Una brecha de seguridad en la firma de inteligencia blockchain Chainalysis y un robo multimillonario en el exchange de criptomonedas Binance han subrayado cómo la inteligencia artificial se está convirtiendo en parte del panorama de los ciberataques. Mientras los atacantes vuelven las herramientas de IA contra las principales empresas cripto, Nigeria —uno de los mercados de criptomonedas más activos del mundo— aún carece de un marco legal que regule la tecnología.

Los dos incidentes plantean interrogantes sobre si las leyes existentes del país en materia de ciberseguridad y protección de datos son suficientes para hacer frente a ataques que involucran sistemas de IA cada vez más autónomos. Las apuestas son especialmente altas para Nigeria, que ocupó el segundo lugar mundial en adopción de criptomonedas según el índice Global Crypto Adoption Index 2024 de Chainalysis.

Lo que se ha confirmado — y lo que no

Chainalysis, la firma de inteligencia blockchain que ayuda a exchanges de criptomonedas, gobiernos y agencias policiales a rastrear activos digitales robados, reveló la semana pasada que un atacante había utilizado lo que describió como "técnicas agénticas ofensivas" para acceder a sus sistemas y herramientas internas.

La empresa confirmó que el intruso accedió a identificadores de usuario, nombres completos, direcciones de correo electrónico y etiquetas de rol organizacional de algunos usuarios de su plataforma. Informó no haber encontrado evidencia de que el atacante accediera a contenido de investigaciones, resultados de transacciones o consultas, contraseñas en texto plano, secretos de autenticación multifactor o tokens de sesión de usuarios.

Chainalysis no ha explicado exactamente cómo utilizó el atacante la IA, qué vulnerabilidades fueron explotadas ni qué parte de la intrusión fue automatizada. En una actualización posterior, la firma reveló que había desconectado temporalmente algunos productos, como Reactor y Data Solutions, mientras realizaba evaluaciones de seguridad adicionales.

El incidente de Binance es distinto. El exchange informó que aproximadamente 6.340 millones de dólares en activos digitales fueron afectados por un incidente de seguridad la semana pasada. En sus hallazgos iniciales publicados esta semana, Binance dijo que había congelado o interceptado unos 2.850 millones de dólares en activos y prometió absorber el impacto financiero del robo. Cuánto de los activos afectados restantes puede rastrearse o congelarse —y qué revelarán nuevos hallazgos sobre cómo se desarrolló la intrusión— son los detalles inmediatos a observar mientras continúa la investigación.

Citando información del FBI, Binance atribuyó el ataque a Corea del Norte. Las firmas de inteligencia blockchain TRM Labs y Chainalysis lo vincularon a un grupo conocido como TraderTraitor.

El informe del exchange describe un ataque de múltiples etapas que involucró entrevistas de reclutamiento falsas, software malicioso, dispositivos de empleados comprometidos y credenciales robadas. También revela que un atacante utilizó la computadora de un ingeniero comprometida y una herramienta interna de IA para tomar el control de las máquinas de otros dos ingenieros antes de acceder a la infraestructura conectada a las operaciones de billeteras de Binance.

Esa secuencia no establece que la IA haya llevado a cabo el robo de forma independiente. Más bien, muestra cómo una herramienta interna habilitada con IA puede formar parte de una cadena de ataque cuando los controles de acceso y los dispositivos de los empleados están comprometidos.

Por qué la IA cambia la ecuación de seguridad

Los incidentes ilustran dos caras de una amenaza emergente: la IA puede ayudar a los atacantes a acceder a sistemas, mientras que las organizaciones dependen cada vez más de la misma tecnología para detectar y prevenir ataques. El informe de Binance señala que el exchange ha ampliado su detección de anomalías basada en IA.

El Cost of a Data Breach Report 2026 de IBM concluyó que uno de cada cuatro ataques maliciosos involucró IA, un aumento del 56% respecto del año anterior. La mayoría de estos incidentes involucró suplantación mediante deepfakes y malware habilitado con IA, en lugar de agentes completamente autónomos.

Esa distinción importa. La amenaza inmediata no es necesariamente un sistema de IA que decide por sí mismo atacar a una organización; es la capacidad de los atacantes de usar la IA para hacer que las técnicas existentes sean más rápidas, más convincentes y más fáciles de escalar. Los mensajes fraudulentos, la suplantación de identidad, el malware y la ingeniería social se vuelven más eficaces cuando se usa la IA para generar comunicaciones convincentes o automatizar partes de una operación.

Para las empresas de criptomonedas, donde los empleados pueden tener acceso a activos valiosos e infraestructura sensible, una sola cuenta o dispositivo comprometido puede tener consecuencias significativas.

La amenaza también se está volviendo más difícil de contener. En junio, el director ejecutivo de Immunefi, Mitchell Amador, advirtió que la industria de las criptomonedas podría tener de tres a cuatro años antes de que los defensores desarrollen capacidades comparables a las de las amenazas emergentes de IA. El director ejecutivo de Circle, Jeremy Allaire, argumentó de manera similar, en una entrevista compartida en X por Brian Sozzi, que las organizaciones deben operar bajo el supuesto de que están bajo ataque.

El sector financiero de Nigeria ya podría estar experimentando los efectos. Se informó que el director ejecutivo de Prembly, Lanre Ogungbe, dijo a Bloomberg que los ataques impulsados por IA contra el sector financiero del país aumentaron un 150 por ciento.

Para los usuarios nigerianos, los riesgos se extienden más allá de los exchanges de criptomonedas hacia cuentas bancarias, plataformas de pagos digitales e información personal. La suplantación y el phishing asistidos por IA podrían dificultar que los clientes distingan las comunicaciones legítimas de las fraudulentas.

Nigeria tiene planes, pero no una ley específica de IA

Nigeria ha comenzado a desarrollar un marco legal para la IA, pero el proceso aún no ha producido una ley de IA independiente.

El proyecto de Ley de Economía Digital Nacional y Gobernanza Electrónica (National Digital Economy and E-Governance Bill) es uno de los principales vehículos legislativos para abordar el tema. El presidente del comité de TIC del Senado, Shuaib Salisu, ha indicado que la legislación cubrirá los agentes de IA. El proyecto ha sido prometido repetidamente desde finales de 2025, y el Senado ahora apunta a aprobarlo antes de fin de año. Sin embargo, hasta que sea aprobado y firmado como ley, no puede funcionar como un marco regulatorio promulgado. Para las empresas de criptomonedas y finanzas digitales de Nigeria, ese plazo importa: el texto final del proyecto definirá qué obligaciones de seguridad y responsabilidad aplican cuando las herramientas de IA pueden alcanzar sistemas internos sensibles.

Otras iniciativas avanzan por separado. La Comisión Nigeriana de Protección de Datos (NDPC) está revisando la Ley de Protección de Datos de Nigeria para abordar las nuevas preocupaciones relacionadas con la IA. La Agencia Nacional de Desarrollo de Tecnologías de la Información (NITDA) trabaja con instituciones gubernamentales en posibles cambios al marco de ciberseguridad de Nigeria, y su directora general, Kashifu Inuwa, ha descrito una revisión conjunta de la legislación sobre ciberdelitos con la Oficina del Asesor de Seguridad Nacional y la Asamblea Nacional.

Los esfuerzos del gobierno sugieren que la regulación de la IA ya no está siendo ignorada. El desafío radica en convertir estas iniciativas separadas en legislación aplicable.

Cuando los ataques asistidos por IA llegan a los usuarios nigerianos

Nigeria ya tiene leyes que podrían aplicar a algunos ataques asistidos por IA, incluida la Ley de Ciberdelitos y la Ley de Protección de Datos de Nigeria. La ausencia de una ley independiente de IA no significa que los atacantes u organizaciones operen completamente al margen de las protecciones legales existentes.

Sin embargo, el creciente uso de la IA plantea preguntas apremiantes sobre si la legislación existente aborda adecuadamente las responsabilidades de las empresas que despliegan sistemas de IA: ¿Quién es responsable cuando un agente de IA accede a información sensible sin autorización? ¿Qué obligaciones de seguridad deberían cumplir las organizaciones antes de desplegar herramientas de IA que puedan acceder a sistemas internos? ¿Cómo deberían los reguladores investigar incidentes que involucren agentes de IA, y qué reparaciones deberían recibir los usuarios afectados?

Estas preguntas se vuelven más urgentes a medida que las empresas integran la IA en los servicios al cliente, el desarrollo de software, las operaciones financieras y los flujos de trabajo internos.

Voces fuera del gobierno han presionado por reglas más estrictas. El usuario de X @Wealth_ese1 señaló que la NITDA ha publicado una hoja de ruta de IA, pero argumentó que "una hoja de ruta no es una ley". El experto en ciberseguridad Peter Obadare dijo a Vanguard que "la regulación no es excesiva, es necesaria".

Las preocupaciones se extienden más allá de las finanzas. La Comisión Electoral Nacional Independiente (INEC) también emitió una aclaración sobre alegaciones que involucraban fotografías generadas por IA en su registro preliminar de votantes, subrayando las posibles implicaciones de la IA para la confianza pública y la administración electoral.

La cuestión es la rendición de cuentas

La brecha de Chainalysis, el robo de Binance y la legislación de IA inconclusa de Nigeria apuntan a un desafío creciente: la IA se está convirtiendo en parte tanto de las herramientas que usan las organizaciones como de los métodos que explotan los atacantes.

Los incidentes no establecen que la IA causara el robo de Binance, ni demuestran que las leyes nigerianas existentes sean incapaces de abordar cada ataque asistido por IA. Pero muestran por qué las responsabilidades de las organizaciones que despliegan IA deben definirse claramente.

La legislación propuesta de Nigeria podría proporcionar un marco para abordar esas responsabilidades, pero su eficacia dependerá de lo que exija, de cómo se aplique y de si los reguladores tienen la capacidad de responder a amenazas en rápida evolución.

Para un país con una adopción significativa de criptomonedas y un sector financiero digital en crecimiento, la cuestión ya no es si la IA afectará la ciberseguridad. Es si el marco legal de Nigeria estará listo cuando ocurra el próximo ataque.

Fuente: TechNext24