Założyciel Binance, Changpeng Zhao, ostrzegł, że sztuczna inteligencja może zaszkodzić użytkownikom Bitcoina poprzez wyciek danych osobowych i inżynierię społeczną, bez łamania kryptografii kryptowaluty, według postów CoinMarketCap i Bitcoin Archive.
Podsumowanie
- CZ ostrzegł, że wyciek danych osobowych może umożliwić phishing z użyciem AI bez łamania kryptografii Bitcoina.
- Wytyczne OWASP porównują konkretne algorytmy i rozmiary kluczy, pozostawiając twierdzenie o szyfrowaniu bankowym niezweryfikowanym.
- Naruszenie bezpieczeństwa Coinbase w 2025 roku ujawniło informacje o klientach bez naruszania kluczy prywatnych ani danych logowania.
- Zscaler udokumentował fałszywe strony weryfikacji Ledger zaprojektowane do kradzieży fraz odzyskiwania portfeli.
CoinMarketCap opisał ostrzeżenie Zhao jako obawę dotyczącą bardziej zaawansowanego phishingu umożliwionego przez ujawnione informacje, podczas gdy Bitcoin Archive przypisał mu twierdzenie, że banki polegają na słabszym szyfrowaniu niż Bitcoin. Żaden z postów na zrzucie ekranu nie podaje algorytmów, długości kluczy ani systemów bankowych potrzebnych do sprawdzenia tego porównania.
Wytyczne FBI dokumentują oszustwa finansowe wspomagane przez AI
Ostrzeżenie FBI z grudnia 2024 roku opisuje przestępców wykorzystujących generatywną AI do czynienia oszustw bardziej przekonującymi i docierania do potencjalnych ofiar mniejszym wysiłkiem. Jego przykłady obejmują fałszywe strony internetowe z inwestycjami w kryptowaluty, sfabrykowane profile w mediach społecznościowych oraz chatboty kierujące odwiedzających do złośliwych linków.
Przestępcy mogą używać wygenerowanego tekstu i tłumaczeń do usuwania błędów ortograficznych i gramatycznych, które w przeciwnym razie mogłyby ujawnić oszustwo, podała agencja. Jej wytyczne opisują syntetyczne obrazy wykorzystywane do fałszywych tożsamości i fałszywych dokumentów identyfikacyjnych, wraz z rozmowami wideo podszywającymi się pod kadrę kierowniczą lub inne osoby sprawujące władzę.
FBI ostrzegło, że sklonowane audio może imitować krewnych proszących o pilne płatności lub być wykorzystane do podszywania się pod klientów banków. Takie przykłady dotyczą oszustwa i nadużycia tożsamości; biuletyn nie donosi o tym, by AI łamała zabezpieczenia kryptograficzne Bitcoina.
Dla gospodarstw domowych agencja zaleca uzgodnienie prywatnego słowa lub frazy do sprawdzania tożsamości krewnego. Zaleca ograniczanie publicznie dostępnych zdjęć osobistych i nagrań głosowych, których przestępcy mogliby użyć do tworzenia przekonujących podszyć.
Twierdzenia o bezpieczeństwie Bitcoina wymagają konkretnego porównania
Standard Weryfikacji Bezpieczeństwa Aplikacji OWASP wymienia siłę kryptografii według algorytmu i rozmiaru klucza, używając tabeli porównawczej zaczerpniętej z wytycznych wydanych przez amerykański Narodowy Instytut Standardów i Technologii. Tabela umieszcza AES-128, RSA 3 072-bitowy i kryptografię krzywych eliptycznych używającą kluczy od 256 do 383 bitów w tej samej kategorii bezpieczeństwa 128-bitowego.
Ramy OWASP nie klasyfikują banków i Bitcoina jako dwóch jednolitych systemów. Ich wytyczne wzywają organizacje do identyfikowania i dokumentowania swoich zasobów kryptograficznych, w tym algorytmów, kluczy i certyfikatów, oraz do oceniania ich w miarę zmian badań kryptograficznych i wymagań.
Porównanie z bankami przypisywane Zhao pozostaje twierdzeniem bez takich dowodów na poziomie systemu. Oba posty nie wskazują banku, nie opisują słabości kryptograficznej ani nie dokumentują ataku AI, który odzyskałby klucz prywatny Bitcoina.
Obliczenia kwantowe stanowią odrębne zagadnienie techniczne w opublikowanych wytycznych NIST. W sierpniu 2024 roku agencja sfinalizowała trzy standardy postkwantowe mające chronić informacje elektroniczne przed atakami ze strony wystarczająco wydajnych komputerów kwantowych. Jej ogłoszenie opisuje maszyny działające inaczej niż komputery konwencjonalne, które mogłyby pokonać powszechnie stosowane metody kryptograficzne.
NIST poinformował, że standardy obejmują ogólne szyfrowanie i podpisy cyfrowe, z zastosowaniami od poufnej komunikacji po handel online. Agencja zachęciła administratorów do rozpoczęcia integracji standardów, ponieważ wdrożenie wymaga czasu.
Coinbase ujawnił, w jaki sposób skradzione dane wspierały podszywanie się
Amerykańska giełda udokumentowała atak na dane klientów o podobnym mechanizmie. W maju 2025 roku Coinbase poinformował, że przestępcy przekupili zagranicznych pracowników wsparcia, aby uzyskać informacje, których mogli użyć, podszywając się pod przedstawicieli firmy, jak crypto.news wcześniej relacjonował w swoim opisie naruszenia danych klientów.
Własne ujawnienie Coinbase wymieniało dane kontaktowe, zdjęcia dokumentów tożsamości, zamaskowane identyfikatory finansowe i informacje o kontach wśród skradzionych danych. Firma podała, że atakujący nie uzyskali kluczy prywatnych ani danych logowania, a skradziony dostęp sam w sobie nie pozwalał im na przenoszenie środków klientów.
Giełda odrzuciła żądanie okupu i ogłosiła nagrodę w wysokości 20 milionów dolarów za informacje prowadzące do aresztowania i skazania atakujących. W swoim ujawnieniu opisała zabezpieczenia, w tym dodatkowe kontrole tożsamości przy dużych wypłatach i ostrzeżenia o oszustwach dla oznaczonych kont.
Coinbase podał, że jego dobrowolny zwrot obejmował klientów detalicznych, którzy wysłali środki oszustowi bezpośrednio w wyniku incydentu przed ogłoszeniem, z zastrzeżeniem weryfikacji. Ujawnienie nie ustaliło, że w tych atakach wykorzystano AI.
Strony phishingowe Ledger próbowały uzyskać frazy odzyskiwania portfeli
Użytkownicy portfeli sprzętowych spotkali się z podszywaniem się poprzez reklamy w wyszukiwarkach. Dochodzenie Zscaler z 25 września, opisane w artykule z 11 października o fałszywych stronach internetowych Ledger, opisywało oszukańcze reklamy Google prowadzące użytkowników do podrobionego interfejsu portfela.
Zscaler udokumentował kampanię, którą analizował w sierpniu, z przekierowaniami przechodzącymi przez Google Cloud Storage i Vercel przed wyświetleniem strony phishingowej hostowanej przez Google Sites. Badacze zaobserwowali, że adresy przekierowań zmieniały się co 15 do 20 minut.
Fałszywy proces weryfikacji prosił odwiedzających o ich frazy odzyskiwania, których atakujący mogli użyć do uzyskania dostępu do portfeli bez posiadania fizycznych urządzeń, podali badacze. Opis Zscaler opisywał kradzież danych uwierzytelniających i nie ustalił udziału AI w kampanii.
Ostrzeżenia Ledger dotyczące kampanii opisują fizyczne listy, które proszą odbiorców o zeskanowanie kodu QR lub odwiedzenie strony internetowej przed wprowadzeniem swoich 24 słów odzyskiwania. Firma twierdzi, że każdy posiadający tę frazę może uzyskać dostęp do kont utworzonych na jej podstawie, i ostrzega użytkowników, aby nigdy nie wprowadzali jej do komputera.
Wskazówki producenta portfeli mówią, że nie wysyła on e-maili proszących klientów o aktualizację oprogramowania sprzętowego urządzenia, włączenie uwierzytelniania dwuskładnikowego lub podjęcie podobnych kroków. Jego strona ostrzeżeń zawiera przykłady oszukańczych listów i e-maili używanych do wyłudzania informacji odzyskiwania.
