La agencia nacional de ciberseguridad de la India ha advertido que un actor de amenazas asistido por IA está intensificando los ataques contra exchanges de criptomonedas y otras empresas financieras, incluyendo el robo de claves de monederos de criptomonedas y el drenaje no autorizado de fondos. La actualización, emitida por el Equipo de Respuesta a Emergencias Informáticas de la India (CERT-In), nombra al grupo como “CRAFTY FALCON” y afirma que la campaña está activa y en aumento.
El aviso del miércoles de CERT-In amplía una alerta anterior de octubre al incluir explícitamente a las exchange de criptomonedas entre los objetivos afectados. La agencia también describió cómo el actor combina reconocimiento asistido por máquina con técnicas de explotación automatizadas, utilizando sistemas de las víctimas—como interfaces de programación de aplicaciones (API) de pago y distribución—para realizar transferencias.
Principales conclusiones
- CERT-In designó al actor de amenaza “CRAFTY FALCON” en una actualización de su advertencia de octubre, nombrando explícitamente a los exchanges de criptomonedas como objetivos.
- La agencia dice que la campaña está en curso, y que la unidad de respuesta a incidentes financieros de CERT-In (CSIRT-Fin) continúa recibiendo informes de ataques exitosos.
- Según CERT-In, los atacantes utilizaron herramientas de IA para generar y mejorar scripts de ataque, y explotaron aplicaciones vulnerables y entornos de prueba.
- CERT-In informó que claves de monederos de criptomonedas robadas estuvieron involucradas en algunos incidentes, junto con el agotamiento de fondos de los monederos.
- CERT-In instó a las organizaciones en riesgo a tratar la campaña como activa y a aumentar la supervisión las 24 horas durante fines de semana y feriados.
Por qué importa la actualización específica de criptomonedas de CERT-In
Si bien el phishing habilitado por IA y la automatización han sido ampliamente discutidos en círculos de ciberseguridad, la última advertencia de CERT-In es notable porque va más allá del riesgo genérico del sector financiero y señala directamente a los exchanges de criptomonedas. Esto es relevante para los operadores de cripto, ya que los sistemas de exchange y custodia a menudo integran múltiples componentes —gestión de claves, flujos de retiro, controles de acceso a monederos y servicios de terceros— que pueden crear rutas de alto impacto para los atacantes una vez que se obtiene el acceso inicial.
CERT-In dijo que CSIRT-Fin continúa recibiendo informes de ataques exitosos, incluyendo aquellos que involucran a empresas financieras no bancarias (NBFC) y empresas de fintech que ya habían recibido advertencias restrictivas anteriores y supuestamente habían llevado a cabo acciones de corrección. Ese detalle sugiere que los esfuerzos de corrección podrían no haber cerrado completamente las brechas específicas explotadas por esta campaña, o que el atacante se está adaptando a los cambios defensivos.
Operaciones de “velocidad de máquina” y abuso de API
CERT-In describió a CRAFTY FALCON como un actor de amenaza que “supervisa a sus objetivos con inteligencia machine” y opera “a velocidad machine.” El aviso también afirma que los atacantes “actúan invocando las propias API de pago y distribución de la víctima,” lo que indica que la compromisión no se limita a la exfiltración, sino que puede traducirse directamente en movimiento no autorizado de fondos.
Más allá de los exchange, CERT-In enumera un amplio conjunto de objetivos que incluye prestamistas no bancarios, plataformas de préstamo digital, empresas de fintech, agregadores de pagos y proveedores de servicios. El patrón se alinea con un modelo de ataque en el que, una vez establecido un punto de apoyo —a través de vulnerabilidades expuestas o mal uso de credenciales— los delincuentes pueden reutilizar flujos de trabajo legítimos dentro de los sistemas empresariales.
La agencia también dijo que los atacantes explotaron aplicaciones vulnerables y entornos de prueba expuestos, incluyendo el uso de credenciales compartidas y tokens de acceso para acceder a sistemas de producción. Paralelamente, CERT-In indicó que los atacantes dirigieron la infraestructura en la nube para implementar archivos maliciosos, lo que sugiere que la cadena de intrusión probablemente combina debilidades a nivel de aplicación con persistencia a nivel de infraestructura.
Cómo las herramientas de IA cambian el flujo de trabajo del atacante
El aviso de CERT-In enfatiza que las herramientas de IA desempeñaron un papel en la aceleración del desarrollo de capacidades de ataque. La agencia indica que los atacantes utilizaron IA para generar y refinar rápidamente scripts de ataque e incluso realizaron ingeniería inversa del código de aplicaciones para crear exploits personalizados para víctimas específicas.
Operativamente, CERT-In añadió que algunos ataques se programaron para fines de semana y días festivos para retrasar la detección, un enfoque particularmente preocupante en entornos financieros donde la cobertura de personal puede disminuir fuera del horario laboral. La agencia también describió el uso de pequeñas transacciones de prueba para validar transferencias no autorizadas antes de escalar a cantidades más grandes en algunos incidentes.
Estos elementos—automatización, iteración rápida, personalización de código y pruebas de transferencias—ayudan a explicar por qué el asesor actualizado de CERT-In presenta la amenaza como activa y en aumento. Incluso cuando una organización aborda una vulnerabilidad, los atacantes que pueden iterar rápidamente tienen más probabilidades de encontrar vías alternativas.
Robo de la clave del monedero y lo que CERT-In no reveló
En el contexto de la actividad de criptomonedas, CERT-In informó que en algunos incidentes se involucraron claves de monederos de criptomonedas robadas y fondos extraídos de monederos. Sin embargo, la agencia no nombró ningún exchange de criptomonedas específico, ni cuantificó las pérdidas.
La ausencia de víctimas y cifras identificadas puede dificultar que los participantes del mercado evalúen directamente la exposición. Sin embargo, la advertencia proporciona indicadores concretos de los tipos de fallas que pueden ser explotadas, como protecciones débiles de claves, segmentación insuficiente entre pruebas y producción, y control inadecuado de la reutilización de credenciales y tokens de acceso.
Cointelegraph informó que se puso en contacto con CERT-In y varias empresas relacionadas con criptomonedas para obtener comentarios, incluyendo CoinDCX, CoinSwitch, WazirX, ZebPay y Mudrex. No se proporcionaron resultados adicionales de esas solicitudes en el material de origen.
Orientación defensiva: monitoreo durante ventanas de baja cobertura
CERT-In aconsejó a las organizaciones que “traten esta campaña como activa y en aumento”. La dirección recomendada por la agencia se centra en mejorar la postura de seguridad operativa, incluyendo una monitorización de seguridad intensificada las 24 horas. CERT-In también solicitó aumentar el personal y reducir los umbrales de alerta durante festivos, fines de semana y otros períodos de cobertura reducida—condiciones bajo las cuales CERT-In afirma que los atacantes podrían haber programado sus actividades para evitar la detección temprana.
El asesoramiento subraya un desafío más amplio que enfrentan tanto las finanzas tradicionales como la infraestructura de cripto: los equipos de seguridad deben poder responder más rápido de lo que los atacantes pueden sondear y adaptarse. Coberturas anteriores de Cointelegraph incluyeron comentarios del oficial principal de seguridad de la información de la Fundación Solana, Michael Coates, quien argumentó que los defensores necesitan acceso a las herramientas de IA más potentes, ya que los atacantes también las tendrán. Por separado, Ari Redbord, jefe de políticas de TRM Labs, le dijo a Cointelegraph en julio que los métodos de ataque pueden superar lo que una sola auditoría de seguridad puede cubrir una vez que las amenazas evolucionan.
Para inversores y operadores, la próxima señal a vigilar es si la guía de CERT-In lleva a cambios concretos en los controles de los procesos de retiro en exchange y gestión de monederos—especialmente en cuanto al acceso clave, permisos de API, separación de entornos y la rapidez con que se detectan anomalías durante las brechas de cobertura en fines de semana y días festivos.
Este artículo se publicó originalmente como India advierte que los hackers impulsados por IA atacan a gran escala los exchanges de cripto en Crypto Breaking News: tu fuente confiable para noticias de cripto, noticias de Bitcoin y actualizaciones de blockchain.