Ein Sicherheitsvorfall beim Blockchain-Analyseunternehmen Chainalysis und ein milliardenschwerer Diebstahl bei der Kryptobörse Binance haben unterstrichen, wie künstliche Intelligenz Teil der Cyberangriffslandschaft wird. Während Angreifer KI-Werkzeuge gegen große Krypto-Unternehmen einsetzen, fehlt Nigeria – einer der aktivsten Kryptomärkte der Welt – weiterhin ein rechtlicher Rahmen zur Regulierung dieser Technologie.

Die beiden Vorfälle werfen die Frage auf, ob die bestehenden Gesetze des Landes zu Cybersicherheit und Datenschutz ausreichen, um Angriffe zu begegnen, die zunehmend autonome KI-Systeme einbeziehen. Die Einsätze sind für Nigeria besonders hoch, das im Chainalysis' 2024 Global Crypto Adoption Index weltweit an zweiter Stelle bei der Krypto-Adoption rangiert.

Was bestätigt wurde – und was nicht

Chainalysis, das Blockchain-Analyseunternehmen, das Kryptobörsen, Regierungen und Strafverfolgungsbehörden bei der Rückverfolgung gestohlener digitaler Vermögenswerte unterstützt, gab letzte Woche bekannt, dass ein Angreifer mit sogenannten „offensive agentic techniques“ auf seine Systeme und internen Werkzeuge zugegriffen hatte.

Das Unternehmen bestätigte, dass der Eindringling Nutzer-IDs, vollständige Namen, E-Mail-Adressen und Rollenbezeichnungen einiger Nutzer seiner Plattform abgriff. Es berichtete, keine Hinweise darauf gefunden zu haben, dass der Angreifer auf Ermittlungsinhalte, Transaktions- oder Abfrageergebnisse, Klartext-Passwörter, Multi-Faktor-Authentifizierungsgeheimnisse oder Nutzer-Sitzungstoken zugriff.

Chainalysis hat nicht erklärt, wie genau der Angreifer KI einsetzte, welche Schwachstellen ausgenutzt wurden oder wie viel des Eindringens automatisiert war. In einem späteren Update teilte das Unternehmen mit, dass es einige Produkte wie Reactor und Data Solutions vorübergehend offline genommen habe, während zusätzliche Sicherheitsprüfungen durchgeführt werden.

Der Binance-Vorfall ist ein separater Fall. Die Börse berichtete, dass bei einem Sicherheitsvorfall letzte Woche digitale Vermögenswerte im Wert von rund 6,34 Milliarden US-Dollar betroffen waren. In den diese Woche veröffentlichten ersten Erkenntnissen erklärte Binance, etwa 2,85 Milliarden US-Dollar eingefroren oder abgefangen zu haben, und versprach, die finanziellen Folgen des Diebstahls zu tragen. Wie viel von den restlichen betroffenen Vermögenswerten zurückverfolgt oder eingefroren werden kann – und was weitere Erkenntnisse über den Verlauf des Eindringens zeigen – sind die unmittelbaren Details, die zu beobachten sind, während die Untersuchung andauert.

Unter Berufung auf Informationen des FBI schrieb Binance den Angriff Nordkorea zu. Die Blockchain-Analyseunternehmen TRM Labs und Chainalysis brachten ihn mit einer Gruppe namens TraderTraitor in Verbindung.

Der Bericht der Börse beschreibt einen mehrstufigen Angriff mit Scheinbewerbungsgesprächen, Schadsoftware, kompromittierten Mitarbeitergeräten und gestohlenen Zugangsdaten. Er offenbart auch, dass ein Angreifer den Computer eines kompromittierten Ingenieurs und ein internes KI-Werkzeug nutzte, um die Kontrolle über die Rechner zweier weiterer Ingenieure zu erlangen, bevor er auf Infrastruktur zugriff, die mit Binances Wallet-Betrieb verbunden ist.

Diese Abfolge belegt nicht, dass KI den Diebstahl eigenständig durchgeführt hat. Sie zeigt vielmehr, wie ein KI-gestütztes internes Werkzeug Teil einer Angriffskette werden kann, wenn Zugriffskontrollen und Mitarbeitergeräte kompromittiert sind.

Warum KI die Sicherheitsgleichung verändert

Die Vorfälle veranschaulichen zwei Seiten einer aufkommenden Bedrohung: KI kann Angreifern den Zugang zu Systemen erleichtern, während Organisationen zunehmend auf dieselbe Technologie setzen, um Angriffe zu erkennen und zu verhindern. Binances Bericht weist darauf hin, dass die Börse ihre KI-basierte Anomalieerkennung ausgebaut hat.

IBM's 2026 Cost of a Data Breach Report ergab, dass jede vierte bösartige Datenpanne KI einbezog – ein Anstieg von 56 % gegenüber dem Vorjahr. Die meisten dieser Vorfälle betrafen Deepfake-Imitation und KI-gestützte Schadsoftware rather than vollständig autonome Agenten.

Diese Unterscheidung ist wichtig. Die unmittelbare Bedrohung ist nicht necessarily ein KI-System, das eigenständig beschließt, eine Organisation zu hacken; es ist die Fähigkeit von Angreifern, mit KI bestehende Techniken schneller, überzeugender und leichter skalierbar zu machen. Betrügerische Nachrichten, Identitätsdiebstahl, Schadsoftware und Social Engineering werden alle wirksamer, wenn KI eingesetzt wird, um überzeugende Kommunikationen zu erzeugen oder Teile einer Operation zu automatisieren.

Für Krypto-Unternehmen, deren Mitarbeiter möglicherweise Zugang zu wertvollen Vermögenswerten und sensibler Infrastruktur haben, kann ein einzelnes kompromittiertes Konto oder Gerät erhebliche Konsequenzen haben.

Die Bedrohung wird auch schwerer einzudämmen. Im Juni warnte Immunefi-Chef Mitchell Amador, dass der Krypto-Industrie möglicherweise drei bis vier Jahre bleiben, bevor Verteidiger Fähigkeiten entwickeln, die mit den aufkommenden KI-Bedrohungen vergleichbar sind. Circle-Chef Jeremy Allaire hat ebenfalls argumentiert, in einem von Brian Sozzi auf X geteilten Interview, dass Organisationen davon ausgehen sollten, angegriffen zu werden.

Nigerias Finanzsektor erlebt die Auswirkungen möglicherweise bereits. Prembly-Chef Lanre Ogungbe sagte laut Bloomberg, dass KI-gesteuerte Angriffe auf den Finanzsektor des Landes um 150 Prozent zugenommen haben.

Für nigerianische Nutzer reichen die Risiken über Kryptobörsen hinaus zu Bankkonten, digitalen Zahlungsplattformen und persönlichen Informationen. KI-gestützte Identitäts imitation und Phishing könnten es Kunden erschweren, legitime Kommunikation von betrügerischen Nachrichten zu unterscheiden.

Nigeria hat Pläne, aber kein KI-spezifisches Gesetz

Nigeria hat begonnen, einen rechtlichen Rahmen für KI zu entwickeln, doch der Prozess hat bislang kein eigenständiges KI-Gesetz hervorgebracht.

Der National Digital Economy and E-Governance Bill ist eines der wichtigsten legislativen Instrumente zur Behandlung des Themas. Der Vorsitzende des ICT-Senatsausschusses, Shuaib Salisu, hat angedeutet, dass die Gesetzgebung KI-Agenten abdecken wird. Der Gesetzentwurf wurde seit Ende 2025 wiederholt versprochen, und der Senat zielt nun auf eine Verabschiedung vor Jahresende. Bis er jedoch verabschiedet und in Kraft gesetzt ist, kann er nicht als erlassener Regulierungsrahmen fungieren. Für Nigerias Krypto- und digitale Finanzunternehmen ist dieser Zeitplan relevant: Der endgültige Text des Gesetzentwurfs wird bestimmen, welche Sicherheits- und Rechenschaftspflichten gelten, wenn KI-Werkzeuge sensible interne Systeme erreichen können.

Andere Initiativen schreiten separat voran. Die Nigeria Data Protection Commission (NDPC) überprüft den Nigeria Data Protection Act, um aufkommende KI-bezogene Anliegen zu behandeln. Die National Information Technology Development Agency (NITDA) arbeitet mit Regierungsorganisationen an möglichen Änderungen des Cybersecurity-Rahmens Nigerias, und deren Generaldirektor Kashifu Inuwa hat eine gemeinsame Überprüfung der Cyberkriminellengesetzgebung mit dem Office of the National Security Adviser und der Nationalversammlung beschrieben.

Die Bemühungen der Regierung deuten darauf hin, dass KI-Regulierung nicht länger ignoriert wird. Die Herausforderung liegt darin, diese separaten Initiativen in durchsetzbare Gesetzgebung zu überführen.

Wenn KI-gestützte Angriffe nigerianische Nutzer erreichen

Nigeria verfügt bereits über Gesetze, die auf einige KI-gestützte Angriffe anwendbar sein können, darunter den Cybercrimes Act und den Nigeria Data Protection Act. Das Fehlen eines eigenständigen KI-Gesetzes bedeutet nicht, dass Angreifer oder Organisationen vollständig außerhalb des bestehenden Rechtsschutzes agieren.

Der zunehmende Einsatz von KI wirft jedoch dringende Fragen auf, ob die bestehende Gesetzgebung die Verantwortung von Unternehmen, die KI-Systeme einsetzen, angemessen adressiert: Wer ist verantwortlich, wenn ein KI-Agent ohne Autorisierung auf sensible Informationen zugreift? Welche Sicherheitspflichten sollten Organisationen erfüllen, bevor sie KI-Werkzeuge einsetzen, die auf interne Systeme zugreifen können? Wie sollten Regulierungsbehörden Vorfälle mit KI-Agenten untersuchen, und welche Rechtsmittel sollten betroffenen Nutzern zustehen?

Diese Fragen werden dringender, je mehr Unternehmen KI in Kundendienste, Softwareentwicklung, Finanzabläufe und interne Workflows integrieren.

Stimmen außerhalb der Regierung fordern schärfere Regeln. Die X-Nutzerin @Wealth_ese1 wies darauf hin, dass die NITDA eine KI-Fahrplan veröffentlicht hat, argumentierte jedoch, „a roadmap isn't law“. Der Cybersicherheitsexperte Peter Obadare sagte gegenüber Vanguard: „regulation is not excessive, it is necessary.“

Die Sorgen gehen über den Finanzsektor hinaus. Die Independent National Electoral Commission (INEC) hat eine Klarstellung zu Vorwürfen veröffentlicht, die KI-generierte Fotos im vorläufigen Wählerverzeichnis betrafen, was die potenziellen Auswirkungen von KI auf öffentliches Vertrauen und Wahlverwaltung unterstreicht.

Die Frage ist Rechenschaftspflicht

Der Chainalysis-Vorfall, der Binance-Diebstahl und Nigerias unvollendete KI-Gesetzgebung weisen auf eine wachsende Herausforderung hin: KI wird Teil sowohl der Werkzeuge, die Organisationen nutzen, als auch der Methoden, die Angreifer ausnutzen.

Die Vorfälle belegen nicht, dass KI den Binance-Diebstahl verursacht hat, noch beweisen sie, dass die bestehenden nigerianischen Gesetze nicht in der Lage wären, jeden KI-gestützten Angriff zu behandeln. Aber sie zeigen, warum die Verantwortung von Organisationen, die KI einsetzen, klar definiert werden muss.

Nigerias vorgeschlagene Gesetzgebung könnte einen Rahmen zur Behandlung dieser Verantwortlichkeiten bieten, doch ihre Wirksamkeit wird davon abhängen, was sie verlangt, wie sie durchgesetzt wird und ob die Regulierungsbehörden die Kapazität haben, auf sich schnell entwickelnde Bedrohungen zu reagieren.

Für ein Land mit bedeutender Krypto-Adoption und wachsendem digitalem Finanzsektor lautet die Frage nicht mehr, ob KI die Cybersicherheit beeinflussen wird. Es ist, ob Nigerias rechtlicher Rahmen bereit sein wird, wenn der nächste Angriff passiert.

Quelle: TechNext24