DNB waarschuwt: AI maakt cyberaanvallen op crypto sneller

DNB zet cyberrisico op scherp. Krachtige AI-modellen maken het voor aanvallers goedkoper en sneller om kwetsbaarheden te vinden, ook bij partijen achter crypto-exchanges, custody en klantomgevingen.

De waarschuwing van De Nederlandsche Bank richt zich op financiële instellingen. Toch raakt de boodschap ook gereguleerde cryptodienstverleners.

Onder MiCA worden CASP’s steeds meer onderdeel van de financiële toezichtlaag. En onder DORA telt niet alleen of een platform draait, maar ook hoe snel het breekt, herstelt en meldt.

DNB ziet AI niet alleen als dreiging. Banken, betaaldienstverleners en cryptobedrijven kunnen dezelfde technologie gebruiken om processen sneller te maken en cyberweerbaarheid te versterken.

Maar de keerzijde is harder. Frontier-AI-modellen kunnen aanvallers helpen om sneller, goedkoper en op grotere schaal lekken te vinden en te misbruiken.

Een kwetsbaarheid die vroeger als los probleem werd gezien, kan door AI onderdeel worden van een bredere aanval. Dat geldt niet alleen binnen de instelling zelf. Ook kritieke ICT-dienstverleners komen in beeld.

Daarmee verschuift cyberbeveiliging van de serverruimte naar de bestuurskamer. De vraag is niet meer alleen of de firewall werkt. De vraag is of bestuurders genoeg geld, mensen en prioriteit vrijmaken voor een dreiging die sneller wordt.

DNB stelt een pijnlijke vraag: sluiten bestaande patchprocessen nog aan bij een wereld waarin de tijd tussen ontdekking en misbruik korter wordt?

Dat raakt de kern. Sneller patchen klinkt logisch. Maar financiële diensten moeten ook continu beschikbaar blijven.

Een instelling kan dus moeten kiezen. Laat je een kwetsbaar systeem even draaien om klanten niet te hinderen? Of grijp je hard in en beperk je tijdelijk de dienst?

Voor crypto-exchanges is die keuze nog scherper. Klanten handelen 24/7. Een fout kan orders raken, data lekken of wallettoegang verstoren.

Bij banken is uitval vervelend. Bij crypto kan uitval direct geld verplaatsen of juist vastzetten.

De AFM maakt duidelijk dat cryptodienstverleners niet buiten deze wereld staan. Op de pagina over meldingsplichten voor CASP’s staat dat partijen met vergunning of notificatie ernstige ICT-incidenten moeten melden.

Daar blijft het niet bij. CASP’s moeten ook nieuwe overeenkomsten met ICT-dienstverleners en cyberdreigingen melden onder DORA.

Daarnaast gelden meldplichten rond verdachte transacties of orders, sancties en de Transfer of Funds Regulation. Een cyberincident kan dus snel overlappen met marktmisbruik, klantbescherming en financiële criminaliteit.

DORA is in simpele taal de Europese regelset voor digitale weerbaarheid in de financiële sector. Het gaat om ICT-risico, incidentmelding, tests, governance en controle op derde partijen.

Voor crypto betekent dit: security is geen losse technische bijlage meer. Het wordt een vergunningsthema.

DNB wijst nadrukkelijk naar ketenafhankelijkheid. Veel instellingen leunen op ICT-dienstverleners voor kritieke processen.

De AFM zegt op zijn DORA-pagina over ICT-dienstverleners dat bedrijven risico’s van derde partijen organisatiebreed moeten meenemen. Ook moeten zij concentratierisico’s en exitroutes beoordelen.

Voor crypto is dat geen bijzaak. Veel platforms draaien op cloudproviders, node-infrastructuur, KYC-tools, sanctiescreening, custodysoftware en marktdataleveranciers.

Een probleem bij één leverancier kan meerdere aanbieders tegelijk raken. Zeker wanneer veel partijen dezelfde stack gebruiken.

Bij wallets is dat extra gevoelig. Wie toegang, signing of keybeheer uitbesteedt, leunt niet alleen op eigen code. Hij leunt op de hele operationele keten daaronder.

Het Financieel Stabiliteitscomité trok dezelfde lijn. In zijn bericht van 7 juli stelt het FSC dat geavanceerde AI-modellen bestaande kwetsbaarheden sneller, goedkoper en op grotere schaal kunnen laten misbruiken.

Via ketenafhankelijkheden, concentratierisico’s en kritieke derde partijen kan dat volgens het comité het financiële stelsel als geheel raken.

Ook de afhankelijkheid van niet-Europese technologie komt terug. Dat maakt cyberweerbaarheid niet alleen een technisch dossier, maar ook een machtsvraag.

Wie beheert de cloud? Wie levert de AI-laag? Wie houdt de sleutels? En wat gebeurt er als één dominante leverancier tegelijk onder druk komt?

Voor blockchain-bedrijven klinkt decentralisatie dan snel mooier dan de operationele werkelijkheid. Een protocol kan open zijn, terwijl de dienstverlening eromheen zwaar op dezelfde commerciële leveranciers leunt.

De Europese Systemic Risk Board publiceerde op 7 juli een waarschuwing over frontier AI. Volgens de ESRB kunnen deze modellen de snelheid, schaal en verfijning van cyberaanvallen vergroten.

De raad ziet op termijn ook voordelen voor verdediging. Maar op korte en middellange termijn ligt het voordeel vooral bij aanvallers.

De ESRB wijst ook op de concentratie van leidende AI-aanbieders buiten de EU. Daardoor ontstaan strategische afhankelijkheden en geopolitieke risico’s.

Dat past bij de Nederlandse waarschuwing. Cyberrisico is niet langer alleen phishing, malware en slechte wachtwoorden. Het wordt een strijd om snelheid, schaal en leveranciersmacht.

Voor cryptodienstverleners is de boodschap helder. AI-gedreven cyberrisico is geen toekomstmuziek en geen exclusief bankenprobleem.

Exchanges, brokers en custodians combineren digitale klantomgevingen, marktdata, transactiecontrole, walletbeheer en directe waardeoverdracht. Juist die mix maakt schade snel zichtbaar.

Een aanval hoeft niet eens alle systemen te raken. Een fout in loginbeveiliging, orderverwerking, nodeconnectiviteit of keymanagement kan al genoeg zijn voor uitval of verlies.

De vraag voor bestuurders is dus scherper dan “voldoen we vandaag?”. De echte vraag is of detectie, patching, incidentrespons, fallbackscenario’s en leverancierstoezicht snel genoeg zijn voor aanvallers met AI aan hun kant.

DNB zegt eigenlijk dit: de klok loopt sneller. Wie zijn risicobeeld niet aanpast, verdedigt zich tegen het vorige dreigingsmodel.