Den mest oroande formen av DAO-drama under 2026 slutar inte med en stulen privat nyckel eller en bakd\u00f6rr i ett smart kontrakt. Den slutar med en omr\u00f6stning d\u00e4r ingen br\u00f6t mot en enda regel. Pengarna l\u00e4mnade kassan, ett protokoll bytte n\u00e4stan \u00e4gare, och koden gjorde exakt det den blev tillsagd att g\u00f6ra. \u00c4nd\u00e5 tvistade halva branschen efter\u00e5t om huruvida det var en attack, en kupp eller bara demokrati som fungerade precis som den var ritad.<\/p>
I b\u00f6rjan av september 2026 blev fr\u00e5gan om\u00f6jlig att vifta bort. Mediet CryptoSlate beskrev l\u00e4get<\/a> som ett v\u00e4gval mellan ren kod och m\u00e4nskliga n\u00f6dbromsar: antingen l\u00e5ter du reglerna verkst\u00e4llas mekaniskt (och accepterar att ett skickligt utf\u00f6rt, fullt lagligt r\u00f6stf\u00f6rfarande kan t\u00f6mma dig), eller s\u00e5 bygger du in f\u00f6rdr\u00f6jningar, vetor\u00e4tter och vakter (och accepterar att makten d\u00e5 kryper tillbaka till en liten grupp). Det h\u00e4r \u00e4r inte i f\u00f6rsta hand en text om hackare. Det \u00e4r en text om legitimitet: n\u00e4r regelboken f\u00f6ljs till punkt och pricka, vem avg\u00f6r d\u00e5 att n\u00e5got gick fel? Det \u00e4r den fr\u00e5gan som g\u00f6r \u00e5rets DAO-drama s\u00e5 mycket sv\u00e5rare att skratta bort \u00e4n fjol\u00e5rets.<\/p> En vanlig hackattack bryter sig in. En styrningsattack loggar in genom ytterd\u00f6rren. Den obekv\u00e4ma definition som ligger bakom hela 2026 \u00e5rs debatt beskriver angriparen som \u201dan actor using the authorized process to win an outcome that harms the wider organization\u201d, allts\u00e5 n\u00e5gon som anv\u00e4nder det godk\u00e4nda f\u00f6rfarandet f\u00f6r att driva igenom ett utfall som skadar organisationen. Inget kontrakt luras, ingen bugg utnyttjas. I en genomg\u00e5ng av 28 dokumenterade incidenter konstaterade samma rapportering<\/a> att lagliga r\u00f6stf\u00f6rfaranden m\u00f6jliggjorde 16 av dem. Fler \u00e4n h\u00e4lften av de v\u00e4rsta fallen var allts\u00e5, tekniskt sett, helt regelr\u00e4tta.<\/p> Det \u00e4r d\u00e4rf\u00f6r problemet \u00e4r s\u00e5 sv\u00e5rt att komma \u00e5t. P\u00e5 kedjan ser en plundring exakt likadan ut som ett legitimt beslut: en adress k\u00f6per tokens, delegerar r\u00f6ster, l\u00e4gger ett f\u00f6rslag och verkst\u00e4ller det efter att tr\u00f6skeln passerats. Det finns ingen larmklocka som ringer n\u00e4r ett f\u00f6rfarande \u00e4r lagligt men illvilligt. En DAO kan inte enkelt skilja en fientlig uppk\u00f6pare fr\u00e5n en entusiastisk ny investerare, och en domstol kan knappt heller. Resten av den h\u00e4r texten f\u00f6ljer den skiljelinjen: genom protokoll som t\u00f6mdes utan att en enda rad kod klickade fel, genom en domstol som inte kunde best\u00e4mma sig, och fram till den svenska horisonten d\u00e4r Finansinspektionen bara n\u00e5r en bit av problemet.<\/p> Hela id\u00e9n f\u00f6ddes med en mots\u00e4gelse inbyggd. Sommaren 2016 samlade det ursprungliga projektet \u201dThe DAO\u201d in ether v\u00e4rt hundratals miljoner dollar, innan en angripare utnyttjade ett s\u00e5 kallat reentrancy-fel och t\u00f6mde ut ungef\u00e4r 3,6 miljoner ETH, allts\u00e5 omkring en tredjedel<\/a> av fonden. Tekniskt sett gjorde angriparen inget som koden f\u00f6rbj\u00f6d. Det smarta kontraktet l\u00e4t det ske. Enligt kryptov\u00e4rldens d\u00e5varande trosbek\u00e4nnelse, \u201dcode is law\u201d, borde saken d\u00e4rmed varit avslutad: reglerna var reglerna.<\/p> S\u00e5 blev det inte. Ethereum-gemenskapen r\u00f6stade f\u00f6r en h\u00e5rd fork som rullade tillbaka den giltiga transaktionen och gav tillbaka pengarna, medan en minoritet som tyckte att koden faktiskt borde vara lag stannade kvar p\u00e5 den gamla kedjan, i dag k\u00e4nd som Ethereum Classic. Det var den f\u00f6rsta stora legitimitetsschismen, och den b\u00e4r hela genren: den allra f\u00f6rsta g\u00e5ngen kod producerade ett outh\u00e4rdligt men fullt giltigt resultat valde branschen m\u00e4nniskorna framf\u00f6r koden. Sedan dess har varje generation f\u00e5tt l\u00e4ra sig l\u00e4xan p\u00e5 nytt, att \u201dkoden \u00e4r lag\u201d g\u00e4ller \u00e4nda tills utfallet blir tillr\u00e4ckligt sm\u00e4rtsamt. Fr\u00e5gan om vem som f\u00e5r dra i n\u00f6dbromsen har aldrig f\u00e5tt ett rent svar.<\/p> Den mest citerade genomlysningen av problemet kommer fr\u00e5n riskkapitalbolaget a16z, vars forskare 2022 satte upp en enkel ekvation f\u00f6r n\u00e4r en styrningsattack l\u00f6nar sig: vinsten \u00e4r v\u00e4rdet av attacken minus kostnaden f\u00f6r att skaffa r\u00f6str\u00e4tt minus kostnaden f\u00f6r att verkst\u00e4lla. S\u00e5 l\u00e4nge en kassa \u00e4r st\u00f6rre \u00e4n vad det kostar att k\u00f6pa ihop en majoritet av r\u00f6sterna, finns incitamentet. Analysen<\/a> delade in angreppen i tre arketyper: det \u00f6ppna uppk\u00f6pet, blixtl\u00e5nsattacken och den tysta ackumuleringen \u00f6ver tid.<\/p> Det \u00f6ppna uppk\u00f6pet fick sitt tydligaste ansikte redan 2020, n\u00e4r Justin Sun k\u00f6pte plattformen Steemit och en stor del av dess tokens. N\u00e4r Steem-gemenskapen svarade med en sp\u00e4rr f\u00f6rm\u00e5dde Sun flera stora b\u00f6rser att r\u00f6sta med kundernas insatta tokens och r\u00f6sta bort de folkvalda validerarna, innan b\u00f6rserna backade efter ramaskriet och gemenskapen delade av kedjan till en ny blockkedja vid namn Hive<\/a>. Ingenting av det var olagligt. Det var pengar som k\u00f6pte r\u00f6ster, \u00f6ppet och i realtid, och det visade hur snabbt ett ledarskap kan bytas ut n\u00e4r r\u00f6sterna \u00e4r till salu.<\/p> Men den verkligt obehagliga po\u00e4ngen var en annan, det forskarna kallar odelbarhet (indistinguishability). Marknaden kan inte se skillnad p\u00e5 en angripare som samlar tokens och en genuint hausseartad investerare, eftersom b\u00e4gge g\u00f6r samma sak: k\u00f6per stora m\u00e4ngder till stigande pris. En laglig styrningsattack \u00e4r d\u00e4rf\u00f6r i praktiken osynlig \u00e4nda fram till det \u00f6gonblick d\u00e5 f\u00f6rslaget verkst\u00e4lls. Det \u00e4r f\u00f6rst efter\u00e5t, n\u00e4r kassan \u00e4r t\u00f6md eller kontrollen bytt h\u00e4nder, som betraktaren kan s\u00e4ga att det var ett angrepp. Innan dess ser det ut som vanligt engagemang. Just den osynligheten \u00e4r varf\u00f6r f\u00f6rsvaret \u00e4r s\u00e5 sv\u00e5rt, och varf\u00f6r s\u00e5 mycket av 2026 \u00e5rs drama handlar om tolkning snarare \u00e4n teknik.<\/p> Tv\u00e5 fall visar hur ren mekaniken kan vara. I april 2022 f\u00f6rlorade stablecoin-protokollet Beanstalk omkring 182 miljoner dollar (drygt 1,7 miljarder kronor; v\u00e4xelkurserna i den h\u00e4r texten utg\u00e5r fr\u00e5n cirka 9,6 kronor per dollar i mitten av september 2026, enligt exchangerates.org.uk<\/a>). Angriparen tog ett blixtl\u00e5n p\u00e5 \u00f6ver en miljard dollar (mer \u00e4n 9 miljarder kronor), k\u00f6pte tillr\u00e4ckligt med r\u00f6ster f\u00f6r tv\u00e5 tredjedels majoritet, och l\u00e4t ett giltigt f\u00f6rslag verkst\u00e4llas atom\u00e4rt via protokollets egen n\u00f6dv\u00e4g, allt i en och samma transaktion<\/a>. Ingen kod kn\u00e4cktes. Systemet gjorde exakt det det var byggt f\u00f6r.<\/p> Fyra \u00e5r senare, i augusti 2026, upprepades logiken mot l\u00e5nprotokollet Term Finance, som f\u00f6rlorade omkring 8,5 miljoner dollar (cirka 82 miljoner kronor). Angriparen s\u00e5dde ett litet startkapital p\u00e5 ungef\u00e4r 2 ETH via Tornado Cash, k\u00f6pte sedan p\u00e5 \u00f6ppna marknaden ihop en majoritet av ett tunt handlat styrningstoken och r\u00f6stade igenom f\u00f6rslag som tog kontroll \u00f6ver valven. S\u00e4kerhetsbolagen PeckShield och CertiK var tydliga med vad som h\u00e4nt: attacken \u201dtargeted the voting mechanics rather than any flaw in the underlying smart contract code\u201d<\/a>. Det var r\u00f6stmekaniken, inte koden, som var h\u00e5let. Det mest talande av allt: Term hade en sjudagars timelock och en vetor\u00e4tt f\u00f6r ins\u00e4ttare, och f\u00f6ll \u00e4nd\u00e5<\/a>, eftersom ingen stod redo att faktiskt anv\u00e4nda vetot i tid. En n\u00f6dbroms som ingen h\u00e5ller i \u00e4r inte en broms.<\/p> Om Beanstalk och Term \u00e4r blixtl\u00e5nsvarianterna, \u00e4r Compound-fallet 2024 l\u00e4robokstexten om laglig kontroll. En val vid namn Humpy och en grupp som kallade sig \u201dthe Golden Boys\u201d drev igenom f\u00f6rslag nummer 289, som flyttade 499 000 COMP, d\u00e5 v\u00e4rda omkring 24 miljoner dollar (cirka 230 miljoner kronor) eller fem procent av kassan, till ett avkastningsuppl\u00e4gg vid namn goldCOMP som de sj\u00e4lva kontrollerade. CoinDesk beskrev det redan i rubriken som en \u201dsupposed ‘Governance Attack’\u201d<\/a>, en f\u00f6rmodad styrningsattack, med citationstecknen p\u00e5 plats just eftersom f\u00f6rslaget f\u00f6ljde DAO:ns regler.<\/p> Kritiken handlade om koncentration snarare \u00e4n kod. En r\u00f6st i debatten, Eskender Abebe, p\u00e5pekade att Humpy och g\u00e4nget nu var Compounds st\u00f6rsta delegat, fyra g\u00e5nger s\u00e5 stor som tv\u00e5an<\/a>. R\u00f6str\u00e4tten hade byggts upp tyst under flera m\u00e5nader, via k\u00f6p p\u00e5 b\u00f6rser och genom protokollets egna l\u00e5nemarknader, allts\u00e5 just den tysta ackumulering som a16z beskrivit. Till slut backade valen och gav sitt st\u00f6d \u00e5t ett motf\u00f6rslag i st\u00e4llet, men f\u00f6rst efter att ha visat att en enda tillr\u00e4ckligt stor akt\u00f6r kunde driva igenom sin egen budget rakt \u00f6ver gemenskapens inv\u00e4ndningar. Men fallet fick nytt liv i september 2026, n\u00e4r CryptoSlate \u00e5terv\u00e4nde till proposition 289 som paradexemplet p\u00e5 dilemmat mellan kod och n\u00f6dbroms, och lyfte fram detaljen att ungef\u00e4r 82 procent av det avg\u00f6rande st\u00f6det landade under omr\u00f6stningens sista 34 minuter<\/a>. En seger som kl\u00e4mts in i den sista halvtimmen, helt inom reglerna, \u00e4r sv\u00e5rare att peka p\u00e5 och sv\u00e5rare att f\u00f6rsvara sig mot \u00e4n vilket kontraktsfel som helst.<\/p> Ibland \u00e4r det inte en anonym val utan protokollets eget bolag som anklagas. I slutet av december 2025 skickades ett f\u00f6rslag om vem som skulle \u00e4ga Aaves varum\u00e4rkestillg\u00e5ngar (dom\u00e4ner, sociala konton, namnr\u00e4ttigheter, kodf\u00f6rr\u00e5d och annan immateriell egendom) till en Snapshot-omr\u00f6stning medan diskussionen fortfarande p\u00e5gick. Marc Zeller fr\u00e5n Aave Chan Initiative kallade utvecklingsbolaget Aave Labs man\u00f6ver f\u00f6r \u201da hostile takeover attempt by Labs\u201d<\/a>, ett fientligt \u00f6vertagningsf\u00f6rs\u00f6k, med argumentet att f\u00f6rslaget eskalerats utan att diskussionen var klar och utan tydligt samtycke. \u00c4ven den namngivne f\u00f6rfattaren, tidigare Aave Labs-teknikchefen Ernesto Boado, tog avst\u00e5nd: \u201dThis is not, in ethos, my proposal.\u201d<\/p> Notera vad striden inte handlade om. Ingen hade brutit mot en regel; en Snapshot-omr\u00f6stning \u00e4r precis s\u00e5 beslut ska fattas. Br\u00e5ket g\u00e4llde legitimitet: var det schysst att pressa fram en k\u00e4nslig omr\u00f6stning mitt i julledigheten, n\u00e4r stora innehavare och institutioner \u00e4r som minst uppm\u00e4rksamma? Gemenskapen svarade med det enda vapen den hade, fler r\u00f6ster, och r\u00f6stade ned f\u00f6rslaget i vad som beskrevs som ett rekordh\u00f6gt deltagande<\/a>. En DAO:s legitimitet vilar till syvende och sist p\u00e5 kollektiv tro, ungef\u00e4r som f\u00f6rh\u00e5llandet mellan en grundare och en publik som vill tro<\/a>. N\u00e4r den tron brister r\u00e4cker inga kontrakt i v\u00e4rlden f\u00f6r att laga den.<\/p> Den mest eleganta lagliga man\u00f6vern 2026 handlade inte om att stj\u00e4la en kassa, utan om att tvinga fram en utbetalning. En grupp aktivistinvesterare, i kryptokretsar kallade \u201dRFV Raiders\u201d, riktade in sig p\u00e5 GnosisDAO och dess likvida kassa p\u00e5 omkring 223 miljoner dollar (drygt 2,1 miljarder kronor). F\u00f6rst kom f\u00f6rslaget GIP-150, en \u00f6ppen r\u00e4tt f\u00f6r GNO-innehavare att l\u00f6sa in sin andel av kassan, som r\u00f6stades ned i maj. Sedan kom den slipade omskrivningen: GIP-151<\/a>, ett enda tidsbegr\u00e4nsat inl\u00f6senf\u00f6nster till substansv\u00e4rde, som gick igenom med bred marginal (l\u00e5ngt \u00f6ver 90 procent av r\u00f6sterna) i slutet av juni. Po\u00e4ngen med uppl\u00e4gget var att kassans v\u00e4rde per token l\u00e5g \u00f6ver b\u00f6rskursen, vilket f\u00f6rvandlade inl\u00f6sen till ett rent arbitrage: k\u00f6p GNO under sitt andelsv\u00e4rde, l\u00f6s in det till fullt v\u00e4rde och beh\u00e5ll skillnaden.<\/p> Oron som CryptoSlate satte fingret p\u00e5 var att styrning p\u00e5 det h\u00e4r s\u00e4ttet f\u00f6rvandlas till en utk\u00f6psknapp<\/a>: k\u00f6p ett styrningstoken som handlas under sitt andelsv\u00e4rde, samla r\u00f6ster, tvinga fram en utdelning av kassan och kamma hem mellanskillnaden. Samma grupp<\/a> hade pr\u00f6vat liknande man\u00f6vrar mot andra protokoll tidigare, och besl\u00e4ktade aktivister l\u00e5g bakom striden om Aragon 2023. Det p\u00e5minner ocks\u00e5 om Nouns DAO, d\u00e4r en missn\u00f6jd falang 2023 anv\u00e4nde en inbyggd uttr\u00e4desfunktion f\u00f6r att (fullt lagligt) knoppa av 16 757 ETH<\/a>, d\u00e5 v\u00e4rda omkring 27 miljoner dollar (cirka 260 miljoner kronor). I inget av fallen br\u00f6t n\u00e5gon mot koden. De l\u00e4ste bara reglerna noggrannare \u00e4n de som skrivit dem.<\/p>Dramat som ingen domare vill r\u00f6ra<\/h2>
Arvssynden: The DAO och myten om att koden \u00e4r lag<\/h2>
a16z:s obekv\u00e4ma sanning: du ser ingen skillnad p\u00e5 en angripare och en investerare<\/h2>
Beanstalk och Term Finance: n\u00e4r mekaniken g\u00f6r precis vad den ska<\/h2>
Compounds guldpojkar: attacken som var laglig<\/h2>
Aaves jul: en fientlig \u00f6vertagning utan ett enda regelbrott<\/h2>
Gnosis och skattkammarplundrarna: n\u00e4r styrning blir en utk\u00f6psknapp<\/h2>