Naruszenie bezpieczeństwa w firmie analityki blockchainowej Chainalysis oraz kradzież o wartości miliardów dolarów na giełdzie kryptowalut Binance uwidoczniły, jak sztuczna inteligencja staje się częścią krajobrazu cyberataków. Gdy atakujący zwracają narzędzia AI przeciwko największym firmom kryptowalutowym, Nigeria — jeden z najaktywniejszych rynków kryptowalut na świecie — wciąż nie posiada ram prawnych regulujących tę technologię.

Oba incydenty rodzą pytania, czy istniejące w kraju przepisy dotyczące cyberbezpieczeństwa i ochrony danych są wystarczające, aby sprostać atakom z udziałem coraz bardziej autonomicznych systemów AI. Stawka jest szczególnie wysoka dla Nigerii, która w rankingu Chainalysis Global Crypto Adoption Index 2024 zajęła drugie miejsce na świecie pod względem adopcji kryptowalut.

Co zostało potwierdzone — a co nie

Chainalysis, firma analityki blockchainowej wspierająca giełdy kryptowalut, rządy i organy ścigania w śledzeniu skradzionych aktywów cyfrowych, ujawniła w zeszłym tygodniu, że atakujący użył opisywanych przez firmę „ofensywnych technik agentowych", aby uzyskać dostęp do jej systemów i narzędzi wewnętrznych.

Firma potwierdziła, że intruz uzyskał dostęp do identyfikatorów użytkowników, pełnych imion i nazwisk, adresów e-mail oraz etykiet ról organizacyjnych części użytkowników swojej platformy. Poinformowała, że nie znalazła dowodów na to, iż atakujący uzyskał dostęp do treści śledztw, wyników transakcji czy zapytań, haseł w postaci jawnej, sekretów uwierzytelniania wieloskładnikowego ani tokenów sesji użytkowników.

Chainalysis nie wyjaśniła dokładnie, jak atakujący użył AI, jakie luki zostały wykorzystane ani jaka część włamania była zautomatyzowana. W późniejszej aktualizacji firma poinformowała, że tymczasowo wyłączyła niektóre produkty, takie jak Reactor i Data Solutions, w trakcie dodatkowych ocen bezpieczeństwa.

Incydent z Binance to odrębna sprawa. Giełda poinformowała, że w wyniku incydentu bezpieczeństwa w zeszłym tygodniu ucierpiały aktywa cyfrowe o wartości około 6,34 miliarda dolarów. We wstępnych ustaleniach opublikowanych w tym tygodniu Binance oświadczyła, że zamroziła lub przechwyciła aktywa o wartości około 2,85 miliarda dolarów i zobowiązała się pokryć skutki finansowe kradzieży. Ile pozostałych dotkniętych aktywów można namierzyć lub zamrozić — oraz co kolejne ustalenia pokażą na temat przebiegu włamania — to najbliższe szczegóły, na które warto zwracać uwagę w miarę postępu dochodzenia.

Powołując się na informacje od FBI, Binance przypisała atak Korei Północnej. Firmy analityki blockchainowej TRM Labs i Chainalysis powiązały go z grupą znaną jako TraderTraitor.

Raport giełdy opisuje wieloetapowy atak z udziałem fałszywych rozmów rekrutacyjnych, złośliwego oprogramowania, skompromitowanych urządzeń pracowników oraz skradzionych poświadczeń. Ujawnia również, że atakujący użył skompromitowanego komputera inżyniera oraz wewnętrznego narzędzia AI, aby przejąć kontrolę nad maszynami dwóch innych inżynierów, zanim uzyskał dostęp do infrastruktury powiązanej z operacjami portfeli Binance.

Ta sekwencja zdarzeń nie dowodzi, że AI samodzielnie przeprowadziła kradzież. Pokazuje raczej, jak wewnętrzne narzędzie wspomagane AI może stać się częścią łańcucha ataku, gdy kontrole dostępu i urządzenia pracowników zostaną skompromitowane.

Dlaczego AI zmienia równanie bezpieczeństwa

Incydenty ilustrują dwa oblicza nowego zagrożenia: AI może pomagać atakującym w uzyskiwaniu dostępu do systemów, podczas gdy organizacje w coraz większym stopniu polegają na tej samej technologii, aby wykrywać i zapobiegać atakom. Raport Binance zaznacza, że giełda rozszerzyła wykrywanie anomalii oparte na AI.

Według raportu IBM Cost of a Data Breach Report 2026 co czwarty złośliwy incydent naruszenia danych wiązał się z AI — o 56% więcej niż rok wcześniej. Większość tych zdarzeń obejmowała podszywanie się z użyciem deepfake oraz złośliwe oprogramowanie wspomagane AI, a nie w pełni autonomiczne agenty.

To rozróżnienie ma znaczenie. Bezpośrednim zagrożeniem niekoniecznie jest system AI samodzielnie decydujący się zhakować organizację — chodzi o zdolność atakujących do wykorzystania AI w celu przyspieszenia istniejących technik, uczynienia ich bardziej przekonującymi i łatwiejszymi do skalowania. Oszczerstw wiadomości, podszywanie się, złośliwe oprogramowanie i inżynieria socjalna stają się skuteczniejsze, gdy AI służy do generowania wiarygodnych komunikatów lub automatyzacji części operacji.

Dla firm kryptowalutowych, gdzie pracownicy mogą mieć dostęp do cennych aktywów i wrażliwej infrastruktury, pojedynczy skompromitowany kont lub urządzenie może mieć poważne konsekwencje.

Zagrożenie staje się też coraz trudniejsze do opanowania. W czerwcu szef Immunefi Mitchell Amador ostrzegł, że branża kryptowalutowa może mieć od trzech do czterech lat, zanim obrońcy rozwiną zdolności porównywalne z nowymi zagrożeniami związanymi z AI. Szef Circle Jeremy Allaire podobnie argumentował w wywiadze udostępnionym na X przez Briana Sozziego, że organizacje powinny działać w założeniu, iż są atakowane.

Sektor finansowy Nigerii może już odczuwać skutki. Szef Prembly Lanre Ogungbe miał podobno powiedzieć agencji Bloomberg, że ataki oparte na AI na sektor finansowy kraju wzrosły o 150 procent.

Dla nigeryjskich użytkowników ryzyko wykracza poza giełdy kryptowalut — obejmuje konta bankowe, platformy płatności cyfrowych i dane osobowe. Podszywanie się i phishing wspomagane AI mogą utrudniać klientom odróżnianie legalnych komunikatów od oszukańczych.

Nigeria ma plany, ale nie ma ustawy specyficznej dla AI

Nigeria rozpoczęła opracowywanie ram prawnych dla AI, ale proces ten nie doprowadził jeszcze do uchwalenia odrębnej ustawy o AI.

Projekt ustawy o narodowej gospodarce cyfrowej i e-administracji (National Digital Economy and E-Governance Bill) jest jednym z głównych narzędzi ustawodawczych w tej sprawie. Przewodniczący senackiej komisji ICT, Shuaib Salisu, wskazał, że ustawodawstwo obejmie agentów AI. Projekt obiecywany jest wielokrotnie od końca 2025 roku, a Senat celuje obecnie w jego uchwalenie przed końcem roku. Dopóki jednak nie zostanie uchwalony i podpisany jako ustawa, nie może funkcjonować jako obowiązujące ramy regulacyjne. Dla nigeryjskich firm z branży kryptowalut i finansów cyfrowych ten harmonogram ma znaczenie: ostateczna treść projektu ukształtuje obowiązki w zakresie bezpieczeństwa i odpowiedzialności stosowane wtedy, gdy narzędzia AI mogą docierać do wrażliwych systemów wewnętrznych.

Inne inicjatywy postępują oddzielnie. Komisja Ochrony Danych Osobowych Nigerii (NDPC) przeglada ustawę o ochronie danych osobowych Nigerii, aby uwzględnić nowe zagadnienia związane z AI. Krajowa Agencja Rozwoju Technologii Informacyjnych (NITDA) współpracuje z instytucjami rządowymi nad możliwymi zmianami w nigeryjskich ramach cyberbezpieczeństwa, a jej dyrektor generalny, Kashifu Inuwa, opisał wspólny przegląd ustawodawstwa dotyczącego cyberprzestępczości z Biurem Doradcy ds. Bezpieczeństwa Narodowego i Zgromadzeniem Narodowym.

Działania rządu wskazują, że regulacja AI nie jest już ignorowana. Wyzwaniem jest przekształcenie tych oddzielnych inicjatyw w egzekwowalne ustawodawstwo.

Gdy ataki wspomagane AI sięgają nigeryjskich użytkowników

Nigeria posiada już przepisy, które mogą mieć zastosowanie do niektórych ataków wspomaganych AI, w tym ustawę o cyberprzestępczości oraz ustawę o ochronie danych osobowych Nigerii. Brak odrębnej ustawy o AI nie oznacza, że atakujący ani organizacje działają całkowicie poza istniejącą ochroną prawną.

Rosnące wykorzystanie AI rodzi jednak pilne pytania, czy istniejące ustawodawstwo odpowiednio adresuje odpowiedzialność firm wdrażających systemy AI: Kto odpowiada, gdy agent AI uzyska dostęp do wrażliwych informacji bez upoważnienia? Jakie obowiązki w zakresie bezpieczeństwa powinny spełniać organizacje przed wdrożeniem narzędzi AI mogących uzyskać dostęp do systemów wewnętrznych? Jak regulatorzy powinni badać incydenty z udziałem agentów AI i jakie środki zaradcze powinni otrzymać poszkodowani użytkownicy?

Pytania te stają się coraz pilniejsze w miarę integracji AI z usługami dla klientów, tworzeniem oprogramowania, operacjami finansowymi i wewnętrznymi procesami.

Głosy spoza rządu domagają się ostrzejszych zasad. Użytkownik X @Wealth_ese1 zauważył, że NITDA opublikowała mapę drogową AI, ale argumentował, że „mapa drogową nie jest ustawą". Ekspert ds. cyberbezpieczeństwa Peter Obadare powiedział Vanguardowi, że „regulacja nie jest nadmiarowa, jest konieczna".

Obawy wykraczają poza sektor finansowy. Niezależna Komisja Wyborcza (INEC) wydała również wyjaśnienie w sprawie zarzutów dotyczących fotografii wygenerowanych przez AI w wstępnym rejestrze wyborców, podkreślając potencjalne implikacje AI dla zaufania publicznego i administracji wyborczej.

Chodzi o odpowiedzialność

Naruszenie w Chainalysis, kradzież na Binance i niedokończone nigeryjskie ustawodawstwo dotyczące AI wskazują na rosnące wyzwanie: AI staje się częścią zarówno narzędzi wykorzystywanych przez organizacje, jak i metod stosowanych przez atakujących.

Incydenty te nie dowodzą, że AI spowodowała kradzież na Binance, ani nie udowadniają, że istniejące nigeryjskie przepisy nie są w stanie zaadresować każdego ataku wspomaganego AI. Pokazują jednak, dlaczego odpowiedzialność organizacji wdrażających AI musi być jasno określona.

Proponowane przez Nigerię ustawodawstwo mogłoby dostarczyć ram do adresowania tych odpowiedzialności, ale jego skuteczność będzie zależała od tego, czego będzie wymagać, jak będzie egzekwowane oraz czy regulatorzy będą mieli zdolność reagowania na szybko zmieniające się zagrożenia.

Dla kraju o znaczącej adopcji kryptowalut i rosnącym sektorze finansów cyfrowych pytanie nie brzmi już, czy AI wpłynie na cyberbezpieczeństwo. Pytanie brzmi, czy nigeryjskie ramy prawne będą gotowe, gdy nastąpi kolejny atak.

Źródło: TechNext24