區塊鏈情報公司 Chainalysis 遭遇的資安事件，以及加密貨幣交易所 Binance 涉及的數十億美元竊案，凸顯人工智慧正成為網路攻擊版圖的一環。當攻擊者將 AI 工具轉向攻擊主要加密貨幣公司之際，奈及利亞——全球最活躍的加密貨幣市場之一——仍缺乏管理這項技術的法律框架。

這兩起事件引發疑問：該國現行的網路安全與資料保護法律，是否足以應對涉及日益自主的 AI 系統的攻擊。對奈及利亞而言，利害關係尤其重大，因為該國在 Chainalysis 2024 年全球加密貨幣採用指數中排名全球第二。

已確認的事實——以及尚未確認的部分

Chainalysis 是協助加密貨幣交易所、政府與執法機構追蹤遭竊數位資產的區塊鏈情報公司。該公司上週披露，一名攻擊者使用其所稱的「攻擊性代理技術」（offensive agentic techniques）存取其系統與內部工具。

該公司證實，入侵者存取了平台上部分用戶的用戶 ID、完整姓名、電子郵件地址與組織職稱標籤。公司表示，沒有證據顯示攻擊者存取了調查內容、交易或查詢結果、明文密碼、多因素驗證秘密或用戶工作階段權杖。

Chainalysis 尚未說明攻擊者究竟如何使用 AI、利用了哪些漏洞，或入侵過程有多少是自動化的。在後續更新中，該公司披露，在進行額外安全評估期間，已暫時將 Reactor 與 Data Solutions 等部分產品下線。

Binance 事件則是另一回事。該交易所表示，上週發生的安全事件影響約 63.4 億美元的數位資產。在本週發布的初步調查結果中，Binance 表示已凍結或攔截約 28.5 億美元的資產，並承諾承擔竊案的財務損失。其餘受影響資產有多少能被追蹤或凍結，以及後續調查結果將揭示入侵如何展開，是調查持續進行時值得關注的即時細節。

Binance 援引 FBI 的資訊，將攻擊歸因於北韓。區塊鏈情報公司 TRM Labs 與 Chainalysis 則將其與名為 TraderTraitor 的組織連結。

該交易所的報告描述了一場多階段攻擊，涉及假招聘面試、惡意軟體、遭入侵的員工設備與被竊取的憑證。報告也披露，攻擊者利用一名工程師遭入侵的電腦與內部 AI 工具，取得另外兩名工程師機器的控制權，之後存取與 Binance 錢包營運相關的基礎設施。

這一系列過程並不能證明 AI 獨立完成了竊案。更確切地說，它顯示了當存取控制與員工設備被攻破時，一個具 AI 能力的內部工具如何成為攻擊鏈的一部分。

為何 AI 改變了安全方程式

這些事件說明了新興威脅的兩個面向：AI 可以幫助攻擊者取得系統存取權，而組織也越來越依賴同一項技術來偵測與防範攻擊。Binance 的報告指出，該交易所已擴充其基於 AI 的異常偵測。

IBM 的 2026 年資料外洩成本報告發現，每四起惡意入侵事件中就有一起涉及 AI，較前一年增加 56%。這些事件大多涉及深偽冒充與 AI 助攻的惡意軟體，而非完全自主的代理。

這個區別很重要。眼前的威脅未必是一個獨立決定駭入組織的 AI 系統；而是攻擊者利用 AI 使既有手法更快、更具說服力、更容易規模化的能力。當 AI 被用來生成具說服力的訊息或將部分作業自動化時，詐騙訊息、冒充、惡意軟體與社交工程都會變得更有效率。

對加密貨幣公司而言，員工可能接觸到有價值的資產與敏感基礎設施，單一帳戶或設備遭入侵即可能帶來嚴重後果。

威脅也變得越來越難以遏制。今年 6 月，Immunefi 執行長 Mitchell Amador 警告，加密貨幣產業可能只剩三到四年時間，防禦者的能力才能趕上新興 AI 威脅。Circle 執行長 Jeremy Allaire 同樣認為，在 Brian Sozzi 於 X 上分享的訪談中指出，組織應假定自己正處於攻擊之下來營運。

奈及利亞的金融部門可能已在承受後果。據報導，Prembly 執行長 Lanre Ogungbe 向 Bloomberg 表示，針對該國金融部門的 AI 驅動攻擊增加了 150%。

對奈及利亞用戶而言，風險不只限於加密貨幣交易所，還擴及銀行帳戶、數位支付平台與個人資訊。AI 助攻的冒充與網路釣魚，可能使客戶更難區分合法訊息與詐騙訊息。

奈及利亞有規劃，卻沒有 AI 專法

奈及利亞已開始為 AI 發展法律框架，但該過程尚未產出一部獨立的 AI 法律。

《國家數位經濟與電子治理法案》是解決此議題的主要立法載體之一。參議院 ICT 委員會主席 Shuaib Salisu 已表示，該立法將涵蓋 AI 代理。該法案自 2025 年底以來已被多次承諾推動，參議院現在目標在年底前完成立法。然而，在法案通過並簽署成為法律之前，它無法作為已生效的監管框架。對奈及利亞的加密貨幣與數位金融企業而言，這個時間表至關重要：法案的最終條文將決定當 AI 工具能觸及敏感內部系統時，適用哪些安全與問責義務。

其他倡議也在分頭推進。奈及利亞資料保護委員會（NDPC）正在審查《奈及利亞資料保護法》，以應對新興的 AI 相關問題。國家資訊技術發展局（NITDA）正與政府機構合作，研究奈及利亞網路安全框架的可能調整，其局長 Kashifu Inuwa 也描述了與國家安全顧問辦公室及國民議會共同審查網路犯罪立法的計畫。

政府的努力顯示 AI 監管不再被忽視。挑戰在於將這些各自為政的倡議轉化為可執行的立法。

當 AI 助攻的攻擊波及奈及利亞用戶時

奈及利亞已有可能適用於部分 AI 助攻攻擊的法律，包括《網路犯罪法》與《奈及利亞資料保護法》。缺乏獨立的 AI 法律，並不代表攻擊者或組織完全處於現有法律保護範圍之外。

然而，AI 使用日益增加，引發了現行立法是否足以規範部署 AI 系統的企業責任的迫切問題：當 AI 代理未經授權存取敏感資訊時，誰應負責？組織在部署可存取內部系統的 AI 工具之前，應履行哪些安全義務？監管機構應如何調查涉及 AI 代理的事件，受影響的用戶應獲得何種補救？

隨著企業將 AI 整合到客戶服務、軟體開發、財務營運與內部工作流程中，這些問題變得更加急迫。

政府之外的聲音也呼籲更明確的規範。X 用戶 @Wealth_ese1 指出 NITDA 已發布 AI 路線圖，但認為「路線圖不是法律」。網路安全專家 Peter Obadare 向 Vanguard 表示「監管並不過度，而是必要的」。

相關憂慮也不僅限於金融領域。獨立國家選舉委員會（INEC）也針對其初步選民名冊中涉及 AI 生成照片的指控發布澄清，凸顯 AI 對公眾信任與選舉管理的潛在影響。

關鍵在於問責

Chainalysis 遭遇的入侵、Binance 的竊案，以及奈及利亞尚未完成的 AI 立法，共同指向一個日益嚴峻的挑戰：AI 正同時成為組織使用的工具與攻擊者利用的手段。

這些事件並不能證明 AI 導致了 Binance 竊案，也不能證明奈及利亞現行法律無法應對每一種 AI 助攻的攻擊。但它們說明了為何部署 AI 的組織責任必須被明確界定。

奈及利亞擬議的立法可以為應對這些責任提供框架，但其成效將取決於法案的具體要求、執行方式，以及監管機構是否有能力應對快速演變的威脅。

對一個加密貨幣採用率高、數位金融部門持續成長的國家而言，問題已不再是 AI 是否會影響網路安全，而是當下一次攻擊發生時，奈及利亞的法律框架是否已經準備就緒。

來源：TechNext24