Ingen d\u00f6mdes, ingen greps, och saken var f\u00f6r de flesta utagerad. Det \u00e4r kryptos r\u00e4ttssystem n\u00e4r det fungerar som b\u00e4st: snabbt, gr\u00e4nsl\u00f6st och utan advokater.<\/p> Problemet \u00e4r att detta system inte har n\u00e5gon makt. En DAO kan r\u00f6sta om vad den vill, men den kan inte binda en \u00e5klagare. Ett bounty-avtal p\u00e5 kedjan \u00e4r inte ett r\u00e4ttsligt f\u00f6rlikningsavtal. Och parollen ”code is law”, tanken att det som koden till\u00e5ter ocks\u00e5 \u00e4r till\u00e5tet, \u00e4r en kulturell h\u00e5llning, inte en juridisk doktrin. Under de senaste tv\u00e5 \u00e5ren har riktiga domstolar b\u00f6rjat p\u00e5minna branschen om skillnaden.<\/p> Fallet Avraham Eisenberg \u00e4r den skarpaste kollisionen hittills. I oktober 2022 satte han in fem miljoner dollar i USDC p\u00e5 Mango Markets, \u00f6ppnade stora positioner i b\u00f6rsens MNGO-perpetualer och k\u00f6pte samtidigt upp MNGO p\u00e5 andra plattformar f\u00f6r att bl\u00e5sa upp priset. Med det uppbl\u00e5sta v\u00e4rdet som s\u00e4kerhet l\u00e5nade han ut \u00f6ver 100 miljoner dollar ur protokollet, som han sedan drog ut. Enligt TRM Labs<\/a> l\u00e4mnade han d\u00e4refter tillbaka 67 miljoner dollar genom just en s\u00e5dan DAO-f\u00f6rhandling, och beh\u00f6ll resten.<\/p> Det avg\u00f6rande var f\u00f6rslaget som Mango-DAO:n r\u00f6stade igenom: Eisenberg skulle f\u00e5 beh\u00e5lla omkring 47 miljoner dollar (cirka 455 miljoner kronor) som en sorts bug bounty, mot att han \u00e5terf\u00f6rde cirka 67 miljoner (cirka 650 miljoner kronor) och mot att innehavarna inte skulle driva n\u00e5gra brottsutredningar eller frysa n\u00e5gra medel. H\u00e4r ser man exakt var det privata r\u00e4ttssystemet sl\u00e5r i taket: en grupp anonyma tokeninnehavare f\u00f6rs\u00f6kte, genom en omr\u00f6stning, utf\u00e4rda n\u00e5got som liknade juridisk immunitet. En s\u00e5dan omr\u00f6stning kan best\u00e4mma vem som styr ett gemensamt f\u00f6rvar, ungef\u00e4r som en multisig eller ett smart konto<\/a> g\u00f6r i en kassa, men den kan inte upph\u00e4va den amerikanska statens \u00e5talsr\u00e4tt.<\/p> K\u00e4rnan i \u00e5talet var om detta var manipulation eller bara aggressiv handel. MNGO var en tunt handlad token, och genom att k\u00f6pa upp den p\u00e5 flera sm\u00e5 marknader kunde Eisenberg tillf\u00e4lligt m\u00e5ngdubbla priset, och d\u00e4rmed det bokf\u00f6rda v\u00e4rdet p\u00e5 sin s\u00e4kerhet, utan att tillf\u00f6ra protokollet n\u00e5gra verkliga tillg\u00e5ngar. F\u00f6rsvaret menade att han bara utnyttjade regler som koden sj\u00e4lv till\u00e4t. \u00c5klagaren och CFTC menade att han medvetet skapade ett falskt pris f\u00f6r att lura ut pengar. Samma handling, tv\u00e5 helt olika ber\u00e4ttelser, och det var just den skiljelinjen juryn och senare domaren fick brottas med.<\/p> Eisenberg medgav senare sj\u00e4lva agerandet men h\u00e4vdade att det var lagligt, en aggressiv men till\u00e5ten handelsstrategi. Juryn h\u00f6ll inte med. I april 2024 f\u00e4lldes han p\u00e5 tre punkter: r\u00e5varubedr\u00e4geri, marknadsmanipulation och wire fraud. Den amerikanska tillsynsmyndigheten CFTC hade dessutom st\u00e4mt honom civilr\u00e4ttsligt<\/a> f\u00f6r samma manipulation. DAO-r\u00f6stens l\u00f6fte om fred var vid det laget inte v\u00e4rt papperet det aldrig skrevs p\u00e5.<\/p> Sedan v\u00e4nde det igen. I maj 2025 upph\u00e4vde domare Arun Subramanian samtliga f\u00e4llande domar<\/a>. Sk\u00e4len \u00e4r v\u00e4rda att l\u00e4sa noga, f\u00f6r de g\u00e5r rakt in i kryptos djupaste r\u00e4ttsfr\u00e5ga. Det f\u00f6rsta var jurisdiktion: Eisenberg utf\u00f6rde sina aff\u00e4rer fr\u00e5n Puerto Rico, och \u00e5klagaren kunde inte visa att brottets v\u00e4sentliga delar beg\u00e5tts i domkretsen s\u00f6dra New York. Ett tekniskt fel, men ett d\u00f6dligt s\u00e5dant.<\/p> Det andra sk\u00e4let var mer principiellt. F\u00f6r att en wire fraud ska f\u00f6religga kr\u00e4vs ett vilseledande, en falsk uppgift som f\u00e5r en motpart att agera. Men Mango Markets hade inga anv\u00e4ndarvillkor som f\u00f6rbj\u00f6d det Eisenberg gjorde, och framf\u00f6r allt: det fanns ingen motpart att vilseleda. Ett automatiserat smart kontrakt kan inte luras. Det g\u00f6r exakt vad koden s\u00e4ger, alltid. Domstolen konstaterade i praktiken att man inte kan ljuga f\u00f6r en maskin som saknar f\u00f6rv\u00e4ntningar. Det \u00e4r den n\u00e4rmaste sak till en juridisk seger f\u00f6r ”code is law” som en amerikansk federal domstol har levererat.<\/p> Men segern \u00e4r smal. Domen sa inte att exploits \u00e4r lagliga. Den sa att just detta bedr\u00e4geri\u00e5tal, i just denna domkrets, inte h\u00f6ll. M\u00e5let \u00e4r heller inte slutgiltigt avgjort: \u00e5klagarsidan har \u00f6verklagat och kan fortfarande driva de punkter som f\u00f6ll p\u00e5 jurisdiktionsfr\u00e5gan, medan de civilr\u00e4ttsliga processerna fr\u00e5n SEC och CFTC ligger vilande i v\u00e4ntan p\u00e5 att brottm\u00e5let avslutas. En trader kan allts\u00e5 b\u00e5de frias och forts\u00e4tta att vara indragen i r\u00e4ttsprocesser i \u00e5ratal. Den tekniska obduktionen var klar 2022. Den juridiska p\u00e5g\u00e5r \u00e4nnu.<\/p> Om Eisenberg \u00e4r exemplet p\u00e5 vad som h\u00e4nder n\u00e4r man beh\u00e5ller pengarna, finns det en lika tydlig, om \u00e4n helt informell, regel f\u00f6r motsatsen. L\u00e4mna tillbaka bytet och h\u00e5ll dig anonym, s\u00e5 tenderar r\u00e4ttssystemet att aldrig komma efter dig. Det tydligaste fallet \u00e4r Poly Network i augusti 2021, d\u00e5 en angripare t\u00f6mde protokollet p\u00e5 svindlande 611 miljoner dollar (n\u00e4stan 6 miljarder kronor), vid tillf\u00e4llet ett av de st\u00f6rsta kryptohacken n\u00e5gonsin. Inom dagar b\u00f6rjade personen l\u00e4mna tillbaka allt. Teamet d\u00f6pte g\u00e4rningsmannen till ”Mr. White Hat”, erbj\u00f6d en bounty p\u00e5 500 000 dollar och till och med en roll som chefss\u00e4kerhetsr\u00e5dgivare<\/a>. Bountyn tackade personen nej till. N\u00e5got \u00e5tal kom aldrig.<\/p> Euler-fallet f\u00f6ljde samma m\u00f6nster: pengarna tillbaka, en f\u00f6rhandlad andel kvar, och tystnad fr\u00e5n r\u00e4ttsv\u00e4sendet. Det som skiljer dessa fall fr\u00e5n Eisenberg \u00e4r inte hackets storlek, Poly Network var m\u00e5ngdubbelt st\u00f6rre, utan tv\u00e5 saker: g\u00e4rningsmannen f\u00f6rblev anonym, och pengarna kom tillbaka. Kombinationen fungerar som en oskriven friskrivning. S\u00e5 l\u00e4nge ingen vet vem du \u00e4r, och s\u00e5 l\u00e4nge de drabbade f\u00e5tt sitt, saknar \u00e5klagare b\u00e5de ett ansikte att \u00e5tala och ett brottsoffer som insisterar. Det \u00e4r en obekv\u00e4m sanning som obduktionerna s\u00e4llan skriver ut: i praktiken \u00e4r \u00e5terl\u00e4mnandet, inte lagen, det som avg\u00f6r de flesta fall.<\/p> Det \u00f6ppnar en obekv\u00e4m juridisk gr\u00e5zon som f\u00e5 post-mortem ber\u00f6r. Att betala en bounty till en angripare kan i praktiken vara att bel\u00f6na ett brott, och om mottagaren r\u00e5kar vara en sanktionerad akt\u00f6r kan sj\u00e4lva utbetalningen bryta mot sanktionsregler. Det \u00e4r just d\u00e4rf\u00f6r de mer seri\u00f6sa amnestiramverken kr\u00e4ver identitetskontroll innan en krona byter h\u00e4nder. Gr\u00e4nsen mellan en laglig bug bounty och en olaglig l\u00f6sensumma \u00e4r h\u00e5rfin, och den avg\u00f6rs inte av koden utan av vem som st\u00e5r i andra \u00e4nden av transaktionen, n\u00e5got de drabbade s\u00e4llan vet i stunden.<\/p> St\u00e4ller man de mest omtalade fallen bredvid varandra framtr\u00e4der ett m\u00f6nster som har mer att g\u00f6ra med identitet och \u00e5terl\u00e4mnade medel \u00e4n med brottets art eller storlek.<\/p>Mango Markets: n\u00e4r en DAO-r\u00f6st m\u00f6tte en jury<\/h2>
”Fel jurisdiktion” och kontraktet som inte kan luras<\/h2>
Att l\u00e4mna tillbaka pengarna: den oskrivna friskrivningen<\/h2>
Samma hack, olika slut i r\u00e4tten<\/h2>