Una violazione della sicurezza presso la società di intelligence blockchain Chainalysis e un furto di miliardi di dollari presso l'exchange di criptovalute Binance hanno evidenziato come l'intelligenza artificiale stia entrando a far parte del panorama degli attacchi informatici. Mentre gli attaccanti rivolgono gli strumenti di AI contro le principali società cripto, la Nigeria — uno dei mercati di criptovalute più attivi al mondo — non dispone ancora di un quadro giuridico per regolamentare la tecnologia.

I due incidenti sollevano interrogativi su se le leggi esistenti del Paese in materia di cybersecurity e protezione dei dati siano sufficienti ad affrontare attacchi che coinvolgono sistemi di AI sempre più autonomi. La posta in gioco è particolarmente alta per la Nigeria, classificatasi seconda al mondo per adozione di criptovalute nel 2024 Global Crypto Adoption Index di Chainalysis.

Cosa è stato confermato — e cosa no

Chainalysis, la società di intelligence blockchain che aiuta exchange di criptovalute, governi e forze dell'ordine a tracciare gli asset digitali rubati, ha rivelato la scorsa settimana che un attaccante aveva utilizzato quella che ha descritto come "tecniche agentiche offensive" per accedere ai suoi sistemi e strumenti interni.

La società ha confermato che l'intruso ha avuto accesso a ID utente, nomi completi, indirizzi email ed etichette dei ruoli organizzativi di alcuni utenti della sua piattaforma. Ha riferito di non aver trovato prove che l'attaccante abbia avuto accesso ai contenuti delle indagini, ai risultati di transazioni o query, alle password in chiaro, ai segreti di autenticazione a più fattori o ai token di sessione degli utenti.

Chainalysis non ha spiegato esattamente come l'attaccante abbia utilizzato l'AI, quali vulnerabilità siano state sfruttate o quanta parte dell'intrusione sia stata automatizzata. In un aggiornamento successivo, la società ha dichiarato di aver temporaneamente messo offline alcuni prodotti, come Reactor e Data Solutions, mentre conduceva ulteriori valutazioni di sicurezza.

L'incidente di Binance è separato. L'exchange ha riferito che circa 6,34 miliardi di dollari in asset digitali sono stati coinvolti in un incidente di sicurezza la scorsa settimana. Nelle conclusioni preliminari pubblicate questa settimana, Binance ha dichiarato di aver congelato o intercettato circa 2,85 miliardi di dollari in asset e ha promesso di assumersi l'impatto finanziario del furto. Quanta parte dei restanti asset coinvolti potrà essere tracciata o congelata — e cosa emergerà da ulteriori accertamenti su come si è sviluppata l'intrusione — sono i dettagli immediati da monitorare proseguendo le indagini.

Citando informazioni dell'FBI, Binance ha attribuito l'attacco alla Corea del Nord. Le società di intelligence blockchain TRM Labs e Chainalysis lo hanno collegato a un gruppo noto come TraderTraitor.

Il rapporto dell'exchange descrive un attacco articolato in più fasi che ha coinvolto finti colloqui di reclutamento, software malevoli, dispositivi di dipendenti compromessi e credenziali rubate. Rivela inoltre che un attaccante ha utilizzato il computer compromesso di un ingegnere e uno strumento interno di AI per prendere il controllo delle macchine di altri due ingegneri, prima di accedere alle infrastrutture collegate alle operazioni di wallet di Binance.

Questa sequenza non dimostra che l'AI abbia condotto autonomamente il furto. Mostra piuttosto come uno strumento interno basato su AI possa diventare parte di una catena di attacco quando i controlli degli accessi e i dispositivi dei dipendenti sono compromessi.

Perché l'AI cambia l'equazione della sicurezza

Gli incidenti illustrano i due lati di una minaccia emergente: l'AI può aiutare gli attaccanti ad accedere ai sistemi, mentre le organizzazioni fanno sempre più affidamento sulla stessa tecnologia per rilevare e prevenire gli attacchi. Il rapporto di Binance nota che l'exchange ha ampliato il proprio rilevamento delle anomalie basato su AI.

Il Cost of a Data Breach Report 2026 di IBM ha rilevato che una violazione malevola su quattro ha coinvolto l'AI, con un aumento del 56% rispetto all'anno precedente. La maggior parte di questi incidenti ha riguardato impersonificazioni tramite deepfake e malware abilitato dall'AI, piuttosto che agenti completamente autonomi.

Questa distinzione è importante. La minaccia immediata non è necessariamente un sistema di AI che decide autonomamente di hackerare un'organizzazione; è la capacità degli attaccanti di utilizzare l'AI per rendere le tecniche esistenti più rapide, convincenti e facili da scalare. Messaggi fraudolenti, impersonificazioni, malware e ingegneria sociale diventano tutti più efficaci quando l'AI viene utilizzata per generare comunicazioni convincenti o automatizzare parti di un'operazione.

Per le società di criptovalute, dove i dipendenti possono avere accesso ad asset di valore e infrastrutture sensibili, un singolo account o dispositivo compromesso può avere conseguenze significative.

La minaccia sta anche diventando più difficile da contenere. A giugno, l'amministratore delegato di Immunefi, Mitchell Amador, ha avvertito che il settore delle criptovalute potrebbe avere da tre a quattro anni prima che i difensori sviluppino capacità paragonabili a quelle delle minacce emergenti basate sull'AI. Anche l'amministratore delegato di Circle, Jeremy Allaire, ha sostenuto, in un'intervista condivisa su X da Brian Sozzi, che le organizzazioni dovrebbero operare presupponendo di essere sotto attacco.

Il settore finanziario nigeriano potrebbe già starne sperimentando gli effetti. L'amministratore delegato di Prembly, Lanre Ogungbe, avrebbe dichiarato a Bloomberg che gli attacchi basati su AI al settore finanziario del Paese sono aumentati del 150 per cento.

Per gli utenti nigeriani, i rischi vanno oltre gli exchange di criptovalute e comprendono conti bancari, piattaforme di pagamento digitali e informazioni personali. L'impersonificazione e il phishing assistiti dall'AI potrebbero rendere più difficile per i clienti distinguere le comunicazioni legittime da quelle fraudolente.

La Nigeria ha piani, ma nessuna legge specifica sull'AI

La Nigeria ha iniziato a sviluppare un quadro giuridico per l'AI, ma il processo non ha ancora prodotto una legge dedicata all'AI.

Il National Digital Economy and E-Governance Bill è uno dei principali veicoli legislativi per affrontare la questione. Il presidente della commissione ICT del Senato, Shuaib Salisu, ha indicato che la legislazione coprirà gli agenti AI. Il disegno di legge è stato promesso più volte dalla fine del 2025, e il Senato ora punta all'approvazione entro la fine dell'anno. Finché non sarà approvato e firmato come legge, tuttavia, non potrà funzionare come quadro normativo effettivo. Per le imprese nigeriane di criptovalute e finanza digitale, questo calendario conta: il testo finale del disegno di legge definirà quali obblighi di sicurezza e responsabilità si applicano quando gli strumenti di AI possono raggiungere sistemi interni sensibili.

Altre iniziative procedono separatamente. La Nigeria Data Protection Commission (NDPC) sta rivedendo la Nigeria Data Protection Act per affrontare le nuove preoccupazioni legate all'AI.

La National Information Technology Development Agency (NITDA) sta lavorando con le istituzioni governative a possibili modifiche al quadro di cybersecurity della Nigeria, e il suo direttore generale, Kashifu Inuwa, ha descritto una revisione congiunta della legislazione sui cybercrimi con l'Ufficio del Consigliere per la Sicurezza Nazionale e l'Assemblea Nazionale.

Gli sforzi del governo suggeriscono che la regolamentazione dell'AI non viene più ignorata. La sfida consiste nel trasformare queste iniziative separate in legislazione applicabile.

Quando gli attacchi assistiti dall'AI raggiungono gli utenti nigeriani

La Nigeria dispone già di leggi che potrebbero applicarsi ad alcuni attacchi assistiti dall'AI, tra cui la Cybercrimes Act e la Nigeria Data Protection Act. L'assenza di una legge dedicata all'AI non significa che gli attaccanti o le organizzazioni operino interamente al di fuori delle tutele legali esistenti.

Tuttavia, il crescente uso dell'AI solleva interrogativi urgenti su se la legislazione esistente affronti adeguatamente le responsabilità delle aziende che distribuiscono sistemi di AI: chi è responsabile quando un agente AI accede a informazioni sensibili senza autorizzazione? Quali obblighi di sicurezza dovrebbero rispettare le organizzazioni prima di distribuire strumenti di AI in grado di accedere ai sistemi interni? Come dovrebbero le autorità di regolamentazione indagare sugli incidenti che coinvolgono agenti AI, e quali rimedi dovrebbero ricevere gli utenti coinvolti?

Queste domande diventano più urgenti man mano che le aziende integrano l'AI nei servizi ai clienti, nello sviluppo software, nelle operazioni finanziarie e nei flussi di lavoro interni.

Voci esterne al governo hanno chiesto regole più rigorose. L'utente X @Wealth_ese1 ha notato che la NITDA ha pubblicato una roadmap sull'AI, ma ha sostenuto che "una roadmap non è una legge." L'esperto di cybersecurity Peter Obadare ha dichiarato a Vanguard che "la regolamentazione non è eccessiva, è necessaria."

Le preoccupazioni vanno oltre la finanza. Anche la Independent National Electoral Commission (INEC) ha rilasciato un chiarimento in merito ad accuse che coinvolgono fotografie generate dall'AI nel suo registro elettorale preliminare, evidenziando le potenziali implicazioni dell'AI per la fiducia pubblica e l'amministrazione elettorale.

La questione è la responsabilità

La violazione di Chainalysis, il furto di Binance e la legislazione nigeriana sull'AI ancora incompiuta indicano una sfida crescente: l'AI sta diventando parte sia degli strumenti utilizzati dalle organizzazioni sia dei metodi sfruttati dagli attaccanti.

Gli incidenti non dimostrano che l'AI abbia causato il furto di Binance, né provano che le leggi nigeriane esistenti siano incapaci di affrontare ogni attacco assistito dall'AI. Ma dimostrano perché le responsabilità delle organizzazioni che distribuiscono l'AI devono essere chiaramente definite.

La legislazione proposta dalla Nigeria potrebbe fornire un quadro per affrontare tali responsabilità, ma la sua efficacia dipenderà da ciò che richiede, da come viene applicata e da se le autorità di regolamentazione avranno la capacità di rispondere a minacce in rapida evoluzione.

Per un Paese con un'adozione significativa di criptovalute e un settore finanziario digitale in crescita, la domanda non è più se l'AI influirà sulla cybersecurity. È se il quadro giuridico della Nigeria sarà pronto quando si verificherà il prossimo attacco.

Fonte: TechNext24