Een beveiligingsinbreuk bij blockchain-intelligencebedrijf Chainalysis en een diefstal van miljarden dollars bij cryptocurrencybeurs Binance hebben onderstreept hoe kunstmatige intelligentie onderdeel wordt van het landschap van cyberaanvallen. Terwijl aanvallers AI-tools richten op grote cryptobedrijven, ontbreekt het Nigeria — een van de meest actieve cryptomarkten ter wereld — nog aan een juridisch kader om de technologie te reguleren.

De twee incidenten roepen de vraag op of de bestaande wetgeving op het gebied van cybersecurity en gegevensbescherming van het land toereikend is om aanvallen met steeds autonomere AI-systemen te weerstaan. De belangen zijn bijzonder hoog voor Nigeria, dat in de 2024 Global Crypto Adoption Index van Chainalysis wereldwijd tweede staat in cryptocurrency-adoptie.

Wat Is Bevestigd — En Wat Niet

Chainalysis, het blockchain-intelligencebedrijf dat cryptobeurzen, overheden en politiediensten helpt gestolen digitale activa te traceren, maakte vorige week bekend dat een aanvaller had gebruikt wat het bedrijf omschreef als "offensieve agentische technieken" om toegang te krijgen tot zijn systemen en interne tools.

Het bedrijf bevestigde dat de indringer toegang kreeg tot gebruikers-ID's, volledige namen, e-mailadressen en rolbenamingen binnen organisaties van sommige gebruikers van het platform. Het meldde geen bewijs te hebben gevonden dat de aanvaller toegang had tot onderzoekscontent, transactie- of zoekresultaten, wachtwoorden in platte tekst, multifactorauthenticatie-geheimen of gebruikerssessietokens.

Chainalysis heeft niet uitgelegd hoe de aanvaller precies AI gebruikte, welke kwetsbaarheden werden misbruikt of in hoeverre de inbreuk geautomatiseerd was. In een latere update maakte het bedrijf bekend dat het bepaalde producten, zoals Reactor en Data Solutions, tijdelijk offline had genomen tijdens aanvullende beveiligingsbeoordelingen.

Het Binance-incident staat daar los van. De beurs meldde dat ongeveer $6,34 miljard aan digitale activa getroffen werd door een beveiligingsincident vorige week. In eerste bevindingen die deze week werden gepubliceerd, zei Binance ongeveer $2,85 miljard aan activa te hebben bevroren of onderschept en beloofde het bedrijf de financiële impact van de diefstal op zich te nemen. Hoeveel van de resterende getroffen activa getraceerd of bevroren kunnen worden — en wat verdere bevindingen onthullen over hoe de inbreuk verliep — zijn de details om in de gaten te houden nu het onderzoek voortduurt.

Met verwijzing naar informatie van de FBI schreef Binance de aanval toe aan Noord-Korea. Blockchain-intelligencebedrijven TRM Labs en Chainalysis koppelden deze aan een groep die bekend staat als TraderTraitor.

Het verslag van de beurs beschrijft een meerfasenaanval met nepwervingsinterviews, kwaadaardige software, gecompromitteerde apparaten van werknemers en gestolen inloggegevens. Het maakt ook bekend dat een aanvaller een gecompromitteerde computer van een ingenieur en een interne AI-tool gebruikte om de machines van twee andere ingenieurs over te nemen, alvorens toegang te krijgen tot infrastructuur die verbonden was met de walletactiviteiten van Binance.

Die reeks bewijst niet dat AI zelfstandig de diefstal uitvoerde. Het laat eerder zien hoe een intern hulpmiddel met AI onderdeel kan worden van een aanvalsketen wanneer toegangscontroles en apparaten van werknemers gecompromitteerd zijn.

Waarom AI De Veiligheidsvergelijking Verandert

De incidenten illustreren twee kanten van een opkomende dreiging: AI kan aanvallers helpen toegang tot systemen te krijgen, terwijl organisaties steeds meer op dezelfde technologie vertrouwen om aanvallen op te sporen en te voorkomen. Het verslag van Binance vermeldt dat de beurs zijn op AI gebaseerde anomaliedetectie heeft uitgebreid.

IBM's 2026 Cost of a Data Breach Report concludeerde dat één op de vier kwaadaardige inbreuken AI betrof, een stijging van 56% ten opzichte van het voorgaande jaar. De meeste van deze incidenten betroffen deepfake-imitatie en AI-ondersteunde malware in plaats van volledig autonome agenten.

Dat onderscheid is belangrijk. De directe dreiging is niet noodzakelijk een AI-systeem dat zelfstandig besluit een organisatie te hacken; het gaat om het vermogen van aanvallers om AI te gebruiken om bestaande technieken sneller, overtuigender en schaalbaarder te maken. Frauduleuze berichten, imitatie, malware en social engineering worden allemaal effectiever wanneer AI wordt ingezet om overtuigende communicatie te genereren of delen van een operatie te automatiseren.

Voor cryptobedrijven, waar werknemers toegang kunnen hebben tot waardevolle activa en gevoelige infrastructuur, kan één gecompromitteerd account of apparaat aanzienlijke gevolgen hebben.

De dreiging wordt ook steeds moeilijker in te dammen. In juni waarschuwde Immunefi-ceo Mitchell Amador dat de crypto-industrie mogelijk drie tot vier jaar heeft voordat verdedigers capaciteiten ontwikkelen die vergelijkbaar zijn met die van opkomende AI-dreigingen. Circle-ceo Jeremy Allaire heeft betoogd, in een interview dat door Brian Sozzi op X werd gedeeld, dat organisaties ervan uit moeten gaan dat ze worden aangevallen.

Nigerias financiële sector ondervindt de gevolgen mogelijk al. Prembly-ceo Lanre Ogungbe zou tegen Bloomberg hebben gezegd dat AI-gedreven aanvallen op de financiële sector van het land met 150 procent waren toegenomen.

Voor Nigeriaanse gebruikers reiken de risico's verder dan cryptobeurzen, tot bankrekeningen, digitale betaalplatforms en persoonlijke gegevens. AI-ondersteunde imitatie en phishing kunnen het voor klanten moeilijker maken legitieme communicatie van frauduleuze te onderscheiden.

Nigeria Heeft Plannen, Maar Geen AI-Specifieke Wet

Nigeria is begonnen met de ontwikkeling van een juridisch kader voor AI, maar het proces heeft nog niet geleid tot een zelfstandige AI-wet.

De National Digital Economy and E-Governance Bill is een van de belangrijkste wetgevende instrumenten om de kwestie aan te pakken. Voorzitter van de Senaatscommissie voor ICT Shuaib Salisu heeft aangegeven dat de wetgeving AI-agenten zal omvatten. De wet is sinds eind 2025 herhaaldelijk toegezegd, en de Senaat stelt nu als doel deze vóór het einde van het jaar aan te nemen. Tot het wetsvoorstel is aangenomen en ondertekend, kan het echter niet fungeren als een in werking getreden regelgevend kader. Voor Nigerias cryptocurrency- en digitale financieringsbedrijven is die tijdlijn van belang: de definitieve tekst van het wetsvoorstel bepaalt welke beveiligings- en verantwoordelijkheidsverplichtingen gelden wanneer AI-tools gevoelige interne systemen kunnen bereiken.

Andere initiatieven lopen afzonderlijk. De Nigeria Data Protection Commission (NDPC) beoordeelt de Nigeria Data Protection Act om opkomende AI-gerelateerde zorgen aan te pakken.

De National Information Technology Development Agency (NITDA) werkt samen met overheidsinstellingen aan mogelijke wijzigingen in Nigerias cybersecuritykader, en directeur-generaal Kashifu Inuwa heeft een gezamenlijke herziening van cybercrimewetgeving beschreven met het Office of the National Security Adviser en de Nationale Vergadering.

De inspanningen van de regering suggereren dat AI-regulering niet langer wordt genegeerd. De uitdaging ligt in het omzetten van deze afzonderlijke initiatieven in afdwingbare wetgeving.

Wanneer AI-Ondersteunde Aanvallen Nigeriaanse Gebruikers Bereiken

Nigeria heeft al wetten die van toepassing kunnen zijn op sommige AI-ondersteunde aanvallen, waaronder de Cybercrimes Act en de Nigeria Data Protection Act. De afwezigheid van een zelfstandige AI-wet betekent niet dat aanvallers of organisaties volledig buiten bestaande wettelijke bescherming opereren.

De groeiende inzet van AI roept echter dringende vragen op over de vraag of bestaande wetgeving de verantwoordelijkheden van bedrijven die AI-systemen inzetten voldoende adressiert: Wie is verantwoordelijk wanneer een AI-agent ongeautoriseerd toegang krijgt tot gevoelige informatie? Welke beveiligingsverplichtingen zouden organisaties moeten nakomen voordat ze AI-tools inzetten die toegang hebben tot interne systemen? Hoe zouden toezichthouders incidenten met AI-agenten moeten onderzoeken, en welke rechtsmiddelen zouden getroffen gebruikers moeten ontvangen?

Deze vragen worden urgenter naarmate bedrijven AI integreren in klantenservice, softwareontwikkeling, financiële operaties en interne workflows.

Stemmen buiten de regering dringen aan op strengere regels. X-gebruiker @Wealth_ese1 merkte op dat NITDA een AI-routekaart heeft gepubliceerd, maar betoogde dat "een routekaart geen wet is." Cybersecurity-expert Peter Obadare zei tegen Vanguard dat "regulering niet overdreven is, het is noodzakelijk."

De zorgen reiken verder dan de financiële sector. De Independent National Electoral Commission (INEC) heeft een verduidelijking uitgegeven over beschuldigingen met betrekking tot AI-gegenereerde foto's in haar voorlopige kiezersregister, wat de mogelijke gevolgen van AI voor publiek vertrouwen en verkiezingsadministratie onderstreept.

De Vraag Is Verantwoordelijkheid

De inbreuk bij Chainalysis, de diefstal bij Binance en Nigerias onvoltooide AI-wetgeving wijzen op een groeiende uitdaging: AI wordt onderdeel van zowel de tools die organisaties gebruiken als de methoden die aanvallers misbruiken.

De incidenten bewijzen niet dat AI de diefstal bij Binance veroorzaakte, en ze tonen ook niet aan dat bestaande Nigeriaanse wetten niet in staat zijn elke AI-ondersteunde aanval aan te pakken. Maar ze maken duidelijk waarom de verantwoordelijkheden van organisaties die AI inzetten duidelijk gedefinieerd moeten worden.

Nigerias voorgestelde wetgeving zou een kader kunnen bieden om die verantwoordelijkheden te adresseren, maar de effectiviteit ervan hangt af van wat het vereist, hoe het wordt afgedwongen en of toezichthouders de capaciteit hebben om te reageren op snel evoluerende dreigingen.

Voor een land met aanzienlijke cryptocurrency-adoptie en een groeiende digitale financiële sector is de vraag niet langer of AI de cybersecurity zal beïnvloeden. De vraag is of Nigerias juridisch kader klaar zal zijn wanneer de volgende aanval plaatsvindt.

Bron: TechNext24