Klockan 18:31 UTC den 24 september 2026 b\u00f6rjade pengarna l\u00e4mna Bitget. P\u00e5 n\u00e5gra minuter f\u00f6rsvann omkring 351,6 miljoner dollar, drygt 3,5 miljarder kronor, ur b\u00f6rsens heta och varma pl\u00e5nb\u00f6cker, utspritt \u00f6ver femton \u00f6verf\u00f6ringar och sju olika tillg\u00e5ngar. Utredare sp\u00e5rade snabbt IP-adresser till VPN-tj\u00e4nster som tidigare kopplats till nordkoreanska grupper. Men f\u00f6r de kunder som vaknade till nyheten var den mest br\u00e4nnande fr\u00e5gan inte hur angriparna kom in. Den var enklare och h\u00e5rdare: vem betalar?<\/p>
Bitgets vd Gracy Chen svarade inom ett dygn. ”The full amount of this loss falls within the coverage of Bitget’s User Protection Fund”, slog hon fast: hela f\u00f6rlusten rymdes inom b\u00f6rsens anv\u00e4ndarskyddsfond, en reserv p\u00e5 \u00f6ver 464 miljoner dollar, runt 4,6 miljarder kronor. Kundernas saldon var intakta och de drabbade skulle h\u00e5llas skadesl\u00f6sa, rapporterade CryptoSlate<\/a>. Fonden r\u00e4ckte med god marginal.<\/p> Det \u00e4r ett av de lyckligare svaren p\u00e5 fr\u00e5gan. Obduktionen, post-mortem, den offentliga genre som kryptobranschen har gjort till sin egen, \u00e4r skicklig p\u00e5 att f\u00f6rklara vad som gick s\u00f6nder: vilken rad kod, vilken nyckel, vilket m\u00e4nskligt misstag. Den \u00e4r betydligt tystare om vad som h\u00e4nder sedan. Den h\u00e4r texten handlar om den delen: ekonomin efter obduktionen, och de sex helt olika s\u00e4tt som notan efter ett kryptohack faktiskt landar p\u00e5 n\u00e5gons bord. Ibland p\u00e5 b\u00f6rsens. Ibland p\u00e5 en rik investerares. Ibland p\u00e5 ingens alls.<\/p> En trov\u00e4rdig post-mortem f\u00f6ljer en mall som kryptobranschen l\u00e5nade dels fr\u00e5n flygets haveriutredningar, dels fr\u00e5n Google-ingenj\u00f6rernas s\u00e5 kallade blameless postmortems: en minutprecis tidslinje, en teknisk rotorsak, en lista p\u00e5 \u00e5tg\u00e4rder och helst inget personligt skuldbel\u00e4ggande. Vi har tidigare skrivit om hur genren b\u00e4r ett arv fr\u00e5n spelbranschens postmortem-kultur, och om det udda fallet d\u00e4r obduktionen saknade kodfel helt eftersom insidern stod p\u00e5 l\u00f6nelistan<\/a>.<\/p> Men mallen \u00e4r skriven f\u00f6r ingenj\u00f6rer och f\u00f6r efterv\u00e4rlden, inte f\u00f6r den som f\u00f6rlorade pengar. En l\u00e4sare som drabbats bryr sig s\u00e4llan om huruvida orsaken var en reentrancy-bugg eller en komprometterad multisig. Hon vill veta om hon f\u00e5r tillbaka sina pengar, av vem och n\u00e4r. Och d\u00e4r avg\u00f6rs svaret n\u00e4stan aldrig av hur v\u00e4lskriven obduktionen \u00e4r. Det avg\u00f6rs av strukturen bakom plattformen: om det finns en b\u00f6rs med balansr\u00e4kning, ett protokoll med kassa, en investerare med sk\u00e4l att r\u00e4dda sitt varum\u00e4rke, eller ingenting alls. Tv\u00e5 hack med identisk teknisk rotorsak kan sluta med att den ena gruppen h\u00e5lls helt skadesl\u00f6s medan den andra f\u00e5r b\u00e4ra hela sm\u00e4llen sj\u00e4lv.<\/p> Nedan g\u00e5r vi igenom de sex \u00e5terkommande modellerna f\u00f6r vem som betalar, i grova drag rangordnade fr\u00e5n det mest p\u00e5litliga skyddet till det minst. H\u00e5ll \u00f6gonen p\u00e5 en enda variabel genom hela listan: hur n\u00e4ra en identifierbar, solvent motpart pengarna l\u00e5g i det \u00f6gonblick de f\u00f6rsvann.<\/p> Den snabbaste och mest f\u00f6ruts\u00e4gbara formen av ers\u00e4ttning \u00e4r den f\u00f6rfinansierade skyddsfonden. En stor centraliserad b\u00f6rs l\u00e4gger l\u00f6pande undan en reserv som ska kunna t\u00e4cka kundf\u00f6rluster vid ett intr\u00e5ng. Bitgets User Protection Fund \u00e4r ett typexempel: n\u00e4r 351,6 miljoner dollar f\u00f6rsvann i september 2026 kunde bolaget peka p\u00e5 en pott som var st\u00f6rre \u00e4n h\u00e5let, och kunderna m\u00e4rkte i praktiken ingenting. Modellen \u00e4r i grunden sj\u00e4lvf\u00f6rs\u00e4kring. B\u00f6rsen \u00e4r sin egen motpart och har i f\u00f6rv\u00e4g \u00f6ronm\u00e4rkt pengar f\u00f6r exakt det h\u00e4r scenariot.<\/p> Det som gjorde Bitget-fallet ovanligt var hastigheten i svaret. B\u00f6rsen uppt\u00e4ckte de obeh\u00f6riga \u00f6verf\u00f6ringarna klockan 18:31 UTC och aktiverade sin incidentrutin inom minuter, fr\u00f6s ber\u00f6rda pl\u00e5nb\u00f6cker och gick ut med besked samma kv\u00e4ll. En skyddsfond \u00e4r i grunden en buffert som byggs upp \u00f6ver tid, ofta genom en andel av int\u00e4kterna, och h\u00e5lls i likvida tillg\u00e5ngar s\u00e5 att den kan t\u00f6mmas snabbt. Det eleganta ligger inte i konstruktionen utan i tajmingen: pengarna finns redan n\u00e4r h\u00e5let uppst\u00e5r, och ingen beh\u00f6ver \u00f6vertala en utomst\u00e5ende att rycka ut.<\/p> Den mest k\u00e4nda varianten \u00e4r Binances SAFU (Secure Asset Fund for Users). Under b\u00f6rjan av 2026 konverterade Binance hela fonden till bitcoin<\/a>, omkring 15 000 BTC v\u00e4rda runt en miljard dollar (ungef\u00e4r 10 miljarder kronor), och lovade att fylla p\u00e5 den om v\u00e4rdet faller under 800 miljoner dollar. Fonden byggs upp av en andel av b\u00f6rsens handelsavgifter. Po\u00e4ngen \u00e4r att reserven ska finnas d\u00e4r i f\u00f6rv\u00e4g, inte letas fram i panik efter ett intr\u00e5ng.<\/p> Gr\u00e4nsen f\u00f6r modellen syns tydligt n\u00e4r f\u00f6rlusten \u00e4r st\u00f6rre \u00e4n fonden. N\u00e4r Bybit f\u00f6rlorade omkring 1,5 miljarder dollar i februari 2025, det st\u00f6rsta kryptohacket n\u00e5gonsin, r\u00e4ckte ingen avsatt reserv i v\u00e4rlden hela v\u00e4gen. Vd Ben Zhou valde d\u00e5 radikal transparens och t\u00e4ckte uttagen genom en kombination av egna reserver, n\u00f6dl\u00e5n fr\u00e5n branschkollegor och storskaliga \u00e5terk\u00f6p av ether p\u00e5 marknaden, samtidigt som bolaget publicerade prelimin\u00e4ra forensiska rapporter<\/a> fr\u00e5n Sygnia och Verichains inom dagar. Kunderna h\u00f6lls skadesl\u00f6sa, men po\u00e4ngen kvarst\u00e5r: en skyddsfond \u00e4r precis s\u00e5 bra som f\u00f6rh\u00e5llandet mellan dess storlek och h\u00e5let den ska t\u00e4cka. F\u00f6r de allra flesta plattformar, s\u00e4rskilt inom DeFi, existerar den inte alls.<\/p> Ibland betalar inte plattformen sj\u00e4lv, utan n\u00e5gon med mycket djupare fickor bakom den. N\u00e4r broprotokollet Wormhole f\u00f6rlorade omkring 320 miljoner dollar i februari 2022 genom en brist i signaturkontrollen, ersatte marknadsgaranten Jump Crypto hela beloppet inom ungef\u00e4r ett dygn<\/a>. Motivet var inte v\u00e4lg\u00f6renhet: Jump hade stora egna intressen i ekosystemet och bed\u00f6mde att en kollaps skulle kosta mer \u00e4n notan. Ett \u00e5r senare lyckades Jump och Oasis dessutom beslagta 225 miljoner dollar<\/a> tillbaka fr\u00e5n angriparens \u00f6ppna positioner, efter ett domstolsbeslut i England.<\/p> Det mest k\u00e4nda exemplet i spelv\u00e4rlden \u00e4r Ronin, sidokedjan bakom Axie Infinity. I mars 2022 t\u00f6mdes bron p\u00e5 svindlande 625 miljoner dollar efter att angriparna, senare knutna till Nordkorea, tagit kontroll \u00f6ver en majoritet av validatorerna. Studion Sky Mavis reste 150 miljoner dollar i en runda ledd av Binance<\/a>, kombinerade det med egna medel och gjorde anv\u00e4ndarna hela. Operativa chefen Aleksander Larsen formulerade det kyligt praktiskt: ”The bridge will be refilled with the outstanding user-owned ETH and USDC”, och tillade att ”everything is on schedule and the validators are ready”. Bron \u00f6ppnade igen den 28 juni 2022, och Ronin lever vidare som spelkedja; vi har tittat n\u00e4rmare p\u00e5 RON-tokenens ekonomi<\/a> i en separat text.<\/p> Styrkan i modellen \u00e4r hastigheten: en enskild akt\u00f6r med balansr\u00e4kning kan fatta beslutet p\u00e5 egen hand, utan omr\u00f6stning. Svagheten \u00e4r att den \u00e4r helt godtycklig. Den fungerar bara n\u00e4r n\u00e5gon med pengar har ett tillr\u00e4ckligt starkt sk\u00e4l, kommersiellt eller ryktesm\u00e4ssigt, att \u00f6ppna pl\u00e5nboken. Saknas den investeraren finns ingen r\u00e4ddare att ringa, och ingen domstol i v\u00e4rlden kan tvinga fram en.<\/p> N\u00e4r protokollet saknar en rik \u00e4gare men \u00e4nd\u00e5 har en egen kassa eller en egen token, kan det betala anv\u00e4ndarna med sina egna resurser. Beslutet fattas ofta genom en omr\u00f6stning i protokollets DAO, vilket reser en obekv\u00e4m f\u00f6ljdfr\u00e5ga: vem b\u00e4r egentligen kostnaden n\u00e4r tokeninnehavarna r\u00f6star om att trycka nya tokens f\u00f6r att ers\u00e4tta de drabbade? Inte s\u00e4llan \u00e4r det samma tokeninnehavare, via utsp\u00e4dning. Vi har beskrivit den paradoxen i f\u00f6rdjupningen om gemenskapsstyrning och vem som egentligen best\u00e4mmer<\/a>.<\/p> Curve Finance \u00e4r ett l\u00e4roboksfall. Efter att en kompilatorbugg i Vyper i juli 2023 m\u00f6jliggjort ett utnyttjande p\u00e5 mellan 50 och 70 miljoner dollar r\u00f6stade protokollets styrning igenom en ers\u00e4ttningsplan<\/a> p\u00e5 71 768 597,75 CRV, utbetald via en samh\u00e4llsfond med ett \u00e5rs intj\u00e4ning. En av angriparna l\u00e4mnade dessutom frivilligt tillbaka 12,7 miljoner dollar. Anv\u00e4ndarna gjordes i stort sett hela, men notan betalades ytterst av CRV-innehavarna genom utsp\u00e4dning.<\/p> Euler Finance visar samma modell i dess mest imponerande form. Efter en flashl\u00e5neattack p\u00e5 runt 197 miljoner dollar i mars 2023 lyckades teamet f\u00f6rhandla tillbaka pengarna (mer om det i n\u00e4sta avsnitt) och byggde d\u00e4refter om protokollet fr\u00e5n grunden. Euler v2 lanserades efter 31 oberoende granskningar. Grundaren Michael Bentley har beskrivit hur n\u00e4ra slutet det var: ”A lot of people wrote us off and said it would have been totally normal for us to end the project right there”, sa han till CoinDesk<\/a>. I det mindre formatet finns Gnosis Pay, vars kortinfrastruktur drabbades av en signaturbrist i juni 2026 och f\u00f6rlorade omkring 1,5 miljoner dollar (cirka 15 miljoner kronor). Bolaget svalde hela f\u00f6rlusten fr\u00e5n sin egen balansr\u00e4kning och \u00e5terst\u00e4llde i praktiken allt<\/a> inom dagar. H\u00e4r betalade allts\u00e5 bolaget, inte anv\u00e4ndarna och inte tokeninnehavarna.<\/p> Varje g\u00e5ng en fond, en r\u00e4ddare eller en DAO g\u00f6r anv\u00e4ndarna hela uppst\u00e5r samtidigt en obekv\u00e4m bieffekt: den moraliska risken. Om f\u00f6rlusten alltid f\u00e5ngas upp av n\u00e5gon annan minskar trycket p\u00e5 b\u00e5de protokoll och anv\u00e4ndare att faktiskt dra ner p\u00e5 risken. Kritiker menar att de stora b\u00f6rsernas skyddsfonder, hur v\u00e4lkomna de \u00e4n \u00e4r f\u00f6r den enskilde, kan d\u00f6lja hur sk\u00f6ra de underliggande systemen \u00e4r. Ers\u00e4ttningen l\u00f6ser symptomet, inte orsaken, och n\u00e4sta obduktion skrivs \u00e4nd\u00e5 f\u00f6rr eller senare.<\/p> En av kryptons mest egenartade uppfinningar \u00e4r att betalningen ibland kommer fr\u00e5n angriparen sj\u00e4lv. Eftersom varje transaktion \u00e4r offentlig och sp\u00e5rbar, och eftersom forensiska f\u00f6retag ofta kan knyta en adress till en identitet, har en ny ritual vuxit fram: den publika f\u00f6rhandlingen p\u00e5 kedjan. Protokollet erbjuder en dus\u00f6r, vanligen runt tio procent, plus ett l\u00f6fte om att inte driva \u00e5tal, i utbyte mot att resten \u00e5terl\u00e4mnas.<\/p> Euler-angriparen skickade ett meddelande direkt i blockkedjan: ”No intention of keeping what is not ours”, och \u00e5terl\u00e4mnade i praktiken allt. Poly Network-angriparen, som 2021 t\u00f6mde protokollet p\u00e5 \u00f6ver 600 miljoner dollar, l\u00e4mnade ocks\u00e5 tillbaka n\u00e4stan allt och tackade nej till b\u00e5de en erbjuden dus\u00f6r och en roll som s\u00e4kerhetsr\u00e5dgivare. Det senaste stora exemplet \u00e4r Liquid Network: efter att omkring 319 miljoner dollar i bitcoin t\u00f6mts den 6 september 2026 \u00e5terl\u00e4mnade angriparna 85 procent<\/a>, omkring 3 400 BTC v\u00e4rda runt 272 miljoner dollar, och beh\u00f6ll 598,5 BTC (cirka 47 miljoner dollar) som de sj\u00e4lva kallade en dus\u00f6r. Vi granskade den gr\u00e5zonen i texten om white-hat eller tjuv<\/a>.<\/p> Modellen \u00e4r den mest of\u00f6ruts\u00e4gbara av alla. Den kr\u00e4ver att angriparen g\u00e5r att n\u00e5, \u00e4r rationell och bryr sig om risken att \u00e5ka fast. Allt detta faller n\u00e4r motparten \u00e4r en statlig akt\u00f6r. Nordkoreas Lazarus-grupp, som l\u00e5g bakom Ronin, Bitget och merparten av 2026 \u00e5rs st\u00f6rsta st\u00f6lder, f\u00f6rhandlar inte och l\u00e4mnar aldrig tillbaka. F\u00f6r de pengarna finns ingen \u00e5terv\u00e4ndo; de tv\u00e4ttas och f\u00f6rsvinner.<\/p> Det finns en femte v\u00e4g som i teorin l\u00f6ser hela problemet: att anv\u00e4ndaren sj\u00e4lv k\u00f6per en f\u00f6rs\u00e4kring i f\u00f6rv\u00e4g. On-chain-f\u00f6rs\u00e4kring som Nexus Mutual, OpenCover och Chainproof s\u00e4ljer skydd mot just smarta-kontrakt-fel och vissa typer av intr\u00e5ng, med utbetalningar baserade p\u00e5 offentliga data. Nexus Mutual \u00e4r st\u00f6rst och mest transparent; kapitalpoolen, premierna och varje skadereglering ligger \u00f6ppet p\u00e5 Ethereum.<\/p> Problemet \u00e4r skalan. Enligt Nexus Mutuals egen skadehistorik<\/a> har mutualen betalat ut drygt 18,5 miljoner dollar f\u00f6rdelat p\u00e5 103 godk\u00e4nda skador under hela sin livstid, med de st\u00f6rsta enskilda utbetalningarna kring 5,1 miljoner dollar (Rari Capital 2022) och 2,4 miljoner dollar (Euler). Kapitalpoolen l\u00e5g i slutet av september 2026 p\u00e5 omkring 114,7 miljoner dollar. St\u00e4ll det mot verkligheten: september 2026 ensam kostade branschen \u00f6ver 766 miljoner dollar. Hela Nexus Mutuals samlade utbetalningar genom \u00e5ren motsvarar allts\u00e5 ungef\u00e4r en fyrtiondel av f\u00f6rlusterna under en enda d\u00e5lig m\u00e5nad.<\/p> Varf\u00f6r k\u00f6per d\u00e5 s\u00e5 f\u00e5? Dels kostar premierna, dels \u00e4r villkoren fulla av undantag, dels kr\u00e4ver det en teknisk vana som f\u00e5 sm\u00e5sparare har. Och dels, mest m\u00e4nskligt, utg\u00e5r m\u00e5nga fr\u00e5n att n\u00e5gon annan, b\u00f6rsen, teamet eller en r\u00e4ddare, \u00e4nd\u00e5 kommer att betala. On-chain-f\u00f6rs\u00e4kringen finns, men som systeml\u00f6sning \u00e4r den fortfarande en avrundningsfel.<\/p> S\u00e5 kommer vi till det vanligaste och dystraste utfallet. Ingen betalar. Det finns ingen fond, ingen r\u00e4ddare, ingen kassa, ingen angripare att f\u00f6rhandla med och ingen f\u00f6rs\u00e4kring. F\u00f6rlusten \u00e4r helt enkelt din.<\/p> Multichain \u00e4r det r\u00e5aste exemplet. N\u00e4r omkring 265 miljoner dollar rann ut ur broprotokollet i juli 2023 fanns det inte ens ett team kvar att skriva en obduktion<\/a>; vd:n hade gripits av kinesisk polis, och protokollet lades ned permanent. Terra\/LUNA \u00e4r ett annat: efter kollapsen 2022 \u00e5terh\u00e4mtade sig varken kedjan eller innehavarna, och grundaren Do Kwon d\u00f6mdes i december 2025 till 15 \u00e5rs f\u00e4ngelse. Ingen av dessa h\u00e4ndelser hade en motpart som kunde g\u00f6ra n\u00e5gon hel.<\/p> Det kanske mest talande fallet \u00e4r Coldcard sommaren 2026. En svaghet i h\u00e5rdvarupl\u00e5nbokens slumptalsgenerator, som legat dold i firmware sedan 2021, gjorde det m\u00f6jligt att \u00e5terskapa privata nycklar; mer \u00e4n 130 miljoner dollar f\u00f6rsvann. H\u00e4r fanns ingen att v\u00e4nda sig till: tillverkaren \u00e4r f\u00f6r liten f\u00f6r att backa upp beloppet, det fanns inte en angripare utan ett dussin okoordinerade grupper, och att uppdatera firmware r\u00e4ddar inte en nyckel som redan skapats p\u00e5 den trasiga koden. Vid sj\u00e4lvf\u00f6rvar \u00e4r du din egen skyddsfond, och n\u00e4r den fallerar finns bara obduktionen kvar. Det \u00e4r inte en ers\u00e4ttning; det \u00e4r en gravsten.<\/p> Sammanfattat skiljer sig de sex modellerna framf\u00f6r allt i tre avseenden: hur snabbt pengarna kommer, hur p\u00e5litlig processen \u00e4r, och vem som till slut b\u00e4r kostnaden. Tabellen nedan st\u00e4ller dem mot varandra.<\/p>Obduktionen svarar p\u00e5 vad som gick s\u00f6nder, inte vem som betalar<\/h2>
Modell 1: skyddsfonden som redan ligger i kassan<\/h2>
Modell 2: den rika r\u00e4ddaren som rycker in<\/h2>
Modell 3: kassan, token-utsp\u00e4dningen och DAO-r\u00f6sten<\/h2>
Modell 4: angriparen som l\u00e4mnar tillbaka<\/h2>
Modell 5: on-chain-f\u00f6rs\u00e4kringen som n\u00e4stan ingen k\u00f6per<\/h2>
Modell 6: ingen betalar, och anv\u00e4ndaren \u00e4ter f\u00f6rlusten<\/h2>
Sex v\u00e4gar f\u00f6r notan, sida vid sida<\/h2>