Vertrouw niet, controleer: besmette AI-links onthullen een nachtmerrie voor crypto-werknemers

Claude-chatlink verandert in een malwareval

Generatieve kunstmatige intelligentie (AI) wint elke dag aan populariteit, en mensen die werkzaam zijn in de sector van digitale activa en gedistribueerde grootboeken maken regelmatig gebruik van deze technologie voor hun werk. Het probleem is dat deze doelgroep expliciet wordt aangevallen door kwaadwillende aanvallers, en dat geheimen die niet gemakkelijk kunnen worden ingetrokken, gestolen kunnen worden. Afgelopen vrijdag legde Numa Lunah, medeoprichter van Refi Hub, uit dat hij „gehackt was“.

„Ik ben gisteren gehackt“, schreef hij op X. „De link kwam uit de Claude-chat. Ik was bezig met het installeren van een transcriptie-app. Claude stuurde de downloadlink, en ik plakte de opdracht in de terminal. Het zag er allemaal legitiem uit. Dat was het echter niet. Het was een nepwebsite die malware bevatte. Het werd direct uitgevoerd en probeerde al mijn gegevens te stelen.”

De ontwikkelaar voegde eraan toe dat er geen gevoelige gegevens van hem zijn verdwenen, en dat hij de laptop die hij gebruikte volledig heeft gewist en opnieuw heeft geïnstalleerd. Maar daarmee was de kwestie nog niet afgehandeld. “Dit is het enge deel”, legde Numa uit. “Toen ik de back-up terugzette, vond ik een besmette SKILL.md-bestand voor Claude Code. Het leek precies op mijn eigen schrijfgids. Maar erin verborgen: het bevatte instructies om de malware stilletjes opnieuw te downloaden en mijn inloggegevens te stelen telkens wanneer de AI het laadde.”

Antwoorden van LLM’s openen een nieuwe aanvalsvector, terwijl cryptowerkers te maken hebben met een beveiligingsprobleem zonder ‘ongedaan maken’-knop

Numa’s ervaring is niet het eerste geval waarin een LLM kwaadaardige antwoorden deelt. Een paar maanden geleden waarschuwden experts van Microsoft Defender dat cryptojacking-aanvallen waren geëvolueerd van eenvoudige SEO-vergiftiging naar LLM-antwoordvergiftiging. Dit soort aanvallen komt voort uit AI-modellen zoals Gemini, Claude, Copilot en ChatGPT. Voorbeelden van aanvallen zijn onder meer gedeelde artefacten in het contextvenster, chatbots die door aanvallers gecontroleerde downloadlinks aanbevelen, valse installatieprogramma’s onder de vlag van AI, en besmette codebases en agentvaardigheden.

In principe bevat een gewone laptop van een kenniswerker herbruikbare geheimen die zelfs na een hack kunnen worden ingetrokken, maar cryptowerkers kunnen geheimen bewaren die niet kunnen worden ingetrokken. Hieronder vallen onder andere seed-zinnen, geëxporteerde xprv-/keystore-bestanden, JSON-bestanden van hot wallets, API-sleutels van exchanges met opnamerechten, deployer-sleutels, Lightning-macaroons, aanvullende gegevens van hardware-wallets en sessiecookies voor CEX-dashboards, en nog veel meer.

De gevaarlijkste kwetsbaarheid is wellicht menselijk vertrouwen en luiheid

De meest recente waarschuwingen tonen aan dat er een fundamentele verschuiving in de beveiligingscultuur nodig is. In plaats van AI-tools gewoonweg stelselmatig te vertrouwen, moet er een alomtegenwoordige scepsis ten opzichte van automatisering zelf worden gehanteerd. Medewerkers in deze sector doen er goed aan elke AI-suggestie als inherent vijandig te beschouwen, ongeacht de bron. Dit is geen overdreven voorzichtigheid of paranoia; het is letterlijk een kwestie van overleven.

De moraal van het verhaal is niet kwetsbare code of besmette output van onze favoriete AI-modellen; het is het menselijke instinct om gemakkelijke antwoorden te vertrouwen. Dat instinct is in dit landschap een risico dat met geen enkele patch kan worden verholpen. Wat de medeoprichter van Refi Hub op de lange termijn heeft gered, was het feit dat hij zei dat hij „elke skill, hook en configuratiebestand las voordat hij de AI ermee liet werken“.

Helaas controleren de meeste AI-gebruikers tegenwoordig waarschijnlijk niet nogmaals of de informatie die de AI hen aanreikt wel klopt, en vertrouwen ze er simpelweg op om redenen die moeilijk te verklaren blijven.