{"id":629,"date":"2026-10-20T20:58:55","date_gmt":"2026-10-20T20:58:55","guid":{"rendered":"https:\/\/hoge.gg\/se\/obduktion-deadline-post-mortem-mica-dora-2026\/"},"modified":"2026-10-20T20:58:55","modified_gmt":"2026-10-20T20:58:55","slug":"obduktion-deadline-post-mortem-mica-dora-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/se\/obduktion-deadline-post-mortem-mica-dora-2026\/","title":{"rendered":"Obduktionen f\u00e5r en deadline: post-mortem m\u00f6ter MiCA och DORA"},"content":{"rendered":"

Den 14 oktober 2026 t\u00f6mdes en till synes trist h\u00f6rna av DeFi. En angripare \u00f6ppnade f\u00e4rska positioner i UNCX l\u00e5sningsprotokoll, sl\u00e4ppte och donerade tokens i en noga vald ordning och avbr\u00f6t sedan positionerna; det var i avbrottssteget som andra anv\u00e4ndares pengar gick ut genom d\u00f6rren. S\u00e4kerhetsf\u00f6retaget Blockaid rapporterade f\u00f6rst ett dr\u00e4nage p\u00e5 omkring 86 000 dollar p\u00e5 Ethereum, men inom ett dygn hade samma fel i funktionen release() utnyttjats p\u00e5 fyra kedjor och summan vuxit sjutton g\u00e5nger, till cirka 1,49 miljoner dollar (omkring 15 miljoner kronor)<\/a>, sedan copycat-pl\u00e5nb\u00f6cker och bottar hoppat p\u00e5 samma sp\u00e5r.<\/p>

Inom n\u00e5gra timmar fanns den vanliga obduktionen p\u00e5 plats: en teknisk tr\u00e5d, ett rotorsaksdiagram, en lista p\u00e5 drabbade tokens. Det som inte fanns, och aldrig kommer att finnas, \u00e4r en myndighet som tar emot rapporten. UNCX \u00e4r ett protokoll, inte ett bolag med tillst\u00e5nd, och d\u00e4rmed f\u00f6ll h\u00e4ndelsen utanf\u00f6r varje formellt rapporteringskrav. Det \u00e4r den tudelningen den h\u00e4r texten handlar om: samma sorts katastrof producerar numera tv\u00e5 helt olika obduktioner, beroende p\u00e5 vem som st\u00e5r bakom koden.<\/p>

Samma kropp, tv\u00e5 obduktioner<\/h2>

Den publika kryptoobduktionen uppstod som en frivillig genre. N\u00e4r ett protokoll sprack skrev teamet, eller en utomst\u00e5ende utredare, ett offentligt inl\u00e4gg: en tidslinje p\u00e5 minutniv\u00e5, en rotorsak, ibland en urs\u00e4kt, n\u00e4stan alltid utan att peka ut en enskild skyldig. Ingen lag kr\u00e4vde det. Det var kultur, inte regelefterlevnad, och under flera \u00e5r var det den enda redovisning n\u00e5gon fick.<\/p>

Under 2026 har en kil drivits in i genren. F\u00f6r akt\u00f6rer med en fot innanf\u00f6r det reglerade systemet, framf\u00f6r allt de kryptobolag som har eller s\u00f6ker tillst\u00e5nd som leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster (CASP), h\u00e5ller obduktionen p\u00e5 att bli n\u00e5got annat: en obligatorisk, deadline-styrd och konfidentiell rapport till en tillsynsmyndighet. I Sverige \u00e4r den mottagaren Finansinspektionen. Samma h\u00e4ndelse ger allts\u00e5 numera tv\u00e5 dokument med tv\u00e5 helt olika syften, tv\u00e5 publiker och tv\u00e5 r\u00e4ttsliga statusar. Det ena skrivs f\u00f6r gemenskapen, det andra f\u00f6r staten.<\/p>

Skillnaden \u00e4r inte akademisk. Den avg\u00f6r om du n\u00e5gonsin f\u00e5r l\u00e4sa redog\u00f6relsen, om det finns en frist som tvingar fram den, och om det finns n\u00e5gon myndighet alls som kan st\u00e4lla fr\u00e5gor efter\u00e5t. F\u00f6r den som f\u00f6rlorar pengar \u00e4r det skillnaden mellan ett system med formell tillsyn och ett blogginl\u00e4gg man f\u00e5r lita p\u00e5.<\/p>

S\u00e5 f\u00f6ddes den frivilliga obduktionen<\/h2>

Formen l\u00e5nades till stora delar fr\u00e5n mjukvarudriftens v\u00e4rld. Googles id\u00e9 om den skuldfria obduktionen, den s\u00e5 kallade blameless postmortem, handlade om att utreda vad som gick fel utan att h\u00e4nga ut en individ, s\u00e5 att organisationen l\u00e4r sig i st\u00e4llet f\u00f6r att tysta ner. Krypto tog strukturen (tidslinje, rotorsak, \u00e5tg\u00e4rd) och lade till n\u00e5got eget: offentligheten. Obduktionen publicerades, den arkiverades inte.<\/p>

Ursprungsscenen \u00e4r The DAO 2016, d\u00e5 ett reentrancy-fel t\u00f6mde omkring en tredjedel av fonden och Ethereum till slut l\u00f6ste krisen med en omstridd hard fork som rullade tillbaka st\u00f6lden. L\u00e4rdomen var att den verkliga ansvarsinstansen l\u00e5g i det sociala lagret, bland utvecklare och token-innehavare, inte i koden. Ur det v\u00e4xte en hel estetik: den anonyma nekrologsajten rekt.news och dess leaderboard<\/a> f\u00f6rvandlade haverierna till ett kollektivt minne, en skamv\u00e4gg lika mycket som ett arkiv.<\/p>

Genren fick till och med sitt eget f\u00f6rhandlingsritual. N\u00e4r Euler Finance f\u00f6rlorade omkring 197 miljoner dollar i mars 2023<\/a> f\u00f6rdes samtalet med angriparen on-chain, och pengarna kom tillbaka n\u00e4stan i sin helhet mot ett bug-bounty. Inget av detta kr\u00e4vdes av n\u00e5gon myndighet. Det var branschens eget s\u00e4tt att hantera f\u00f6rlust, d\u00f6d och l\u00e4rdom, helt p\u00e5 frivillig v\u00e4g.<\/p>

DORA-klockan: fyra timmar, 72 timmar, en m\u00e5nad<\/h2>

Det som f\u00f6r\u00e4ndrar bilden \u00e4r ett regelverk som inte handlar om krypto specifikt, utan om finanssektorns digitala motst\u00e5ndskraft i stort. DORA (Digital Operational Resilience Act, f\u00f6rordning (EU) 2022\/2554)<\/a> till\u00e4mpas sedan den 17 januari 2025 och omfattar finansiella akt\u00f6rer, inklusive CASP-bolag under MiCA. K\u00e4rnan f\u00f6r v\u00e5r del \u00e4r inte brandv\u00e4ggar och leverant\u00f6rsavtal, utan rapporteringskravet: en allvarlig IKT-incident ska anm\u00e4las till den nationella tillsynsmyndigheten enligt en fast klocka.<\/p>

Klockan ser ut s\u00e5 h\u00e4r. En f\u00f6rsta anm\u00e4lan ska in inom fyra timmar efter att incidenten klassats som allvarlig, med en yttersta gr\u00e4ns p\u00e5 24 timmar fr\u00e5n det att bolaget blev medvetet om den. D\u00e4refter kommer en mellanrapport inom 72 timmar, och en slutrapport senast en m\u00e5nad efter mellanrapporten<\/a>. Det \u00e4r en fundamentalt annan logik \u00e4n den frivilliga obduktionen. Den frivilliga skrivs n\u00e4r teamet \u00e4r redo och vill; DORA-rapporten skrivs n\u00e4r klockan s\u00e4ger till, oavsett om rotorsaken \u00e4r klarlagd eller inte.<\/p>

Och den \u00e4r inte till f\u00f6r allm\u00e4nheten. D\u00e4r den publika obduktionen \u00e4r en f\u00f6rest\u00e4llning inf\u00f6r gemenskapen \u00e4r DORA-rapporten en konfidentiell inlaga till staten. L\u00e4saren \u00e4r en handl\u00e4ggare, inte en diskussionstr\u00e5d. Nedan st\u00e4lls de tv\u00e5 dokumenten mot varandra.<\/p>

Egenskap<\/th>Frivillig publik obduktion<\/th>DORA-rapport till myndighet<\/th><\/tr><\/thead>
Vem kr\u00e4ver den<\/td>Ingen, branschkultur<\/td>EU-r\u00e4tt (DORA), f\u00f6r CASP-bolag<\/td><\/tr>
Tidsgr\u00e4ns<\/td>Ingen<\/td>4 timmar, 72 timmar, en m\u00e5nad<\/td><\/tr>
Mottagare<\/td>Gemenskapen, offentligt<\/td>Finansinspektionen, konfidentiellt<\/td><\/tr>
Form<\/td>Ber\u00e4ttande, teknisk, ofta skuldfri<\/td>Strukturerad mall med klassificering<\/td><\/tr>
R\u00e4ttslig status<\/td>Kan bli bevis mot avs\u00e4ndaren<\/td>Tillsyns\u00e4rende, sekretesskyddat<\/td><\/tr>
Syfte<\/td>F\u00f6rtroende och l\u00e4rdom<\/td>Tillsyn och systemrisk<\/td><\/tr><\/tbody><\/table><\/figure>

MiCA drar gr\u00e4nsen: vem \u00e4r en CASP?<\/h2>

Om DORA \u00e4r klockan \u00e4r MiCA linjalen som avg\u00f6r vem klockan g\u00e4ller f\u00f6r. MiCA (f\u00f6rordning (EU) 2023\/1114)<\/a> reglerar utgivare av kryptotillg\u00e5ngar och leverant\u00f6rer av kryptotillg\u00e5ngstj\u00e4nster: b\u00f6rser, v\u00e4xling, f\u00f6rvaring, viss r\u00e5dgivning. Den som driver en s\u00e5dan tj\u00e4nst m\u00e5ste ha tillst\u00e5nd fr\u00e5n den nationella beh\u00f6riga myndigheten, och det \u00e4r det tillst\u00e5ndet som drar in bolaget under DORA:s rapporteringsklocka.<\/p>

Men MiCA drar ocks\u00e5 en skarp gr\u00e4ns ut\u00e5t. I ingressens sk\u00e4l 22 undantas uttryckligen tj\u00e4nster som tillhandah\u00e5lls p\u00e5 ett helt decentraliserat s\u00e4tt utan n\u00e5gon mellanhand<\/em>. Ett protokoll utan en identifierbar operat\u00f6r faller allts\u00e5 utanf\u00f6r MiCA, och d\u00e4rmed utanf\u00f6r DORA. Det \u00e4r h\u00e4r UNCX hamnar, liksom den stora majoriteten av DeFi. Ingen mellanhand, ingen CASP, ingen klocka.<\/p>

F\u00f6r svensk del \u00e4r tidslinjen konkret. Sedan den 1 oktober 2025 m\u00e5ste varje kryptobolag som v\u00e4nder sig till svenska kunder ha ans\u00f6kt om tillst\u00e5nd hos Finansinspektionen eller upph\u00f6ra<\/a>. Den som v\u00e4ljer att noteras p\u00e5 en reglerad b\u00f6rs, eller att driva en f\u00f6rvaringstj\u00e4nst f\u00f6r svenska kunder, k\u00f6per allts\u00e5 in sig i b\u00e5de tillst\u00e5ndsplikten och rapporteringsklockan p\u00e5 samma g\u00e5ng. Hur den aff\u00e4ren ser ut fr\u00e5n b\u00f6rsens sida har vi beskrivit i genomg\u00e5ngen av varf\u00f6r b\u00f6rser noterar tokens<\/a>, och vad som h\u00e4nder n\u00e4r en notering \u00e4nd\u00e5 kollapsar syns i obduktionen av MOVE-noteringen<\/a>.<\/p>

Finansinspektionen blir mottagare, inte l\u00e4sare<\/h2>

I den gamla modellen var publiken l\u00e4sare. I den nya \u00e4r Finansinspektionen mottagare. Skillnaden \u00e4r viktig. N\u00e4r ett tillst\u00e5ndspliktigt bolag drabbas av en allvarlig incident landar den f\u00f6rsta redog\u00f6relsen p\u00e5 en tillsynsmyndighets bord, inte i ett blogginl\u00e4gg. Myndigheten kan beg\u00e4ra kompletteringar, v\u00e4ga systemrisk, j\u00e4mf\u00f6ra med andra inlagor och i f\u00f6rl\u00e4ngningen ingripa. Finansinspektionen \u00e4r den beh\u00f6riga myndigheten f\u00f6r kryptotillg\u00e5ngar i Sverige<\/a> och sitter i det europeiska n\u00e4tverk av tillsynsmyndigheter som samordnas av Esma.<\/p>

Det betyder inte att allm\u00e4nheten f\u00e5r veta mer. Tv\u00e4rtom. Den reglerade rapporten \u00e4r sekretesskyddad; du som drabbad kund ser den aldrig. Det du eventuellt ser \u00e4r bolagets egen, frivilliga kommunikation, som kan vara utf\u00f6rlig eller urvattnad. Tillsynen finns d\u00e4r, men den sker bakom st\u00e4ngda d\u00f6rrar. Det \u00e4r en avv\u00e4gning: mer ansvarsutkr\u00e4vande mot staten, mindre insyn f\u00f6r gemenskapen.<\/p>

Det \u00e4r ocks\u00e5 en kulturkrock. Kryptons obduktionstradition byggde sitt f\u00f6rtroende p\u00e5 radikal \u00f6ppenhet, p\u00e5 att visa allt. Tillsynsmodellen bygger sitt f\u00f6rtroende p\u00e5 det motsatta: att en myndighet har sett allt, s\u00e5 att du slipper. Vilket av dessa som faktiskt skapar mer s\u00e4kerhet \u00e4r l\u00e5ngt ifr\u00e5n avgjort.<\/p>

Esma jagar en DeFi-definition och varnar f\u00f6r \u00abdecentralisation washing\u00bb<\/h2>

Gr\u00e4nsen i sk\u00e4l 22 \u00e4r l\u00e4ttare att skriva \u00e4n att dra. Vad betyder egentligen helt decentraliserat utan n\u00e5gon mellanhand<\/em>? Ett protokoll kan ha ett gr\u00e4nssnitt, ett team som uppgraderar kontrakt, en styrningstoken koncentrerad hos n\u00e5gra f\u00e5. \u00c4r det d\u00e5 verkligen utan mellanhand? Fr\u00e5gan \u00e4r inte teoretisk, f\u00f6r svaret avg\u00f6r vem som slipper rapporteringsklockan.<\/p>

Den 30 september 2026 l\u00e4mnade Esma sitt svar p\u00e5 EU-kommissionens \u00f6versyn av MiCA, och DeFi fick en central plats. Esma konstaterar att synen p\u00e5 full decentralisering g\u00e5r is\u00e4r inom EU<\/a> och att os\u00e4kerheten har \u00f6kat risken f\u00f6r det tillsynsmyndigheten beskriver som decentralisation washing: att en identifierbar operat\u00f6r g\u00f6mmer sig bakom DeFi-spr\u00e5k f\u00f6r att slippa MiCA:s skyldigheter. Esmas slutsats \u00e4r att undantaget b\u00f6r vara s\u00e5 sn\u00e4vt som m\u00f6jligt.<\/p>

Konkret vill Esma ha en tydlig DeFi-definition inskriven i lagtexten, tydligare kriterier f\u00f6r vad som r\u00e4knas som genuint decentraliserat, och en helt ny reglerad tj\u00e4nst<\/a> som f\u00e5ngar bolag som ger anv\u00e4ndare tillg\u00e5ng till DeFi-protokoll f\u00f6r deras r\u00e4kning. Po\u00e4ngen f\u00f6r obduktionskulturen \u00e4r rak: om Esma f\u00e5r igenom sin linje flyttas fler gr\u00e4nssnitt och \u00e5tkomstleverant\u00f6rer in under CASP-begreppet, och d\u00e4rmed in under DORA:s klocka. Fler haverier skulle d\u00e5 sluta som konfidentiella myndighetsrapporter i st\u00e4llet f\u00f6r offentliga blogginl\u00e4gg. Gr\u00e5zonen krymper, och med den krymper den rent frivilliga obduktionen.<\/p>

Tv\u00e5 hastigheter: EU rapporterar, USA utreder<\/h2>

Tudelningen ser olika ut p\u00e5 olika sidor av Atlanten, och det \u00e4r v\u00e4rt att f\u00f6rst\u00e5 f\u00f6r den som l\u00e4ser internationella obduktioner. EU har byggt en fram\u00e5tblickande ordning: DORA tvingar fram en rapport medan h\u00e4ndelsen fortfarande p\u00e5g\u00e5r, och MiCA avg\u00f6r vem som omfattas. Logiken \u00e4r f\u00f6rebyggande och systemisk, inte straffande i f\u00f6rsta hand.<\/p>

USA har tagit en annan v\u00e4g. D\u00e4r finns ingen kryptospecifik rapporteringsklocka motsvarande DORA; i st\u00e4llet sker ansvarsutkr\u00e4vandet i efterhand, genom SEC, CFTC och justitiedepartementet, och ofta f\u00f6rst flera \u00e5r senare i en domstol. Samtidigt har tillsynen under 2026 snarast backat p\u00e5 sj\u00e4lva klassificeringsfr\u00e5gan, sedan SEC slagit fast att de flesta kryptotillg\u00e5ngar inte i sig \u00e4r v\u00e4rdepapper<\/a>. Resultatet \u00e4r att en amerikansk obduktion oftare blir ett underlag f\u00f6r en framtida st\u00e4mning \u00e4n en inlaga till en l\u00f6pande tillsyn.<\/p>

F\u00f6r en svensk l\u00e4sare betyder det att samma incident kan se helt olika ut beroende p\u00e5 var bolaget sitter. Ett EU-baserat CASP-bolag har redan rapporterat till sin tillsynsmyndighet inom ett dygn; en amerikansk motpart kan mycket v\u00e4l ha sagt ingenting formellt alls, och v\u00e4ntar i st\u00e4llet p\u00e5 om en myndighet v\u00e4ljer att agera. Den som j\u00e4mf\u00f6r tv\u00e5 obduktioner b\u00f6r d\u00e4rf\u00f6r f\u00f6rst fr\u00e5ga under vilken jurisdiktion de skrevs.<\/p>

Den stora gr\u00e5zonen: DeFi utanf\u00f6r klockan<\/h2>

Tills vidare st\u00e5r dock den decentraliserade majoriteten utanf\u00f6r. F\u00f6r dessa protokoll \u00e4r den frivilliga obduktionen inte ett komplement, den \u00e4r hela redovisningen. Finns den inte, finns ingenting. UNCX \u00e4r ett exempel: ett l\u00e5sningsprotokoll utan tillst\u00e5ndspliktig operat\u00f6r, d\u00e4r en s\u00e4kerhetsfirmas tr\u00e5d blev det n\u00e4rmaste en officiell rapport som n\u00e5gonsin kommer att skrivas.<\/p>

St\u00f6rre fall f\u00f6ljer samma m\u00f6nster. N\u00e4r KelpDAO f\u00f6rlorade omkring 290 miljoner dollar i april 2026<\/a> uppstod en offentlig skuldstrid mellan protokollet och LayerZero om vems konfiguration som bar ansvaret. Det blev tv\u00e5 obduktioner som pekade p\u00e5 varandra, men ingen myndighetsinlaga, eftersom ingen av parterna agerade som ett svenskt CASP-bolag.<\/p>

Statistiken bekr\u00e4ftar f\u00f6rskjutningen. Enligt TRM Labs stals omkring 972 miljoner dollar \u00f6ver 207 incidenter under f\u00f6rsta halv\u00e5ret 2026<\/a>, med Drift Protocol (omkring 285 miljoner dollar, tillskrivet Nordkorea) som ett av de tv\u00e5 st\u00f6rsta fallen. Rena kontraktsfel stod f\u00f6r flest incidenter, men merparten av v\u00e4rdet kom fr\u00e5n komprometterade nycklar och m\u00e4nsklig manipulation, och \u00e4nnu i oktober 2026 fortsatte stulna medel fr\u00e5n v\u00e5rens angrepp att r\u00f6ra sig vidare mot blandningstj\u00e4nster. Det \u00e4r just den ytan som obduktionen f\u00e5ngar s\u00e4mst, f\u00f6r d\u00e4r finns s\u00e4llan ett rent on-chain-sp\u00e5r, och ber\u00e4ttelsen vilar p\u00e5 offrets egen \u00e4rlighet.<\/p>

N\u00e4r ingen myndighet kan tvinga fram redovisningen avg\u00f6rs ers\u00e4ttningen i st\u00e4llet av en DAO-r\u00f6st eller av teamets goda vilja, en mekanik vi synat i granskningen av hur gemenskapsstyrets r\u00f6ster priss\u00e4tts<\/a>. D\u00e4r ett CASP-bolag har en balansr\u00e4kning och en tillsynsmyndighet har ett protokoll ofta bara en omr\u00f6stning och en kassa som kan vara t\u00f6md.<\/p>

Tv\u00e5 bolag som valde ljuset: Bybit och Gnosis Pay<\/h2>

Att ligga n\u00e4ra den reglerade zonen betyder inte att \u00f6ppenheten d\u00f6r. Tv\u00e4rtom finns de tydligaste exemplen p\u00e5 radikal transparens just bland akt\u00f6rer med en fot i det institutionella. N\u00e4r b\u00f6rsen Bybit drabbades av historiens st\u00f6rsta kryptost\u00f6ld den 21 februari 2025, omkring 1,5 miljarder dollar (ungef\u00e4r 15 miljarder kronor)<\/a>, valde vd Ben Zhou motsatsen till tystnad. Bybit la ut l\u00f6pande uppdateringar, utlyste ett sp\u00e5rningsbounty och l\u00e4t externa utredare publicera sina forensiska rapporter inom dagar. Sygnias genomg\u00e5ng<\/a> pekade p\u00e5 att vektorn var ett manipulerat signeringsgr\u00e4nssnitt, inte ett fel i sj\u00e4lva kontraktet.<\/p>

Det mindre men renare exemplet \u00e4r Gnosis Pay, kortutgivaren i Gnosis-ekosystemet, som i juni 2026 drabbades av ett fel i signaturvalidering som legat vilande sedan 2023. F\u00f6rlusten var blygsam i sammanhanget, omkring 1,5 miljoner dollar (cirka 15 miljoner kronor) \u00f6ver 5 281 pl\u00e5nb\u00f6cker<\/a>, och bolaget gjorde allt r\u00e4tt enligt genrens ideal: tidslinje p\u00e5 minutniv\u00e5, rotorsak inom ett par timmar, och framf\u00f6r allt bar bolaget hela f\u00f6rlusten s\u00e5 att kunderna blev helt \u00e5terst\u00e4llda. H\u00e4r sammanf\u00f6ll den reglerade akt\u00f6rens resurser med obduktionskulturens \u00f6ppenhet. Det \u00e4r den kombinationen, inte valet mellan dem, som pekar fram\u00e5t.<\/p>

Tabellen nedan sorterar n\u00e5gra av fallen efter det som den nya tudelningen g\u00f6r relevant: vilken sorts akt\u00f6r det r\u00f6r sig om, om h\u00e4ndelsen alls omfattas av MiCA och DORA, vem som fick obduktionen, och vem som till slut bar f\u00f6rlusten.<\/p>

H\u00e4ndelse<\/th>Typ av akt\u00f6r<\/th>MiCA\/DORA?<\/th>Vem fick obduktionen<\/th>Vem bar f\u00f6rlusten<\/th><\/tr><\/thead>
Bybit (2025)<\/td>Central b\u00f6rs<\/td>CASP-liknande<\/td>Allm\u00e4nhet och utredare<\/td>Bolaget<\/td><\/tr>
Gnosis Pay (2026)<\/td>Kortutgivare<\/td>N\u00e4ra perimetern<\/td>Allm\u00e4nhet<\/td>Bolaget<\/td><\/tr>
Euler (2023)<\/td>DeFi-protokoll<\/td>Nej<\/td>Allm\u00e4nhet, on-chain<\/td>\u00c5terl\u00e4mnades<\/td><\/tr>
UNCX (2026)<\/td>DeFi-protokoll<\/td>Nej<\/td>Allm\u00e4nhet via s\u00e4kerhetsfirma<\/td>Anv\u00e4ndarna<\/td><\/tr>
KelpDAO (2026)<\/td>DeFi-protokoll<\/td>Nej<\/td>Omtvistad, offentlig<\/td>Anv\u00e4ndarna<\/td><\/tr>
Drift (2026)<\/td>DeFi-protokoll<\/td>Nej<\/td>Allm\u00e4nhet<\/td>Protokoll och anv\u00e4ndare<\/td><\/tr><\/tbody><\/table><\/figure>

Rapport \u00e4r inte motst\u00e5ndskraft<\/h2>

En viktig varning h\u00f6r hemma h\u00e4r. En rapport inom fyra timmar stoppar inte en enda hack. DORA handlar om motst\u00e5ndskraft och rapportering, inte om kodens korrekthet, och ingen tillsynsmyndighet i vare sig EU eller USA ackrediterar granskare av smarta kontrakt eller f\u00f6reskriver att kod ska revideras p\u00e5 ett visst s\u00e4tt. Det finns ingen revisorsn\u00e4mnd f\u00f6r Solidity.<\/p>

Risken \u00e4r att en kryssad regelruta f\u00f6rv\u00e4xlas med s\u00e4kerhet. Mitchell Amador, grundare och vd f\u00f6r bug-bounty-plattformen Immunefi, har formulerat problemet skarpt f\u00f6r revisioner, och det g\u00e4ller lika mycket f\u00f6r myndighetsrapporter: \u00ab’we were audited’ was never the same as ‘we are safe’\u00bb<\/a>. Att en inlaga har skickats till Finansinspektionen s\u00e4ger ingenting om huruvida n\u00e4sta rad kod h\u00e5ller.<\/p>

Branschen har f\u00f6r \u00f6vrigt byggt sin egen, icke-statliga styrning av just responsen. Security Alliance Safe Harbor \u00e4r ett offentligt, r\u00e4ttsligt bindande erbjudande d\u00e4r en white hat kan \u00e5terl\u00e4mna medel inom 72 timmar mot ett bounty p\u00e5 tio procent, med tak och med krav p\u00e5 identitetskontroll. Ramverket t\u00e4cker protokoll v\u00e4rda tiotals miljarder dollar<\/a> och existerar helt utan att n\u00e5gon myndighet skrivit det. Det \u00e4r en p\u00e5minnelse om att den frivilliga ordningen inte \u00e4r kaos; den \u00e4r bara inte lag.<\/p>

N\u00e4r transparensen blir bevis<\/h2>

Det finns ocks\u00e5 en m\u00f6rkare anledning till att den konfidentiella kanalen lockar. En offentlig, sj\u00e4lvkritisk obduktion \u00e4r ett erk\u00e4nnande, och ett erk\u00e4nnande kan bli bevis. Ju mer \u00e4rligt ett team beskriver sina egna misstag, desto mer material ger det en framtida k\u00e4rande eller \u00e5klagare. Den konfidentiella DORA-rapporten, som aldrig blir offentlig, b\u00e4r inte samma exponering.<\/p>

Att r\u00e4ttssalen numera \u00e4r en del av genren \u00e4r inte spekulation. Do Kwon, mannen bakom Terra-kollapsen, d\u00f6mdes den 11 december 2025 till 15 \u00e5rs f\u00e4ngelse<\/a> och till att f\u00f6rverka \u00f6ver 19 miljoner dollar, sedan domaren kallat kollapsen ett bedr\u00e4geri av generationsformat. I fallet Mango Markets ogiltigf\u00f6rklarade d\u00e4remot en domare 2025 de tidigare f\u00e4llande domarna mot Avraham Eisenberg, med argumentet att protokollet var tillst\u00e5ndsl\u00f6st och automatiskt. Och i Tornado Cash-m\u00e5len pr\u00f6vas nu sj\u00e4lva fr\u00e5gan om en utvecklare kan h\u00e5llas ansvarig f\u00f6r hur andra anv\u00e4nder koden. Po\u00e4ngen \u00e4r att varje offentlig mening kan l\u00e4sas tv\u00e5 g\u00e5nger: en g\u00e5ng av gemenskapen, en g\u00e5ng av en jurist. Vem som egentligen b\u00e4r skulden n\u00e4r ett decentraliserat bygge brinner har vi g\u00e5tt igenom separat i texten om ansvaret bakom DAO-dramat<\/a>.<\/p>

Resultatet \u00e4r att allt fler team l\u00e5ter jurister l\u00e4sa obduktionen innan den publiceras. Den skuldfria, \u00f6ppenhj\u00e4rtiga tonen som genren byggdes p\u00e5 \u00e4r sv\u00e5rare att f\u00f6rsvara n\u00e4r n\u00e4sta l\u00e4sare kan vara en f\u00f6runders\u00f6kningsledare. H\u00e4r finns en verklig paradox: den reglerade kanalen, som tvingar fram en rapport, kan samtidigt g\u00f6ra det tryggare att vara \u00e4rlig, eftersom inlagan stannar hos myndigheten.<\/p>

Den svenska vinkeln: vad en drabbad faktiskt kan g\u00f6ra<\/h2>

F\u00f6r en svensk sparare avg\u00f6r tudelningen vad som faktiskt g\u00e5r att g\u00f6ra efter\u00e5t. Drabbas du via ett bolag med tillst\u00e5nd fr\u00e5n Finansinspektionen finns det en reglerad motpart: en incidentrapport g\u00e5r till myndigheten, tillsyn finns, och det finns klago- och pr\u00f6vningsv\u00e4gar som f\u00f6r annan finansiell verksamhet. Drabbas du i st\u00e4llet direkt i ett decentraliserat protokoll finns i praktiken ingen s\u00e5dan motpart. MiCA n\u00e5r inte protokollet, det finns ingen ins\u00e4ttningsgaranti f\u00f6r smarta kontrakt, och obduktionen, om den ens skrivs, \u00e4r hela din redovisning.<\/p>

Det g\u00f6r n\u00e5gra fr\u00e5gor v\u00e4rda att st\u00e4lla innan man litar p\u00e5 en plattform, och s\u00e4rskilt n\u00e4r en incident redan har intr\u00e4ffat:<\/p>

  • \u00c4r akt\u00f6ren ett bolag med tillst\u00e5nd fr\u00e5n Finansinspektionen, eller ett protokoll utan identifierbar operat\u00f6r?<\/li>
  • Finns en reglerad rapporteringsv\u00e4g (DORA), eller enbart ett frivilligt blogginl\u00e4gg?<\/li>
  • Pekar obduktionen ut en ansvarig part, eller beskriver den bara koden?<\/li>
  • Finns en kassa, en f\u00f6rs\u00e4kring eller ett ers\u00e4ttningsbeslut som kan g\u00f6ra dig hel?<\/li>
  • Reviderades den r\u00e4ttade koden p\u00e5 nytt, eller lappades felet bara ihop?<\/li><\/ul>

    Ingen av fr\u00e5gorna ger pengarna tillbaka, men tillsammans avg\u00f6r de om du har en motpart att v\u00e4nda dig till eller enbart en ber\u00e4ttelse att l\u00e4sa. Och de visar varf\u00f6r valet av plattform, p\u00e5 samma s\u00e4tt som valet av f\u00f6rvaringsl\u00f6sning, i grunden \u00e4r ett beslut om vilken sorts obduktion du vill ha r\u00e4tt till om det v\u00e4rsta h\u00e4nder.<\/p>

    2026: obduktionen institutionaliseras<\/h2>

    L\u00e4gg ihop delarna och en bild framtr\u00e4der. Den genre som f\u00f6ddes som gr\u00e4srotstransparens, den anonyma nekrologen och den skuldfria tekniska tr\u00e5den, h\u00e5ller p\u00e5 att absorberas i formell tillsyn f\u00f6r en del av marknaden, medan en annan del beh\u00e5ller folkritualen i of\u00f6r\u00e4ndrat skick. DORA ger klockan, MiCA drar gr\u00e4nsen, och Esmas septemberutspel 2026 pekar mot att gr\u00e4nsen ska flyttas s\u00e5 att den reglerade delen v\u00e4xer.<\/p>

    Vinsten \u00e4r verklig: deadlines, en myndighet som kan st\u00e4lla fr\u00e5gor, ansvarsutkr\u00e4vande f\u00f6r akt\u00f6rer som hanterar andras pengar. F\u00f6rlusten \u00e4r lika verklig: den publika, skuldfria, delade l\u00e4rdomen riskerar att ers\u00e4ttas av konfidentiella inlagor som ingen utanf\u00f6r myndigheten f\u00e5r l\u00e4sa. Ett tv\u00e5delat minne h\u00e5ller p\u00e5 att uppst\u00e5, ett slutet myndighetsarkiv f\u00f6r CASP-bolagen och ett st\u00f6kigt offentligt arkiv f\u00f6r allt annat.<\/p>

    Obduktionen d\u00f6r allts\u00e5 inte. Den arkiveras. Och fr\u00e5gan branschen b\u00e4r med sig in i 2027, n\u00e4r nya DeFi-regler v\u00e4ntas, \u00e4r om den samlade kunskapen blir mer eller mindre anv\u00e4ndbar n\u00e4r h\u00e4lften av den f\u00f6rsvinner bakom sekretess och den andra h\u00e4lften forts\u00e4tter att skrivas helt utan tv\u00e5ng. Svaret avg\u00f6r om tio \u00e5rs obduktioner blir en l\u00e4robok eller bara en skamv\u00e4gg.<\/p>

    Frequently Asked Questions<\/h2>

    Vad \u00e4r en krypto-post-mortem?<\/h3>

    En krypto-post-mortem, eller obduktion, \u00e4r en redog\u00f6relse som publiceras efter ett hack eller ett haveri och f\u00f6rklarar vad som h\u00e4nde: en tidslinje, en rotorsak och ofta de \u00e5tg\u00e4rder som vidtagits. Traditionellt \u00e4r den frivillig och offentlig, men f\u00f6r tillst\u00e5ndspliktiga bolag blir den under 2026 i st\u00e4llet en obligatorisk och konfidentiell rapport till en tillsynsmyndighet.<\/p>

    M\u00e5ste ett kryptobolag rapportera en hack till Finansinspektionen?<\/h3>

    Ja, om bolaget \u00e4r en tillst\u00e5ndspliktig leverant\u00f6r av kryptotillg\u00e5ngstj\u00e4nster (CASP). D\u00e5 g\u00e4ller DORA, som kr\u00e4ver att en allvarlig IKT-incident anm\u00e4ls till Finansinspektionen enligt en fast tidsplan. Ett helt decentraliserat protokoll utan identifierbar operat\u00f6r faller d\u00e4remot utanf\u00f6r kravet.<\/p>

    Vilka tidsgr\u00e4nser g\u00e4ller f\u00f6r DORA-rapportering?<\/h3>

    En f\u00f6rsta anm\u00e4lan ska l\u00e4mnas inom fyra timmar efter att incidenten klassats som allvarlig, med en yttersta gr\u00e4ns p\u00e5 24 timmar fr\u00e5n det att bolaget blev medvetet om den. D\u00e4refter f\u00f6ljer en mellanrapport inom 72 timmar och en slutrapport senast en m\u00e5nad efter mellanrapporten.<\/p>

    Varf\u00f6r slipper DeFi-protokoll rapporteringskraven?<\/h3>

    MiCA undantar i sk\u00e4l 22 tj\u00e4nster som tillhandah\u00e5lls p\u00e5 ett helt decentraliserat s\u00e4tt utan n\u00e5gon mellanhand, och utan CASP-status g\u00e4ller inte DORA. Esma varnade den 30 september 2026 f\u00f6r att undantaget utnyttjas och vill ha en sn\u00e4vare och tydligare DeFi-definition, vilket skulle dra in fler akt\u00f6rer under rapporteringskraven.<\/p>

    Kan jag f\u00e5 tillbaka pengar om ett DeFi-protokoll hackas?<\/h3>

    S\u00e4llan automatiskt. \u00c4r akt\u00f6ren ett bolag med tillst\u00e5nd fr\u00e5n Finansinspektionen finns en reglerad motpart och klagov\u00e4gar, men i ett helt decentraliserat protokoll finns ingen ins\u00e4ttningsgaranti och ingen myndighet som kan tvinga fram ers\u00e4ttning. D\u00e5 avg\u00f6rs saken av protokollets kassa, en eventuell f\u00f6rs\u00e4kring eller en DAO-r\u00f6st, och ofta blir det ingen ers\u00e4ttning alls.<\/p>