Klokken 04:18 UTC den 31. august 2026 ba et program på Solana om å få kjøpe 102 HYPE-token for rundt 8 600 dollar. Handelen gikk gjennom. Men motparten, en markedsplass ved navn Aquifer, fikk aldri betalt. Det samme trikset ble gjentatt 211 ganger til i løpet av 40 minutter, og da klokken passerte 04:21 hadde Aquifer mistet 2,47 millioner dollar fra 18 av sine 45 token-hvelv. Angrepet er nå gransket i detalj av blokkjede-etterforskerne i Bitquery, og funnene deres viser en av de mer oppfinnsomme svindlene mot en desentralisert markedsplass så langt i 2026.
Saken er liten sammenlignet med de virkelig store krypto-tyveriene i år, men den er interessant av en annen grunn: den viser hvor lite som skal til når en markedsplass stoler på feil ting. Aquifer leste en fil den aldri sjekket eierskapet til, og den filen påsto en saldo på over 18 billioner dollar i USDC. Det finnes ikke i nærheten av så mye USDC på hele Solana. Ifølge Bitquerys etterforskning er dette “den eldste feilen på Solana”: å lese en verdi uten å spørre hvem som skrev den.
Aquifer og Solana: markedsplassen bak angrepet
Aquifer er en handelsplass på Solana, en såkalt automatisert market maker (AMM), som lar apper som Jupiter rute bytter av token gjennom den. For å kunne betale ut umiddelbart holder Aquifer en beholdning av hvert token i egne kontoer, og det er nettopp den beholdningen som ble tømt. Solana skiller seg fra de fleste andre blokkjeder ved at hver brukers saldo av et token ikke ligger i én stor liste kontrollert av selve token-kontrakten. I stedet ligger den i en liten, separat konto på nøyaktig 165 byte, og den kontoen eies formelt av SPL Token Program, det delte systemet som styrer nesten alle vanlige token på kjeden.
To regler skal i teorien holde dette systemet trygt. Den første sier at bare programmet som eier en konto kan skrive til den, så hvis en konto tilhører token-programmet, er tallene ekte. Den andre sier at når et program skal ta imot betaling, ber det token-programmet flytte pengene, og det er den som kaller opp transaksjonen som bestemmer hvilket program som faktisk blir spurt. En markedsplass som lar brukeren selv velge hvilket “token-program” som skal sjekkes, har i praksis gitt brukeren nøklene til kassaapparatet. Det er nøyaktig det som skjedde med Aquifer, ifølge Bitquerys rekonstruksjon av alle 379 transaksjonene i angriperens lommebok.
Slik fungerte angrepet: en falsk saldo på 18 billioner dollar
Fem minutter før det første falske bytte fant sted, satte angriperen opp sitt eget program på Solana og ga umiddelbart fra seg retten til å endre det, noe som på Solana gjør programmet permanent. Programmet var lite: det godtok en instruksjon formet akkurat som en vanlig token-overføring, gjorde ingenting, og rapporterte suksess uansett.
Deretter bygde angriperen 45 kontoer av riktig størrelse og fylte dem med data som så ut som ekte token-saldoer. Elleve av disse ble faktisk brukt i angrepet. Den vanligste inneholdt en påstått USDC-saldo på 18 446 744 073 709 551 615, altså det største tallet feltet i det hele tatt kan lagre, tilsvarende rundt 18 billioner dollar. Til sammenligning finnes det ifølge Bitquery bare rundt 7,8 milliarder USDC på hele Solana, så den falske saldoen var mer enn to tusen ganger større enn den reelle pengemengden i omløp.
Selve trikset var enkelt når rammeverket først var på plass. Angriperen ba om et bytte, oppga sitt eget program som “token-programmet” for den innkommende siden av handelen, og pekte på den forfalskede kontoen som betalingskilde. Aquifer sjekket at kjøperen kunne betale, leste 18 billioner dollar, og sendte varene. Programmet svarte “ja” uten å flytte en eneste krone, og brukte ifølge etterforskerne rundt 858 regneenheter på å gjøre nettopp ingenting. Alle 212 vellykkede handlene fulgte samme mønster: en ekte overføring ut av et hvelv, etterfulgt av et tomt “ja” fra angriperens eget program.
Hva forsvant fra Aquifers hvelv
Det første drenerings-kallet landet klokken 03:41 UTC, det siste klokken 04:21. I løpet av de 40 minuttene ble 18 av Aquifers token-lagre tømt, og for tolv av dem tok angriperen ut mer enn det som lå der da han startet, fordi vanlige handlere fortsatt fylte på lagrene mens ranet pågikk. Under følger fordelingen slik Bitquery har rekonstruert den fra kjeden, priset til 1. september 2026.
| Token | Verdi tatt (USD) | Antall handler |
|---|---|---|
| USDC | 1 281 035 | 50 |
| USDT | 459 371 | 11 |
| HYPE | 183 654 | 23 |
| cbBTC | 136 123 | 13 |
| CASH | 73 867 | 9 |
| Fartcoin | 57 707 | 8 |
| PUMP | 43 577 | 8 |
| WETH | 40 674 | 8 |
| TRUMP | 40 483 | 14 |
| Ni andre token samlet | 153 238 | 68 |
| Totalt | 2 469 729 | 212 |
Legg merke til at over 70 prosent av tapet lå i dollar-baserte stablecoin, USDC og USDT til sammen, mens resten var en gjennomgående blanding av token en Solana-markedsplass normalt vil ha liggende, fra pakket bitcoin til en meme-mynt oppkalt etter en promp. Fordelingen sier noe om hvor bredt Aquifer forsøkte å dekke handelsbehovet på kjeden, og dermed også hvor mange ulike beholdninger som lå åpne for samme svakhet.
Fra Solana til Ethereum: pengene forsvant på under en time
Salget av det stjålne godset startet før draineringen engang var ferdig. Token ble solgt gjennom en oppgjørstjeneste som handler direkte mot markedsaktører, supplert med et titalls vanlige Jupiter-bytter for restene, og alt ble gjort om til SOL. Lommebokens regnskap går opp helt presist: 24 082 SOL kom inn gjennom 54 salg, og 24 084 SOL gikk ut i tre overføringer.
To av de tre overføringene gikk ut av Solana via broen Rango, som bytter token på én kjede mot token på en annen, mens den tredje brukte et annet krysskjede-program. Alle tre har en tilsvarende ankomst på Ethereum innen ett minutt. Den første overføringen forlot Solana klokken 04:15, seks minutter før det siste hvelvet ble tømt, det vil si at angriperen flyttet pengene ut av systemet mens ranet fortsatt pågikk. Ifølge Bitquerys sporing endte pengene i en enkelt Ethereum-adresse som nå sitter på 1 000,7956 ether, mottatt i tre overføringer 31. august, og som per 1. september ikke har sendt en eneste transaksjon videre. Ingen miksetjeneste, ingen kjede av mellomstopp, bare stillhet på en åpen bok som enhver etterforsker eller børs kan se.
Løsepenge-tilbudet ingen svarte på
Klokken 16:43 UTC samme dag svarte Aquifer-teamet på kjeden. Ved å bruke multisig-lommeboken som styrer selve programmet, festet de en beskjed til en transaksjon adressert direkte til angriperen. Meldingen navnga både hans Solana-lommebok og hans Ethereum-adresse, noe som viser at teamet hadde fulgt pengene over broen i løpet av samme dag. Tilbudet ba om minst 80 prosent av summen tilbake innen klokken 14:00 UTC den 3. september, mot at angriperen fikk beholde de resterende 20 prosentene som belønning og et løfte om at Aquifer ikke ville forfølge saken sivilrettslig.
Fristen kom og gikk. Den oppgitte Solana-returadressen har ifølge Bitquery ligget urørt med de samme 0,98 SOL siden februar, og ingenting er blitt tilbakebetalt verken der eller på Ethereum-siden. Mønsteret ligner det man så etter Term Finance-angrepet tidligere i år, der et lignende bounty-tilbud heller ikke ble besvart, noe som understreker hvor sjelden disse “vi tilgir deg 20 prosent”-tilbudene faktisk fører frem i praksis.
Konsekvensen: 99,9 prosent trafikkfall over natten
Den klareste målestokken for skaden er ikke pengesummen, men trafikken. Timen etter angrepet falt antallet transaksjoner mot Aquifers USDC-hvelv med rundt 99,9 prosent, fra flere tusen i timen til et titalls. Programmet har ifølge Bitquery ikke blitt oppdatert siden 11. august, tre uker før angrepet, noe som betyr at koden som ble utnyttet fortsatt er den samme koden som kjører i dag. Alle 45 hvelvene til sammen inneholdt bare rundt 70 dollar da etterforskerne sjekket status 1. september. Det er lite igjen å stjele, men selve svakheten er ikke rettet, så hvis noen fyller opp hvelvene igjen, vil trikset ifølge etterforskningen fungere på nytt.
August 2026: den travleste hackmåneden i år
Aquifer-angrepet skjedde ikke i et vakuum. August 2026 var ifølge bransjedata fra flere sikkerhetsselskaper den måneden med flest registrerte krypto-hendelser i hele 2026, med rundt 50 større hack og et samlet tap på 136,3 millioner dollar. Det er faktisk en nedgang på nesten halvparten fra juli 2026, hvor tapene lå på rundt 270 millioner dollar, til tross for at antall hendelser i august var høyere. Aquifers tap på 2,47 millioner dollar utgjør dermed under to prosent av augusts samlede tap, men saken har fått uforholdsmessig mye oppmerksomhet fordi den rammer selve tilliten til hvordan en markedsplass verifiserer beholdning, ikke bare en enkeltstående smart kontrakt-feil.
Året som helhet peker i en tydelig retning. Ifølge tall fra TRM Labs var over 1,2 milliarder dollar stjålet i krypto-hendelser fordelt på 276 saker frem til begynnelsen av august 2026, mens sikkerhetsselskapet CertiK i sin Hack3D-rapport for første halvår 2026 kom til brutto tap på 1,3 milliarder dollar fordelt på 344 hendelser, med netto tap på rundt 1,2 milliarder dollar etter fratrekk for midler som ble fryst eller hentet tilbake. Immunefis oppsummering for samme periode landet på rundt 972 millioner dollar fordelt på 207 hendelser, det høyeste antallet enkelthendelser som noensinne er registrert i løpet av et halvår.
Aquifer sammenlignet med årets andre krypto-hack
Satt opp mot de andre store krypto-tyveriene i 2026 er Aquifer-saken liten i kroner og øre, men den skiller seg ut ved metoden. Der flere av de andre hendelsene handlet om styringsangrep, brosvakheter eller feil i selve firmwaren, var Aquifer et rendyrket tilfelle av manglende verifisering av eierskap på en enkeltkjede.
| Hendelse | Dato | Beløp tapt | Metode |
|---|---|---|---|
| Aquifer | 31. aug. 2026 | 2,47 mill. dollar | Forfalsket saldo-konto, manglende eierskapssjekk |
| Switchboard | 2026 | 546 000 dollar | Angrep på fire kjeder via orakel-tjeneste |
| Cosmos EVM | 2026 | 5,72 mill. dollar | Angrep rettet mot seks kjeder |
| Term Finance | 2026 | 8,5 mill. dollar | Styringsangrep i DeFi-protokoll |
| Tectonic | 2026 | 74 mill. dollar | Utnyttelse fulgt av tilbakerulling på Cronos |
| Coldcard | 2026 | 116 mill. dollar | Svakhet i firmware-generert nøkkelentropi |
Det som gjør Aquifer-saken relevant utover kronebeløpet, er at den passer inn i et mønster fagfolk har pekt på gjennom hele 2026: selve inngangsporten til pengene, ikke koden i den underliggende smarte kontrakten, er der de virkelig store tapene oppstår.
Trenden ingen snakker nok om: tilgangstyveri slår smarte kontrakter
Data fra TRM Labs for første halvår 2026 viser at smarte kontrakt-svakheter sto for 125 av 207 registrerte hack, altså det klare flertallet i antall hendelser. Likevel sto kompromitterte private nøkler, administrative tilganger og infrastruktursvikt for anslagsvis 76 prosent av de faktiske dollartapene i samme periode. Andre analyser av DeFi-hendelser spesifikt kommer til lignende konklusjoner: en rapport for første halvår fant at nøkkelkompromittering og bro-angrep sto for 82,7 prosent av tapene i 87 registrerte DeFi-hack, og flere aktører i bransjen beskriver dette som første gang stjålne nøkler har gått forbi kodefeil som den vanligste årsaken til de aller største tapene.
Aquifer-saken havner et sted mellom disse to kategoriene. Angrepet utnyttet ikke en feil i selve avtalelogikken, men en manglende sjekk av hvem som faktisk eide dataene programmet stolte på, altså et grenseland mellom klassisk kodefeil og et tillitsbrudd i systemets tilgangskontroll. Det samme mønsteret gikk igjen i april 2026, da Solana-protokollen Drift Protocol mistet 285 millioner dollar etter at angripere fikk to av fem multisig-signerere til å forhåndssignere transaksjoner ved hjelp av Solanas “durable nonce”-funksjon, ifølge granskning fra sikkerhetsselskapet QuillAudits. Heller ikke det var en klassisk kodefeil, men et angrep på selve beslutningsprosessen bak protokollen.
Solana Foundations svar og hvorfor Solana er et attraktivt mål
Etter Drift-angrepet i april lanserte Solana Foundation sikkerhetsprogrammene STRIDE og Solana Incident Response Network, forkortet SIRN. STRIDE vurderer protokoller på tvers av åtte områder, deriblant styring og tilgangskontroll, infrastruktursikkerhet og hendelsesovervåking. Protokoller med over 10 millioner dollar i låst verdi får tilgang til overvåking døgnet rundt finansiert av stiftelsen, mens protokoller over 100 millioner dollar kvalifiserer for formell verifisering av smarte kontrakter betalt av Solana Foundation selv. Aquifer, med sine relativt beskjedne hvelv, lå trolig godt under terskelen for denne typen ekstra oppmerksomhet, noe som kan forklare hvorfor svakheten sto uoppdaget så lenge.
Én grunn til at nettopp Solana blir et så ettertraktet mål er den rå størrelsen på handelsvolumet som går gjennom kjeden. Ifølge tall sitert av flere markedsanalytikere kontrollerte Solana rundt 30,6 til 41 prosent av all spot-handel på tvers av desentraliserte børser i første kvartal 2026, med et samlet volum på rundt 284,5 milliarder dollar i kvartalet, og enkelte målinger for første halvår satte andelen så høyt som 54 prosent av globalt DEX-volum. Total verdi låst i Solana-baserte DeFi-protokoller har svingt kraftig gjennom året, fra rundt 5,5 milliarder dollar i april til en topp på 18,7 milliarder dollar i mars, ifølge data samlet av DefiLlama. Med så mye kapital i konstant bevegelse gjennom relativt unge og lite reviderte markedsplasser som Aquifer, er det i praksis uunngåelig at svakheter blir funnet, og at de blir funnet av angripere før de blir funnet av revisorer.
Norge og Norden: nye MiCA-regler midt i hackbølgen
Aquifer-angrepet treffer norske og nordiske krypto-brukere i en periode der reguleringen av bransjen er i full endring. Norges kryptoeiendelslov, som setter EUs MiCA-regelverk om i norsk rett gjennom EØS-avtalen, har vært i kraft siden 1. juli 2025, og Finanstilsynet er satt til å godkjenne og føre tilsyn med tilbydere av kryptotjenester. Selskaper som tidligere bare var registrert etter hvitvaskingsregelverket får en overgangsordning frem til 30. juni 2026, deretter må de ha full MiCA-godkjenning for å fortsette å tilby tjenester lovlig i Norge.
I løpet av 2026 har flere norske aktører allerede fått slik godkjenning. AK Jensen Norway AS ble ifølge Finanstilsynets egne meldinger godkjent som første norske tilbyder av kryptotjenester 2. februar 2026, og Firi AS fikk tilsvarende godkjenning 22. mai 2026, mens også TYR Markets og Norwegian Block Exchange har fått godkjenninger i samme periode. Det gir norske brukere et tryggere juridisk rammeverk å handle innenfor, men det endrer ingenting ved risikoen som ligger i selve de underliggende protokollene brukerne til slutt investerer i, som Aquifer-saken illustrerer. En MiCA-godkjent børs kan fint tilby tilgang til handel som til syvende og sist ruter gjennom en sårbar markedsplass på Solana, uten at reguleringen fanger opp det tekniske sikkerhetsnivået i protokollen selv.
For vanlige nordiske brukere betyr dette i praksis to ting. For det første bør man skille tydelig mellom risikoen ved å bruke en regulert børs, som primært handler om motpartsrisiko og hvitvaskingskontroll, og risikoen ved å eksponere seg mot enkeltprotokoller lenger nede i verdikjeden, som DEX-er og AMM-er bygget på kjeder som Solana. For det andre bør man følge med på om protokollene man bruker faktisk er dekket av programmer som STRIDE, siden en slik status i det minste indikerer at noen uavhengig har sett på tilgangskontrollen og koden.
Fem spådommer for resten av 2026
Basert på mønsteret fra Aquifer-saken og resten av årets hendelser, er det mulig å peke på noen sannsynlige utviklingstrekk fremover:
- Flere markedsplasser vil trolig legge inn eksplisitte eierskapssjekker på kontoer de leser saldo fra, en enkel og billig fiks som Aquifer-saken viser var fraværende i minst ett større system helt frem til september 2026.
- Andelen av årets samlede tap som skyldes tilgangs- og nøkkelkompromittering fremfor klassiske kodefeil vil trolig fortsette å øke, i tråd med utviklingen TRM Labs og Immunefi har dokumentert gjennom første halvår.
- Flere protokoller vil søke seg inn under Solana Foundations STRIDE-program etter hvert som brukere begynner å bruke slik sertifisering som et konkret kjøpskriterium før de flytter kapital inn i en ny AMM.
- Bounty-tilbud til angripere vil trolig fortsette å bli sendt etter store hack, men mønsteret fra både Aquifer og Term Finance tyder på at svarprosenten fra angriperne forblir lav gjennom resten av året.
- Med overgangsfristen 30. juni 2026 bak seg vil norske og nordiske tilsynsmyndigheter trolig skjerpe kravene til hvilken informasjon regulerte børser må gi brukerne om risikoen i de underliggende protokollene de tilbyr tilgang til.
Ofte stilte spørsmål
Hva er Aquifer?
Aquifer er en automatisert market maker (AMM) på Solana som holder egne beholdninger av ulike token slik at handler kan gjøres opp umiddelbart, blant annet gjennom aggregatorer som Jupiter.
Hvor mye ble stjålet i Aquifer-hacket?
Ifølge Bitquerys etterforskning ble 2 469 729 dollar tatt ut fra 18 av Aquifers 45 token-hvelv, fordelt på 212 transaksjoner i løpet av 40 minutter 31. august 2026.
Hvordan klarte angriperen å stjele pengene uten å betale for seg?
Angriperen skrev en fil som lignet en ekte token-konto, men som var eid av hans eget program i stedet for det offisielle SPL Token Program. Filen påsto en saldo på rundt 18 billioner dollar i USDC, og Aquifer sjekket aldri hvem som faktisk eide filen før den stolte på tallet.
Har Aquifer tilbakebetalt pengene til brukerne?
Det er ikke dokumentert noen tilbakebetaling til Aquifers brukere. Teamet tilbød i stedet angriperen en avtale om å returnere 80 prosent av summen mot å beholde resten, men fristen 3. september gikk uten at pengene kom tilbake.
Er pengene sporbare?
Ja. Ifølge Bitquery ligger de stjålne midlene, omgjort til 1 000,7956 ether, fortsatt urørt i én enkelt Ethereum-adresse som ikke har sendt en eneste utgående transaksjon siden pengene ankom 31. august 2026.
Er dette den største krypto-hacket i 2026?
Nei. Aquifer-saken er langt mindre enn for eksempel Coldcard-hacket på 116 millioner dollar eller Tectonic-hacket på 74 millioner dollar, men den er blitt mye omtalt fordi den viser en grunnleggende svikt i hvordan en markedsplass verifiserer data den stoler på.
Gjelder norsk regulering for protokoller som Aquifer?
Norges kryptoeiendelslov og MiCA-regelverket regulerer i hovedsak tilbydere av kryptotjenester, som børser og depotløsninger, og fører tilsyn gjennom Finanstilsynet. Selve de underliggende desentraliserte protokollene, som Aquifer, faller foreløpig utenfor dette tilsynet selv om norske brukere kan eksponeres mot dem indirekte via regulerte tjenester.
Hva bør vanlige brukere gjøre etter en slik sak?
Følg med på om protokollene du bruker er dekket av uavhengige sikkerhetsprogrammer som Solana Foundations STRIDE, spre eksponeringen din på tvers av flere plattformer i stedet for å legge store summer i én enkelt AMM, og husk at en regulert børs ikke automatisk gjør de underliggende protokollene den kobler deg til trygge.
