Утечка данных в компании блокчейн-аналитики Chainalysis и многомиллиардная кража в криптобирже Binance подчеркнули, как искусственный интеллект становится частью ландшафта кибератак. Пока злоумышленники обращают инструменты ИИ против крупнейших криптокомпаний, Нигерия — один из самых активных криптовалютных рынков мира — по-прежнему не имеет правовой базы для регулирования этой технологии.

Оба инцидента ставят вопрос: достаточно ли действующих законов страны о кибербезопасности и защите данных для противодействия атакам с участием всё более автономных систем ИИ. Ставки особенно высоки для Нигерии, которая заняла второе место в мире по Adoption криптовалют в индексе Chainalysis 2024 Global Crypto Adoption Index.

Что подтверждено, а что нет

Chainalysis — компания блокчейн-аналитики, помогающая криптобиржам, правительствам и правоохранительным органам отслеживать украденные цифровые активы, — на прошлой неделе сообщила, что злоумышленник использовал, по её описанию, «наступательные агентные техники» для доступа к её системам и внутренним инструментам.

Компания подтвердила, что взломщик получил доступ к идентификаторам пользователей, полным именам, адресам электронной почты и обозначениям организационных ролей некоторых пользователей платформы. По её данным, признаков доступа злоумышленника к материалам расследований, результатам транзакций или запросов, паролям в открытом виде, секретам многофакторной аутентификации или сессионным токенам пользователей не обнаружено.

Chainalysis не разъяснила, как именно злоумышленник использовал ИИ, какие уязвимости были эксплуатированы и какая часть вторжения была автоматизирована. В последующем обновлении компания сообщила, что временно отключила некоторые продукты, такие как Reactor и Data Solutions, для проведения дополнительных проверок безопасности.

Инцидент с Binance — отдельная история. Биржа сообщила, что в результате инцидента безопасности на прошлой неделе были затронуты цифровые активы примерно на 6,34 млрд долларов. В предварительных выводах, опубликованных на этой неделе, Binance заявила, что заморозила или перехватила активы примерно на 2,85 млрд долларов и обязалась принять финансовые последствия кражи на себя. Сколько из оставшихся затронутых активов удастся отследить или заморозить — и что покажут дальнейшие выводы о развитии вторжения — ключевые детали, за которыми стоит следить по мере продолжения расследования.

Со ссылкой на информацию ФБР Binance attribуировала атаку КНДР. Компании блокчейн-аналитики TRM Labs и Chainalysis связали её с группировкой, известной как TraderTraitor.

Отчёт биржи описывает многоэтапную атаку с использованием фальшивых собеседований при найме, вредоносного ПО, скомпрометированных устройств сотрудников и украденных учётных данных. Также сообщается, что злоумышленник использовал компьютер скомпрометированного инженера и внутренний инструмент на базе ИИ, чтобы получить контроль над машинами двух других инженеров, а затем получить доступ к инфраструктуре, связанной с операциями кошельков Binance.

Эта последовательность не доказывает, что ИИ самостоятельно осуществил кражу. Скорее, она показывает, как внутренний инструмент на базе ИИ может стать частью цепочки атаки, когда скомпрометированы средства контроля доступа и устройства сотрудников.

Почему ИИ меняет уравнение безопасности

Инциденты иллюстрируют две стороны возникающей угрозы: ИИ может помогать злоумышленникам получать доступ к системам, в то время как организации всё больше полагаются на ту же технологию для выявления и предотвращения атак. В отчёте Binance отмечается, что биржа расширила систему обнаружения аномалий на базе ИИ.

Согласно отчёту IBM «Cost of a Data Breach» за 2026 год, каждая четвёртая злонамеренная утечка данных была связана с ИИ — рост на 56% по сравнению с предыдущим годом. В большинстве этих инцидентов использовались дипфейк-имперсонация и вредоносное ПО с поддержкой ИИ, а не полностью автономные агенты.

Это различие имеет значение. Непосредственная угроза — не обязательно система ИИ, самостоятельно решившая взломать организацию; это способность злоумышленников использовать ИИ, чтобы делать существующие методы быстрее, убедительнее и масштабируемее. Мошеннические сообщения, имперсонация, вредоносное ПО и социальная инженерия становятся эффективнее, когда ИИ применяется для генерации убедительных коммуникаций или автоматизации частей операции.

Для криптокомпаний, где сотрудники могут иметь доступ к ценным активам и чувствительной инфраструктуре, одна скомпрометированная учётная запись или устройство могут иметь серьёзные последствия.

Угроза также становится всё труднее контролируемой. В июне генеральный директор Immunefi Митчел Амадор предупредил, что у криптоиндустрии может быть три-четыре года до того, как защитники разовьют возможности, сопоставимые с возникающими угрозами на базе ИИ. Генеральный директор Circle Джереми Аллер также высказывался, в интервью, опубликованном Брайаном Соззи в X, что организациям следует исходить из предположения, что они находятся под атакой.

Финансовый сектор Нигерии, возможно, уже ощущает последствия. Как сообщается, генеральный директор Prembly Ланре Огунгбе рассказал Bloomberg, что атаки с использованием ИИ на финансовый сектор страны выросли на 150%.

Для нигерийских пользователей риски выходят за пределы криптобирж и затрагивают банковские счета, платформы цифровых платежей и персональные данные. Имперсонация и фишинг с помощью ИИ могут затруднить клиентам различение подлинных и мошеннических сообщений.

У Нигерии есть планы, но нет закона конкретно об ИИ

Нигерия начала разработку правовой базы для ИИ, но этот процесс пока не привёл к появлению отдельного закона об ИИ.

Законопроект о национальной цифровой экономике и электронном управлении — один из основных законодательных инструментов для решения этого вопроса. Председатель сенатского комитета по ИКТ Шуайб Салису указал, что законодательство охватит ИИ-агентов. Законопроект обещают неоднократно с конца 2025 года, и Сенат теперь рассчитывает принять его до конца года. Однако до его принятия и подписания он не может служить введённой в действие регулирующей базой. Для криптовалютного и цифрового финансового бизнеса Нигерии эти сроки важны: итоговый текст законопроекта определит, какие обязательства по безопасности и подотчётности будут применяться, когда инструменты ИИ могут получить доступ к чувствительным внутренним системам.

Другие инициативы продвигаются отдельно. Комиссия Нигерии по защите данных (NDPC) пересматривает Закон о защите данных Нигерии с учётом возникающих вопросов, связанных с ИИ. Национальное агентство по развитию информационных технологий (NITDA) работает с государственными учреждениями над возможными изменениями рамок кибербезопасности Нигерии, а его генеральный директор Кашифу Инува рассказал о совместном пересмотре законодательства о киберпреступности с офисом советника по национальной безопасности и Национальной ассамблеей.

Усилия правительства показывают, что регулирование ИИ больше не игнорируется. Задача — превратить эти отдельные инициативы в исполнимое законодательство.

Когда атаки с помощью ИИ достигают нигерийских пользователей

В Нигерии уже есть законы, применимые к некоторым атакам с использованием ИИ, включая Закон о киберпреступлениях и Закон о защите данных Нигерии. Отсутствие отдельного закона об ИИ не означает, что злоумышленники или организации действуют полностью вне существующих правовых защит.

Однако растущее использование ИИ ставит острые вопросы о том, adequately ли существующее законодательство регулирует обязанности компаний, внедряющих системы ИИ: кто отвечает, когда ИИ-агент получает доступ к чувствительной информации без разрешения? Какие обязательства по безопасности должны выполнять организации до внедрения инструментов ИИ, способных получить доступ к внутренним системам? Как регуляторам следует расследовать инциденты с участием ИИ-агентов и какие средства правовой защиты должны получать затронутые пользователи?

Эти вопросы становятся всё более актуальными по мере того, как компании интегрируют ИИ в клиентские сервисы, разработку ПО, финансовые операции и внутренние процессы.

Голоса вне правительства настаивают на более жёстких правилах. Пользователь X @Wealth_ese1 отметил, что NITDA опубликовала дорожную карту по ИИ, но указал, что «дорожная карта — это не закон». Эксперт по кибербезопасности Питер Обадаре сказал в интервью Vanguard, что «регулирование — это не избыточно, это необходимо».

Опасения выходят за рамки финансов. Независимая национальная избирательная комиссия (INEC) также выпустила разъяснение по обвинениям, связанным с фотографиями, сгенерированными ИИ, в предварительном списке избирателей, что подчёркивает потенциальные последствия ИИ для общественного доверия и управления выборами.

Вопрос — в подотчётности

Утечка в Chainalysis, кража в Binance и незавершённое законодательство Нигерии об ИИ указывают на растущую проблему: ИИ становится частью как инструментов, используемых организациями, так и методов, эксплуатируемых злоумышленниками.

Инциденты не доказывают, что ИИ стал причиной кражи в Binance, и не доказывают, что существующие нигерийские законы неспособны противостоять любой атаке с использованием ИИ. Но они показывают, почему обязанности организаций, внедряющих ИИ, должны быть чётко определены.

Предлагаемое законодательство Нигерии могло бы создать основу для решения этих вопросов подотчётности, но его эффективность будет зависеть от того, что оно требует, как оно исполняется и обладают ли регуляторы возможностью реагировать на быстро меняющиеся угрозы.

Для страны со значительным Adoption криптовалют и растущим сектором цифровых финансов вопрос уже не в том, повлияет ли ИИ на кибербезопасность. Вопрос в том, будет ли правовая база Нигерии готова к моменту следующей атаки.

Источник: TechNext24