{"id":271,"date":"2026-08-20T21:00:32","date_gmt":"2026-08-20T21:00:32","guid":{"rendered":"https:\/\/hoge.gg\/se\/vem-betalar-notan-kryptoprotokoll-hack-2026\/"},"modified":"2026-08-20T21:00:32","modified_gmt":"2026-08-20T21:00:32","slug":"vem-betalar-notan-kryptoprotokoll-hack-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/vem-betalar-notan-kryptoprotokoll-hack-2026\/","title":{"rendered":"Vem betalar notan n\u00e4r ett kryptoprotokoll t\u00f6ms?"},"content":{"rendered":"

N\u00e4r betalkortsf\u00f6retaget Gnosis Pay t\u00f6mdes sommaren 2026 blev obduktionen en l\u00e4roboksversion av genren: en tidslinje p\u00e5 minuten, en grundorsak som var kartlagd p\u00e5 ett par timmar, en signaturvalideringsbugg som legat vilande i infrastrukturen sedan 2023. \u00c4nd\u00e5 f\u00f6rlorade kunderna ingenting. Bolaget tog hela sm\u00e4llen \u00f6ver sin egen balansr\u00e4kning och gjorde varenda drabbad pl\u00e5nbok hel igen, samtliga 5 281 av dem, inom n\u00e5gra dagar (Crypto Times<\/a>).<\/p>

N\u00e4r bryggprotokollet Multichain kollapsade 2023 skrevs ingen obduktion alls, av ett sk\u00e4l som \u00e4r sv\u00e5rt att argumentera emot: det fanns inget team kvar som kunde skriva den. Vd:n hade gripits av kinesisk polis, runt 265 miljoner dollar (motsvarande cirka 2,5 miljarder kronor) hade l\u00e4mnat protokollet, och anv\u00e4ndarna f\u00f6rlorade i praktiken allt (CoinDesk<\/a>).<\/p>

Tv\u00e5 hack, tv\u00e5 helt olika utfall f\u00f6r dem som faktiskt hade pengar i systemet, och skillnaden hade ingenting med obduktionens kvalitet att g\u00f6ra. Po\u00e4ngen \u00e4r att obduktionen och notan \u00e4r tv\u00e5 skilda dokument. En bra post-mortem svarar utm\u00e4rkt p\u00e5 tv\u00e5 av de klassiska fr\u00e5gorna, vad som h\u00e4nde och varf\u00f6r. Om den tredje fr\u00e5gan, vem som betalar, s\u00e4ger den n\u00e4stan ingenting. Den h\u00e4r texten handlar om den tredje fr\u00e5gan: ekonomin i f\u00f6rlusten efter att obduktionen \u00e4r publicerad. (Dollarbelopp r\u00e4knas genomg\u00e5ende om till kronor med en kurs p\u00e5 ungef\u00e4r 9,5 kronor per dollar, kursen i mitten av augusti 2026, och avrundas, se Exchange Rates UK<\/a>.)<\/p>

Obduktionen svarar p\u00e5 vad, inte p\u00e5 vem som betalar<\/h2>

En protokoll-post-mortem \u00e4r i grunden en teknisk ber\u00e4ttelse. Den beskriver angreppsvektorn, den felande kodraden eller den l\u00e4ckta nyckeln, tidslinjen fr\u00e5n f\u00f6rsta transaktionen till att larmet gick, och de \u00e5tg\u00e4rder teamet vidtog. Den b\u00e4sta varianten av genren l\u00e5nar sin form fr\u00e5n Google SRE-traditionens skuldfria obduktion och fr\u00e5n flygets haverirapporter, d\u00e4r fokus ligger p\u00e5 systemet och inte p\u00e5 syndabocken. Allt detta g\u00f6r post-mortem till kryptobranschens kanske \u00e4rligaste dokumentform.<\/p>

Men det finns en fr\u00e5ga som n\u00e4stan aldrig f\u00e5r ett lika tydligt svar, och det \u00e4r den enda fr\u00e5ga som spelar roll f\u00f6r den som hade pengar i systemet: kommer jag att f\u00e5 tillbaka mina pengar, och i s\u00e5 fall fr\u00e5n vem? Vem som pekas ut som skyldig \u00e4r en retorisk strid i sig, ofta utk\u00e4mpad mellan protokollets och angriparens versioner av samma h\u00e4ndelse, n\u00e5got vi behandlat separat i genomg\u00e5ngen av hur dubbla obduktioner f\u00f6rdelar skulden<\/a>. Betalningsfr\u00e5gan \u00e4r n\u00e5got annat. Den avg\u00f6rs inte av hur v\u00e4lskriven obduktionen \u00e4r, utan av var pengarna fanns, vem som r\u00e5kade ha en kassa, och om det \u00f6ver huvud taget finns en ansvarig part kvar att v\u00e4nda sig till.<\/p>

Skillnaden \u00e4r inte akademisk. I traditionell finans \u00e4r svaret p\u00e5 vem som betalar oftast inskrivet i lag innan n\u00e5got g\u00e5r fel. I krypto avg\u00f6rs det i efterhand, fr\u00e5n fall till fall, och utfallen sp\u00e4nner fr\u00e5n full ers\u00e4ttning inom ett dygn till noll kronor och ett blogginl\u00e4gg som enda tr\u00f6st.<\/p>

Det g\u00f6r betalningsfr\u00e5gan till kryptos mest oj\u00e4mlika lotteri. Tv\u00e5 anv\u00e4ndare kan drabbas av tekniskt sett identiska angrepp, en l\u00e4ckt nyckel h\u00e4r, en l\u00e4ckt nyckel d\u00e4r, och den ena f\u00e5r allt tillbaka inom ett dygn medan den andra aldrig ser en krona igen. Skillnaden avg\u00f6rs inte av hur f\u00f6rsiktig anv\u00e4ndaren var, utan av strukturen bakom protokollet: om det finns en kassa, en investerare, en DAO eller en angripare som g\u00e5r att f\u00f6rhandla med. F\u00f6r att f\u00f6rst\u00e5 sitt eget skydd m\u00e5ste man d\u00e4rf\u00f6r l\u00e4sa protokollets balansr\u00e4kning och styrning lika noga som dess s\u00e4kerhetsl\u00f6ften.<\/p>

Fem s\u00e4tt att b\u00e4ra en miljardf\u00f6rlust<\/h2>

G\u00e5r man igenom de senaste \u00e5rens stora incidenter framtr\u00e4der ungef\u00e4r fem \u00e5terkommande s\u00e4tt att f\u00f6rdela en f\u00f6rlust, plus ett sj\u00e4tte som egentligen \u00e4r fr\u00e5nvaron av alla de andra. De \u00e4r inte \u00f6msesidigt uteslutande; ett enskilt hack kan kombinera flera, till exempel en investerarrunda plus en DAO-omr\u00f6stning. Men som mentala fack \u00e4r de anv\u00e4ndbara.<\/p>

Betalningss\u00e4tt<\/th>Vem skjuter till pengarna<\/th>Hur snabbt<\/th>Typisk t\u00e4ckning<\/th>Exempel<\/th><\/tr><\/thead>
Egen kassa<\/td>Protokollet eller bolaget sj\u00e4lvt<\/td>Dagar till veckor<\/td>Upp till 100 procent<\/td>Gnosis Pay, Bybit<\/td><\/tr>
R\u00e4ddning fr\u00e5n investerare<\/td>En riskkapitalist eller ett moderbolag<\/td>Timmar till dygn<\/td>Upp till 100 procent<\/td>Wormhole, Ronin<\/td><\/tr>
F\u00f6rhandling p\u00e5 kedjan<\/td>Angriparen, mot en andel<\/td>Timmar till dagar<\/td>Ofta 90 till 100 procent<\/td>Euler, Poly Network, GMX<\/td><\/tr>
DAO-omr\u00f6stning<\/td>Tokeninnehavare via protokollets kassa<\/td>Veckor<\/td>Delvis<\/td>Curve, Mango Markets<\/td><\/tr>
On-chain-f\u00f6rs\u00e4kring<\/td>Premiebetalare i en gemensam pool<\/td>Tv\u00e5 till fyra veckor<\/td>Liten i f\u00f6rh\u00e5llande till f\u00f6rlusterna<\/td>Nexus Mutual, OpenCover<\/td><\/tr>
Ingen<\/td>Ingen ansvarig part finns<\/td>Aldrig<\/td>N\u00e4ra noll<\/td>Multichain, Coldcard<\/td><\/tr><\/tbody><\/table><\/figure>

Notera vad som saknas i tabellen: en myndighet, en garantifond, en domstol som per automatik d\u00f6mer ut ers\u00e4ttning. Alla fem betalningss\u00e4tten \u00e4r frivilliga eller marknadsbaserade. Det \u00e4r sj\u00e4lva po\u00e4ngen med den kultur som post-mortem-genren tillh\u00f6r: n\u00e4r det inte finns n\u00e5gon formell regressr\u00e4tt blir obduktionen, hittel\u00f6nen och DAO-omr\u00f6stningen den enda uppr\u00e4ttelse som st\u00e5r till buds. Vi g\u00e5r igenom facken ett i taget.<\/p>

N\u00e4r bolaget tar sm\u00e4llen ur egen kassa<\/h2>

Det renaste utfallet, sett fr\u00e5n kundens stol, \u00e4r att bolaget bakom tj\u00e4nsten helt enkelt betalar. Gnosis Pay-fallet \u00e4r m\u00f6nsterexemplet i liten skala: cirka 1,5 miljoner dollar (omkring 14 miljoner kronor) drogs ut ur kortinfrastrukturen via en signaturvalideringsbugg, och bolaget absorberade hela beloppet s\u00e5 att kunderna inte f\u00f6rlorade en krona (crypto.news<\/a>).<\/p>

I den absoluta toppen av skalan finns Bybit. I februari 2025 t\u00f6mdes b\u00f6rsen p\u00e5 omkring 1,5 miljarder dollar (cirka 14 miljarder kronor) i det som \u00e4r kryptohistoriens st\u00f6rsta st\u00f6ld, inte via ett kontraktsfel utan via ett manipulerat signeringsgr\u00e4nssnitt som fick personalen att godk\u00e4nna en illasinnad transaktion. Det \u00e4r en p\u00e5minnelse om varf\u00f6r skillnaden mellan clear signing och blind signering har blivit en s\u00e4kerhetsfr\u00e5ga i egen r\u00e4tt, ett tema vi g\u00e5r p\u00e5 djupet med i guiden till signerings-UX och blind signering<\/a>. Bybit var solvent och t\u00e4ckte samtliga kunder ur egen kassa och via l\u00e5n. Vd:n Ben Zhou gjorde radikal transparens till strategi och f\u00f6rklarade att bolagets svar i f\u00f6rsta hand handlade om att uppr\u00e4tth\u00e5lla \u00f6ppenhet, och att kommunikation var verktyget f\u00f6r att skingra kundernas tvivel (Cryptonews<\/a>).<\/p>

Modellen fungerar bara s\u00e5 l\u00e4nge det finns en balansr\u00e4kning som \u00e4r st\u00f6rre \u00e4n h\u00e5let. En centraliserad b\u00f6rs eller ett v\u00e4lfinansierat bolag klarar det; ett litet DeFi-team med en tunn kassa g\u00f6r det inte. Det \u00e4r d\u00e4rf\u00f6r samma sorts fel kan sluta i full ers\u00e4ttning i ett fall och total f\u00f6rlust i ett annat, utan att obduktionerna beh\u00f6ver skilja sig n\u00e4mnv\u00e4rt \u00e5t.<\/p>

N\u00e4r en riskkapitalist t\u00e4pper till h\u00e5let<\/h2>

Ibland kommer pengarna inte fr\u00e5n driftbolaget utan fr\u00e5n en investerare eller ett moderbolag med starkt intresse av att projektet \u00f6verlever. Det tydligaste exemplet \u00e4r Wormhole. N\u00e4r bryggan mellan Solana och Ethereum f\u00f6rlorade 320 miljoner dollar (omkring 3 miljarder kronor) i februari 2022 genom ett fel i signaturverifieringen fyllde handelsfirman Jump Crypto p\u00e5 hela beloppet inom ungef\u00e4r ett dygn, f\u00f6r att h\u00e5lla bryggan solvent (Fortune<\/a>). Ett \u00e5r senare lyckades Jump och Oasis dessutom, via ett domstolsbeslut i England, tvinga tillbaka ytterligare 225 miljoner dollar fr\u00e5n angriparens \u00f6ppna positioner (Cointelegraph<\/a>).<\/p>

Ronin, spelkedjan bakom Axie Infinity, \u00e4r det andra skolboksfallet. Efter att komprometterade validatornycklar dr\u00e4nerat bryggan p\u00e5 625 miljoner dollar (n\u00e4stan 6 miljarder kronor) reste utvecklaren Sky Mavis 150 miljoner dollar i en runda ledd av Binance och fyllde tillsammans med den egna kassan p\u00e5 bryggan igen, varefter anv\u00e4ndarna gjordes hela. Historien om f\u00f6retaget, hacket och pengarna bakom Ronin<\/a> \u00e4r i sig en fallstudie i hur en r\u00e4ddning finansieras. Aleksander Larsen, medgrundare och operativ chef p\u00e5 Sky Mavis, var uttrycklig med prioriteringen och sa att bolaget var fullt engagerat i att ers\u00e4tta sina spelare s\u00e5 snart som m\u00f6jligt (CoinDesk<\/a>).<\/p>

Den gemensamma n\u00e4mnaren \u00e4r att n\u00e5gon med djupa fickor bed\u00f6mer att protokollets framtida v\u00e4rde \u00e4r st\u00f6rre \u00e4n kostnaden f\u00f6r att r\u00e4dda det. Det \u00e4r en aff\u00e4rskalkyl, inte en r\u00e4ttighet. En anv\u00e4ndare kan inte kr\u00e4va en s\u00e5dan r\u00e4ddning; hen kan bara hoppas att kalkylen r\u00e5kar falla ut till hens f\u00f6rdel.<\/p>

F\u00f6rhandlingen som sker p\u00e5 blockkedjan<\/h2>

Ett av kryptos mest s\u00e4rpr\u00e4glade bidrag till genren \u00e4r att offret och angriparen kan f\u00f6rhandla i realtid, offentligt, direkt i transaktionernas meddelandef\u00e4lt. Ritualen har ett tydligt manus: teamet erbjuder en white hat-hittel\u00f6n, ofta runt tio procent, i utbyte mot att resten skickas tillbaka, och lovar att inte driva r\u00e4ttsliga anspr\u00e5k om pengarna kommer \u00e5ter.<\/p>

Euler Finance blev genrens referensfall. Efter en flash loan-attack i mars 2023 som kostade omkring 197 miljoner dollar (cirka 1,9 miljarder kronor) erbj\u00f6d teamet angriparen tio procent i hittel\u00f6n. Efter dagar av publika meddelanden p\u00e5 kedjan skickade angriparen tillbaka s\u00e5 gott som allt, med den numera bevingade repliken p\u00e5 kedjan: ”No intention of keeping what is not ours” (The Block<\/a>). Poly Network gick \u00e4nnu l\u00e4ngre: efter att ha l\u00e4nsats p\u00e5 svindlande 611 miljoner dollar (n\u00e4stan 6 miljarder kronor) 2021 l\u00e4mnade angriparen tillbaka i princip allt och tackade nej till b\u00e5de en halv miljon dollar i hittel\u00f6n och ett erbjudande om att bli protokollets s\u00e4kerhetsr\u00e5dgivare (Cointelegraph<\/a>).<\/p>

\u00c4ven derivatb\u00f6rsen GMX \u00e5terfick sina cirka 42 miljoner dollar (omkring 400 miljoner kronor) sommaren 2025 efter att ha erbjudit en hittel\u00f6n p\u00e5 5 miljoner dollar (CoinDesk<\/a>). F\u00f6rhandlingsmodellen har en obekv\u00e4m baksida: den fungerar bara mot en angripare som g\u00e5r att n\u00e5 och som har n\u00e5got att vinna p\u00e5 att f\u00f6rbli anonym snarare \u00e4n att tv\u00e4tta pengarna. Mot en statsunderst\u00f6dd grupp som Nordkoreas Lazarus, som stod bakom en stor del av 2026 \u00e5rs f\u00f6rluster, finns ingen motpart att f\u00f6rhandla med; n\u00e4r KelpDAO f\u00f6rlorade omkring 292 miljoner dollar (cirka 2,8 miljarder kronor) i april 2026 fanns inget meddelandef\u00e4lt att svara i (CoinDesk<\/a>).<\/p>

Ritualen har ocks\u00e5 en juridisk gr\u00e5zon som s\u00e4llan syns i obduktionen. Att kalla en angripare f\u00f6r white hat efter att pengarna kommit tillbaka \u00e4r en efterhandskonstruktion; personen br\u00f6t sig \u00e4nd\u00e5 in, och en hittel\u00f6n kan i praktiken se ut som en l\u00f6sensumma. Flera av de mest k\u00e4nda \u00e5terl\u00e4mningsfallen har senare hamnat i utredning, oavsett hur v\u00e4nskaplig f\u00f6rhandlingen var p\u00e5 kedjan, eftersom en uppg\u00f6relse mellan offer och angripare inte binder \u00e5klagaren. F\u00f6r protokollet \u00e4r on-chain-f\u00f6rhandlingen \u00e4nd\u00e5 ofta den snabbaste v\u00e4gen tillbaka till pengarna, och snabbhet v\u00e4ger tungt n\u00e4r varje timme inneb\u00e4r att medel tv\u00e4ttas vidare och blir sv\u00e5rare att sp\u00e5ra.<\/p>

N\u00e4r en DAO r\u00f6star om din ers\u00e4ttning<\/h2>

I protokoll som styrs av en DAO kan ers\u00e4ttningen bli en omr\u00f6stningsfr\u00e5ga. Tokeninnehavarna beslutar, ofta med protokollets egen kassa som finansiering, om och hur de drabbade ska h\u00e5llas skadesl\u00f6sa. Curve Finance anv\u00e4nde modellen efter att en bugg i Vyper-kompilatorn 2023 kostat mellan 50 och 70 miljoner dollar (i storleksordningen en halv miljard kronor): styret r\u00f6stade igenom en ers\u00e4ttningsplan p\u00e5 n\u00e4stan 71,8 miljoner CRV, och en av angriparna l\u00e4mnade dessutom frivilligt tillbaka drygt 12 miljoner dollar (Chainalysis<\/a>).<\/p>

Men DAO-modellen kan ocks\u00e5 producera utfall som ser ut som rena f\u00f6rhandlingar med en angripare. I Mango Markets-fallet 2022, d\u00e4r Avraham Eisenberg manipulerat priset p\u00e5 MNGO-perpen och dr\u00e4nerat protokollet p\u00e5 \u00f6ver 110 miljoner dollar (drygt 1 miljard kronor), r\u00f6stade DAO:n f\u00f6r att l\u00e5ta honom beh\u00e5lla omkring 47 miljoner dollar mot att han skickade tillbaka resten och att inga anm\u00e4lningar skulle g\u00f6ras (TRM Labs<\/a>). Att MNGO-token senare avnoterades och att protokollet vecklades ihop visar hur en DAO-r\u00f6st kan l\u00f6sa den akuta notan men inte r\u00e4dda projektet p\u00e5 sikt, ett scenario som liknar det vi beskrivit i genomg\u00e5ngen av vad som h\u00e4nder vid en avnotering p\u00e5 kryptob\u00f6rsen<\/a>.<\/p>

En DAO-omr\u00f6stning har dessutom en gr\u00e4ns som blev tydlig f\u00f6rst i efterhand: den binder inte r\u00e4ttsv\u00e4sendet. Eisenberg \u00e5talades och d\u00f6mdes trots DAO-uppg\u00f6relsen, \u00e4ven om domen l\u00e5ngt senare revs upp p\u00e5 andra grunder. Det en tokeninnehavarmajoritet beslutar \u00e4r en intern f\u00f6rdelning, inte ett juridiskt vattent\u00e4tt frik\u00e4nnande.<\/p>

Kryptots egna f\u00f6rs\u00e4kringsbolag<\/h2>

Det finns en marknad som f\u00f6rs\u00f6ker g\u00f6ra betalningsfr\u00e5gan f\u00f6ruts\u00e4gbar i f\u00f6rv\u00e4g: on-chain-f\u00f6rs\u00e4kring. Nexus Mutual, den st\u00f6rsta akt\u00f6ren, har enligt egna uppgifter skyddat \u00f6ver 6 miljarder dollar (motsvarande \u00f6ver 55 miljarder kronor) i digitala tillg\u00e5ngar sedan 2019 (Nexus Mutual<\/a>) och rankas av DefiLlama som det st\u00f6rsta f\u00f6rs\u00e4kringsprotokollet m\u00e4tt i l\u00e5st v\u00e4rde, med drygt 100 miljoner dollar i poolen (DefiLlama<\/a>). Modellen liknar ett \u00f6msesidigt bolag: medlemmar betalar premier in i en gemensam pool, och ers\u00e4ttning betalas ut efter att ett anspr\u00e5k godk\u00e4nts. Nyare akt\u00f6rer som Quantstamp-st\u00f6dda Chainproof marknadsf\u00f6r utbetalningar inom tv\u00e5 till fyra veckor baserat p\u00e5 data p\u00e5 kedjan.<\/p>

Problemet \u00e4r proportionerna. De faktiska utbetalningarna \u00e4r sm\u00e5 i f\u00f6rh\u00e5llande till sektorns samlade f\u00f6rluster. Under 2026 r\u00f6rde det sig om utbetalningar i storleksordningen hundratusentals dollar f\u00f6r enskilda incidenter, d\u00e4r Nexus Mutual och OpenCover tillsammans betalade omkring en kvarts miljon dollar efter Arcadia Finance-exploiten, samtidigt som enskilda hack samma \u00e5r kostade hundratals miljoner (Reinsurance News<\/a>). F\u00f6rs\u00e4kring t\u00e4cker allts\u00e5 en verklig men liten del av risken, och bara f\u00f6r dem som aktivt tecknat den i f\u00f6rv\u00e4g.<\/p>

Varf\u00f6r tecknar d\u00e5 inte fler t\u00e4ckning, om skyddet \u00e4nd\u00e5 finns? Dels kostar premierna, inte s\u00e4llan flera procent av det f\u00f6rs\u00e4krade beloppet per \u00e5r, vilket \u00e4ter direkt av avkastningen i en redan riskabel position. Dels \u00e4r poolernas kapital begr\u00e4nsat: ett enda stort hack skulle kunna t\u00f6mma en stor del av branschens samlade f\u00f6rs\u00e4kringskapital, vilket s\u00e4tter ett tak f\u00f6r hur mycket risk systemet realistiskt kan b\u00e4ra. Och dels \u00e4r villkoren fulla av undantag, d\u00e4r just den sortens fel som faktiskt intr\u00e4ffar, en komprometterad nyckel eller ett socialt manipulerat team, ofta ligger i gr\u00e4nslandet f\u00f6r vad som t\u00e4cks. On-chain-f\u00f6rs\u00e4kring \u00e4r d\u00e4rf\u00f6r i dag mer ett komplement f\u00f6r sofistikerade akt\u00f6rer \u00e4n ett skyddsn\u00e4t f\u00f6r den vanliga anv\u00e4ndaren.<\/p>

F\u00f6r en vanlig svensk sparare \u00e4r det v\u00e4rt att f\u00f6rst\u00e5 vad detta faktiskt \u00e4r: inte en myndighetsgaranti, utan en frivillig, marknadsprissatt produkt med egna undantag i de finstilta villkoren. Den som inte k\u00f6pt t\u00e4ckning st\u00e5r utanf\u00f6r, precis som i den fysiska f\u00f6rs\u00e4kringsv\u00e4rlden.<\/p>

Bug bounty: att betala i f\u00f6rv\u00e4g f\u00f6r att slippa notan<\/h2>

Det billigaste s\u00e4ttet att betala f\u00f6r ett hack \u00e4r att betala f\u00f6r att det aldrig ska ske. Bug bounty-program v\u00e4nder p\u00e5 ekonomin: i st\u00e4llet f\u00f6r att ers\u00e4tta offer i efterhand betalar protokollet en white hat-forskare f\u00f6r att rapportera s\u00e5rbarheten innan n\u00e5gon hinner utnyttja den. Plattformen Immunefi har gjort detta till en marknad, och de st\u00f6rsta programmens bel\u00f6ningspooler \u00e4r i dag i m\u00e5ngmiljonklassen; Uniswaps v4-program har en pool p\u00e5 15,5 miljoner dollar (omkring 150 miljoner kronor). Den st\u00f6rsta enskilda utbetalningen i genrens historia \u00e4r fortfarande de 10 miljoner dollar (cirka 95 miljoner kronor) som forskaren satya0x fick f\u00f6r ett fynd i Wormhole 2022 (The Block<\/a>).<\/p>

Marknaden konsoliderades under 2026 n\u00e4r t\u00e4vlingsplattformen Code4rena lade ner och Immunefi tog \u00f6ver dess program och forskare. Kvar st\u00e5r en enkel men obekv\u00e4m sanning: en hittel\u00f6n p\u00e5 n\u00e5gra hundra tusen dollar \u00e4r n\u00e4stan alltid billigare \u00e4n en obduktion om ett niosiffrigt hack. Att fler protokoll numera behandlar bounty-budgeten som en l\u00f6pande driftskostnad snarare \u00e4n en marknadsf\u00f6ringspost \u00e4r kanske det tydligaste tecknet p\u00e5 att branschen internaliserat l\u00e4rdomen.<\/p>

Men bug bounty flyttar bara notan, den avskaffar den inte. Bel\u00f6ningen betalas av protokollets kassa, allts\u00e5 ytterst av tokeninnehavarna eller av bolaget, och den t\u00e4cker per definition bara de s\u00e5rbarheter som n\u00e5gon faktiskt hittar och v\u00e4ljer att rapportera i st\u00e4llet f\u00f6r att utnyttja.<\/p>

Den m\u00f6rkaste raden i tabellen: ingen betalar<\/h2>

S\u00e5 finns det fall d\u00e4r svaret p\u00e5 vem som betalar helt enkelt \u00e4r: ingen. Det \u00e4r den m\u00f6rkaste raden i varje j\u00e4mf\u00f6relsetabell, och den \u00e4r vanligare \u00e4n branschens uppbyggliga \u00e5terl\u00e4mningshistorier l\u00e5ter p\u00e5skina. Multichain \u00e4r arketypen: n\u00e4r runt 265 miljoner dollar (cirka 2,5 miljarder kronor) l\u00e4mnade protokollet 2023 fanns snart inget team kvar, eftersom vd:n hade gripits, ingen kassa, och d\u00e4rmed ingen obduktion och ingen ers\u00e4ttning.<\/p>

Coldcard-incidenten 2026 visar en annan variant av samma problem. En svag slumptalsgenerator i firmware, vilande i \u00f6ver fem \u00e5r, l\u00e4t angripare rekonstruera privata nycklar, och mer \u00e4n 130 miljoner dollar (\u00f6ver 1,2 miljarder kronor) f\u00f6rsvann fr\u00e5n h\u00e5rdvarupl\u00e5nb\u00f6cker (TechCrunch<\/a>). H\u00e4r fanns ingen DAO, ingen token, ingen kassa och ingen enskild angripare att f\u00f6rhandla med, utan flera oberoende grupper som kappl\u00f6pte om samma s\u00e5rbara adresser. Tillverkaren var alldeles f\u00f6r liten f\u00f6r att backa upp en f\u00f6rlust av den storleken, och en firmware-uppdatering \u00e5terst\u00e4ller inte en nyckel som redan genererats os\u00e4kert; varje drabbad anv\u00e4ndare m\u00e5ste sj\u00e4lv skapa en ny nyckel och flytta sina medel, en p\u00e5minnelse om varf\u00f6r valet av enhet och rutin i v\u00e5r testguide f\u00f6r h\u00e5rdvarupl\u00e5nb\u00f6cker<\/a> \u00e4r mer \u00e4n en teknikalitet. Notan hamnade i sin helhet hos anv\u00e4ndarna.<\/p>

Till samma kategori h\u00f6r flertalet rug pulls och exit-bedr\u00e4gerier, d\u00e4r det aldrig fanns n\u00e5gon avsikt att g\u00f6ra anv\u00e4ndarna hela. I dessa fall \u00e4r obduktionen inte ett steg mot ers\u00e4ttning, utan bokstavligen det enda offret f\u00e5r: en f\u00f6rklaring, inte en \u00e5terbetalning.<\/p>

Nio hack, nio notor: vem stod f\u00f6r f\u00f6rlusten?<\/h2>

Tabellen nedan sammanfattar m\u00f6nstret. Den mest sl\u00e5ende kolumnen \u00e4r den sista: om kunderna gjordes hela eller inte h\u00e4nger mindre p\u00e5 hur avancerat angreppet var och mer p\u00e5 vem som r\u00e5kade st\u00e5 bakom protokollet. En centraliserad b\u00f6rs eller ett kapitalstarkt bolag kunde betala; ett litet, ledarl\u00f6st eller \u00f6vergivet protokoll kunde det inte.<\/p>

Fall<\/th>\u00c5r<\/th>F\u00f6rlust (cirka)<\/th>Typ av fel<\/th>Vem betalade<\/th>Kunder helt ersatta?<\/th><\/tr><\/thead>
Gnosis Pay<\/td>2026<\/td>1,5 mn USD (14 mn kr)<\/td>Signaturvalidering<\/td>Bolagets kassa<\/td>Ja<\/td><\/tr>
Bybit<\/td>2025<\/td>1,5 mdr USD (14 mdr kr)<\/td>Manipulerat signeringsgr\u00e4nssnitt<\/td>B\u00f6rsen (solvent)<\/td>Ja<\/td><\/tr>
Wormhole<\/td>2022<\/td>320 mn USD (3 mdr kr)<\/td>Signaturverifiering<\/td>Jump Crypto (investerare)<\/td>Ja<\/td><\/tr>
Ronin<\/td>2022<\/td>625 mn USD (5,9 mdr kr)<\/td>Komprometterade validatornycklar<\/td>Sky Mavis och Binance-runda<\/td>Ja<\/td><\/tr>
Euler<\/td>2023<\/td>197 mn USD (1,9 mdr kr)<\/td>Flash loan<\/td>Angriparen (\u00e5terl\u00e4mnade)<\/td>Ja<\/td><\/tr>
Curve<\/td>2023<\/td>50 till 70 mn USD (0,5 mdr kr)<\/td>Vyper-kompilatorbugg<\/td>DAO och delvis angripare<\/td>Delvis<\/td><\/tr>
Mango Markets<\/td>2022<\/td>110 mn USD (1 mdr kr)<\/td>Oraklermanipulation<\/td>DAO-omr\u00f6stning<\/td>Delvis<\/td><\/tr>
Multichain<\/td>2023<\/td>265 mn USD (2,5 mdr kr)<\/td>Insider eller kollaps<\/td>Ingen<\/td>Nej<\/td><\/tr>
Coldcard<\/td>2026<\/td>130 mn USD (1,2 mdr kr)<\/td>Svag slumpgenerator (RNG)<\/td>Ingen<\/td>Nej<\/td><\/tr><\/tbody><\/table><\/figure>

Beloppen \u00e4r avrundade; flera av f\u00f6rlustsiffrorna varierar mellan k\u00e4llor beroende p\u00e5 hur man r\u00e4knar netto mot brutto, och kronbeloppen bygger p\u00e5 kursen omkring 9,5 kronor per dollar. M\u00f6nstret h\u00e5ller \u00e4nd\u00e5: de fyra fallen med full ers\u00e4ttning hade alla en solvent motpart, medan de tv\u00e5 fallen d\u00e4r notan landade hos anv\u00e4ndarna saknade en s\u00e5dan helt.<\/p>

Vad ett svenskt sparkonto har som DeFi saknar<\/h2>

F\u00f6r att f\u00f6rst\u00e5 hur ovanlig kryptos betalningsordning \u00e4r r\u00e4cker det att j\u00e4mf\u00f6ra med ett vanligt svenskt bankkonto. Pengar p\u00e5 ett konto hos ett institut som omfattas av den statliga ins\u00e4ttningsgarantin \u00e4r skyddade upp till ett maxbelopp som fr\u00e5n och med den 1 januari 2026 h\u00f6jdes fr\u00e5n 1 050 000 till 1 150 000 kronor per person och institut, en f\u00f6r\u00e4ndring som Riksg\u00e4lden genomf\u00f6rde som del av den obligatoriska fem\u00e5rsomr\u00e4kningen f\u00f6r l\u00e4nder utanf\u00f6r eurozonen (Riksg\u00e4lden<\/a>). G\u00e5r banken omkull f\u00e5r spararen sina pengar tillbaka, oftast inom n\u00e5gra arbetsdagar, utan att beh\u00f6va f\u00f6rhandla med n\u00e5gon.<\/p>

V\u00e4rdepapper har ett eget, mindre skydd: investerarskyddet, som ocks\u00e5 administreras av Riksg\u00e4lden och ers\u00e4tter f\u00f6rlorade v\u00e4rdepapper eller likvida medel hos ett fallerat v\u00e4rdepappersbolag upp till 250 000 kronor per person och institut (Riksg\u00e4lden<\/a>). Po\u00e4ngen \u00e4r inte de exakta beloppen, utan att skyddet \u00e4r inskrivet i lag och finns p\u00e5 plats innan n\u00e5got g\u00e5r fel.<\/p>

Kryptovalutor faller utanf\u00f6r b\u00e5da. Bitcoin i din egen pl\u00e5nbok, eller tokens p\u00e5 en b\u00f6rs, omfattas varken av ins\u00e4ttningsgarantin eller av investerarskyddet. Med en bitcoin som i augusti 2026 kostar runt 600 000 kronor (CoinGecko<\/a>) \u00e4r det fullt m\u00f6jligt att h\u00e5lla v\u00e4rden l\u00e5ngt \u00f6ver bankkontots garanterade tak helt utan motsvarande skydd. Det \u00e4r det tomrummet som post-mortem-kulturen, hittel\u00f6nerna och de frivilliga ers\u00e4ttningarna f\u00f6rs\u00f6ker fylla, med blandat resultat.<\/p>

MiCA, Finansinspektionen och gr\u00e4nsen f\u00f6r skyddet<\/h2>

EU:s regelverk MiCA har flyttat en del av kryptomarknaden in i den skyddade zonen, men bara en del. MiCA reglerar utgivare och det som kallas leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster, allts\u00e5 CASP: b\u00f6rser, f\u00f6rvaringstj\u00e4nster, handelsplattformar och liknande. Ett s\u00e5dant bolag som v\u00e4nder sig till svenska kunder m\u00e5ste sedan h\u00f6sten 2025 ha s\u00f6kt tillst\u00e5nd hos Finansinspektionen eller upph\u00f6ra, och MiCA f\u00f6r med sig ett ansvarsregelverk, bland annat ett f\u00f6rvaringsansvar d\u00e4r en tj\u00e4nsteleverant\u00f6r kan bli ers\u00e4ttningsskyldig om den f\u00f6rlorar kundernas tillg\u00e5ngar (Finansinspektionen<\/a>). F\u00f6r den som handlar via en licensierad b\u00f6rs finns allts\u00e5 en motpart att rikta anspr\u00e5k mot, och en tillsynsmyndighet i bakgrunden.<\/p>

Men MiCA drar en skarp gr\u00e4ns. Fullt decentraliserade tj\u00e4nster, s\u00e5dana som drivs uteslutande via smarta kontrakt utan n\u00e5gon juridisk motpart, faller enligt f\u00f6rordningens ingress uttryckligen utanf\u00f6r regelverket (news.bitcoin.com<\/a>). I praktiken \u00e4r gr\u00e4nsen suddig; ett gr\u00e4nssnittsteam, en f\u00f6rvaltningsmultisig eller en uppgraderingsnyckel kan r\u00e4cka f\u00f6r att en tj\u00e4nst ska anses tillr\u00e4ckligt centraliserad f\u00f6r att omfattas. Men f\u00f6r ett verkligt ledarl\u00f6st DeFi-protokoll finns ingen CASP, ingen klagom\u00e5lshantering och ingen garantifond. D\u00e4r \u00e4r obduktionen fortfarande den enda regressen.<\/p>

EU \u00e4r medvetet om luckan. En konsultation om ett kommande DeFi-regelverk, ibland kallat MiCA 2.0, inleddes i maj 2026 (Cointribune<\/a>). Under tiden finns en asymmetri v\u00e4rd att notera: en reglerad CASP lyder under DORA, som kr\u00e4ver att en allvarlig incident rapporteras till tillsynsmyndigheten inom timmar, med en f\u00f6rsta anm\u00e4lan inom fyra timmar efter klassificering, medan ett DeFi-protokoll inte har n\u00e5gon som helst rapporteringsplikt och kan v\u00e4lja sin egen tidslinje, eller ingen alls (EIOPA om DORA<\/a>).<\/p>

Varf\u00f6r protokoll betalar trots att lagen inte kr\u00e4ver det<\/h2>

Om ingen lag tvingar ett DeFi-protokoll att ers\u00e4tta sina anv\u00e4ndare, varf\u00f6r g\u00f6r s\u00e5 m\u00e5nga det \u00e4nd\u00e5? Svaret \u00e4r f\u00f6rtroende, som i kryptov\u00e4rlden \u00e4r den enda valuta som \u00e4r sv\u00e5rare att trycka \u00e4n en token. Ett protokoll som l\u00e5ter anv\u00e4ndarna b\u00e4ra hela f\u00f6rlusten kan tekniskt sett ha r\u00e4tt, men det \u00f6verlever s\u00e4llan ber\u00e4ttelsen om att det gjorde det. Att betala notan, \u00e4ven frivilligt, \u00e4r d\u00e4rf\u00f6r ofta en investering i den egna framtiden snarare \u00e4n en ren kostnad.<\/p>

Euler \u00e4r det tydligaste exemplet p\u00e5 att kalkylen kan g\u00e5 ihop. Efter att ha \u00e5terf\u00e5tt de stulna medlen byggde teamet om protokollet och lanserade en andra version. Michael Bentley, vd f\u00f6r Euler Labs, har beskrivit hur n\u00e4ra det var att sluta helt och sagt att m\u00e5nga hade skrivit av dem och tyckt att det hade varit helt normalt att l\u00e4gga ner projektet p\u00e5 fl\u00e4cken (CoinDesk<\/a>). Att de i st\u00e4llet valde att betala, bygga om och komma tillbaka blev en del av f\u00f6rtroendekapitalet.<\/p>

Men f\u00f6rtroendeargumentet har en gr\u00e4ns, och den g\u00e5r ungef\u00e4r d\u00e4r kassan tar slut. Ett v\u00e4lfinansierat protokoll kan k\u00f6pa tillbaka sitt rykte genom att g\u00f6ra anv\u00e4ndarna hela; ett litet team utan djup kassa kan vilja g\u00f6ra samma sak men helt enkelt inte ha r\u00e5d. D\u00e5 blir den frivilliga ers\u00e4ttningen n\u00e4stan en klassfr\u00e5ga: de projekt som b\u00e4st har r\u00e5d att betala \u00e4r ocks\u00e5 de som har minst att f\u00f6rlora p\u00e5 att g\u00f6ra det, medan de som verkligen skulle beh\u00f6va k\u00f6pa tillbaka f\u00f6rtroendet \u00e4r de som inte kan. Det \u00e4r en av flera anledningar till att branschens mest uppbyggliga \u00e5terl\u00e4mningshistorier inte b\u00f6r l\u00e4sas som normen, utan som undantagen som r\u00e5kade f\u00e5 en rubrik.<\/p>

Det \u00e4r h\u00e4r den ekonomiska fr\u00e5gan och kulturfr\u00e5gan m\u00f6ts. Post-mortem-kulturen \u00e4r inte bara ett s\u00e4tt att dokumentera fel; den \u00e4r den mekanism genom vilken en bransch utan formell regressr\u00e4tt f\u00f6rdelar skuld, f\u00f6rtroende och, till slut, pengar. Obduktionen, hittel\u00f6nen, DAO-omr\u00f6stningen och den frivilliga ers\u00e4ttningen \u00e4r tillsammans ett slags privat, marknadsdrivet ers\u00e4ttningssystem som tr\u00e4tt in d\u00e4r lagen \u00e4nnu inte n\u00e5tt.<\/p>

S\u00e5 bed\u00f6mer du vem som faktiskt kommer att betala<\/h2>

F\u00f6r en l\u00e4sare som vill bed\u00f6ma sin egen risk, snarare \u00e4n att lita p\u00e5 att en r\u00e4ddning dyker upp i efterhand, \u00e4r n\u00e5gra fr\u00e5gor mer avsl\u00f6jande \u00e4n obduktionens tekniska detaljer:<\/p>

  • Finns det en identifierbar motpart? En licensierad CASP med tillst\u00e5nd hos Finansinspektionen ger en adress att rikta anspr\u00e5k mot; ett anonymt, ledarl\u00f6st protokoll g\u00f6r det inte.<\/li>
  • Hur stor \u00e4r kassan i f\u00f6rh\u00e5llande till det f\u00f6rvaltade v\u00e4rdet? En ers\u00e4ttning kan bara komma fr\u00e5n en balansr\u00e4kning som \u00e4r st\u00f6rre \u00e4n h\u00e5let.<\/li>
  • Finns en investerare med sk\u00e4l att r\u00e4dda projektet? Ronin och Wormhole r\u00e4ddades f\u00f6r att n\u00e5gon bed\u00f6mde framtiden som v\u00e4rd priset.<\/li>
  • \u00c4r protokollet en DAO, och i s\u00e5 fall hur har den r\u00f6stat i tidigare incidenter? Tidigare ers\u00e4ttningsr\u00f6ster \u00e4r den b\u00e4sta v\u00e4gledningen om hur n\u00e4sta kommer att falla ut.<\/li>
  • Har du sj\u00e4lv k\u00f6pt on-chain-t\u00e4ckning, och vad st\u00e5r i undantagen? F\u00f6rs\u00e4kring hj\u00e4lper bara den som tecknat den innan sm\u00e4llen.<\/li><\/ul>

    Ingen av fr\u00e5gorna handlar om hur elegant koden eller obduktionen \u00e4r. De handlar om var pengarna finns och vem som har ett sk\u00e4l att skjuta till dem. Det \u00e4r den distinktion som post-mortem-genrens dramaturgi l\u00e4tt d\u00f6ljer: en lysande obduktion och en t\u00f6md pl\u00e5nbok \u00e4r fullt f\u00f6renliga. N\u00e4sta g\u00e5ng en rubrik meddelar att ett team har publicerat en f\u00f6red\u00f6mligt transparent post-mortem \u00e4r det v\u00e4rt att l\u00e4sa vidare till den rad som faktiskt avg\u00f6r saken, den som s\u00e4ger vem som betalar.<\/p>

    Vanliga fr\u00e5gor<\/h2>

    Vem betalar f\u00f6r mina pengar om ett DeFi-protokoll hackas?<\/h3>

    Det beror p\u00e5. I fullt decentraliserad DeFi finns oftast ingen garanti: ers\u00e4ttning kr\u00e4ver att teamet, en investerare eller en DAO frivilligt t\u00e4cker f\u00f6rlusten, att angriparen l\u00e4mnar tillbaka medlen, eller att du sj\u00e4lv k\u00f6pt on-chain-f\u00f6rs\u00e4kring. Saknas allt detta st\u00e5r du f\u00f6r hela notan, och obduktionen blir din enda uppr\u00e4ttelse.<\/p>

    T\u00e4cker den svenska ins\u00e4ttningsgarantin kryptovalutor?<\/h3>

    Nej. Ins\u00e4ttningsgarantin skyddar banktillgodohavanden upp till 1 150 000 kronor per person och institut fr\u00e5n 2026, och investerarskyddet t\u00e4cker v\u00e4rdepapper upp till 250 000 kronor. Kryptovalutor, vare sig de ligger p\u00e5 en b\u00f6rs eller i din egen pl\u00e5nbok, omfattas av ingen av dem.<\/p>

    Vad \u00e4r en white hat-hittel\u00f6n, och hur stor kan den vara?<\/h3>

    Det \u00e4r en bel\u00f6ning till en hackare som l\u00e4mnar tillbaka stulna medel, eller till en forskare som rapporterar en s\u00e5rbarhet innan den utnyttjas. Niv\u00e5n varierar fr\u00e5n n\u00e5gra procent av det stulna beloppet till m\u00e5ngmiljonpooler; Uniswaps program har 15,5 miljoner dollar, och det st\u00f6rsta enskilda fyndet gav 10 miljoner dollar.<\/p>

    F\u00e5r en hackare beh\u00e5lla pengarna efter en DAO-omr\u00f6stning?<\/h3>

    Ibland. I Mango Markets-fallet r\u00f6stade DAO:n f\u00f6r att l\u00e5ta angriparen beh\u00e5lla omkring 47 miljoner dollar mot att resten \u00e5terl\u00e4mnades. En s\u00e5dan omr\u00f6stning binder dock inte r\u00e4ttsv\u00e4sendet; personen \u00e5talades och d\u00f6mdes \u00e4nd\u00e5, \u00e4ven om domen senare revs upp p\u00e5 andra grunder.<\/p>

    Skyddar MiCA mig om jag f\u00f6rlorar pengar i ett kryptohack?<\/h3>

    MiCA ger dig en motpart och en tillsynsmyndighet om du drabbas via en licensierad CASP, som en b\u00f6rs eller f\u00f6rvaringstj\u00e4nst, med Finansinspektionen som svensk tillsyn. Fullt decentraliserade DeFi-protokoll faller enligt f\u00f6rordningens ingress utanf\u00f6r MiCA, och s\u00e4rskilda DeFi-regler v\u00e4ntas f\u00f6rst senare.<\/p>