L'agence nationale de cybersécurité de l'Inde a intensifié un avertissement concernant une campagne de piratage assistée par l'IA qu'elle affirme cibler activement les services financiers — y compris les plateformes d'échange de cryptomonnaies. L'équipe d'urgence informatique indienne (CERT-In) a désigné mercredi l'acteur de la menace comme « CRAFTY FALCON », poursuivant une mise à jour de la campagne qu'elle avait initialement publiée en octobre.
Dans son dernier avis, CERT-In a déclaré avoir reçu des rapports d'intrusions réussies contre des organisations qui avaient précédemment été concernées par des avis de restriction antérieurs, notamment des sociétés financières non bancaires (NBFC), des entités fintech et désormais des plateformes d'échange de cryptomonnaies. L'agence n'a pas nommé de plateformes d'échange spécifiques ni quantifié les pertes, mais elle a décrit comment les attaquants combinent des outils pilotés par l'IA avec une interaction directe avec les systèmes de paiement et de distribution des victimes.
Points clés
- CERT-In a identifié l'acteur de la campagne comme étant « CRAFTY FALCON » et indique que la menace est toujours active et s'intensifie.
- Les plateformes d'échange de crypto-monnaies sont explicitement citées parmi les types d'entreprises concernées, ainsi que les NBFC, les fintech et les fournisseurs de paiement.
- CERT-In attribue les principales tactiques aux opérations assistées par l'IA, notamment une génération et une amélioration plus rapides des scripts.
- Les violations signalées incluent le vol de clés de wallet de cryptomonnaie et le retrait non autorisé de fonds, bien que les victimes et les montants totaux n'aient pas été fournis.
- L'agence invite les organisations à considérer la campagne comme en cours, en intensifiant la surveillance et la couverture du personnel pendant les week-ends et les jours fériés.
De l'avertissement restreint à l'escalade spécifique aux crypto-monnaies
Le conseil d'octobre de CERT-In a signalé une menace financière assistée par l'IA et recommandé des mesures correctives. La mise à jour de cette semaine a un champ d'application plus large et plus précis : elle inclut désormais les plateformes d'échange de cryptomonnaies parmi les types d'entreprises visées.
Dans le communiqué de l'agence, la menace est « active et en cours », et l'équipe de réponse aux incidents du secteur financier du CERT-In (CSIRT-Fin) continue de recevoir des rapports d'attaques réussies. Le CERT-In a souligné que certaines des organisations touchées avaient déjà reçu des avertissements restreints antérieurs et affirmaient avoir mis en œuvre des mesures de correction — pourtant, des intrusions sont toujours signalées.
Cela concerne les opérateurs de crypto-monnaies, car cela suggère que les efforts de mitigation pourraient être insuffisants face à des playbooks d'attaquants qui évoluent rapidement. Cela indique également que les régulateurs et les équipes nationales de réponse aux incidents traitent les entreprises de crypto-monnaies comme faisant partie de la surface d'attaque financière globale, et non comme une catégorie distincte.
Tactiques de « vitesse machine » et chemins d'exploitation
CERT-In a décrit CRAFTY FALCON comme un acteur de menace qui utilise « l'intelligence machine » pour surveiller les cibles, opérer à « la vitesse machine » et frapper en invoquant les API de paiement et de distribution des victimes elles-mêmes. Ce cadre est significatif : au lieu de s'appuyer uniquement sur la force brute ou l'exploitation entièrement externe, la campagne semble conçue pour exploiter la manière dont les applications déplacent la valeur à l'intérieur.
Le conseil indique également que la campagne a ciblé un large éventail de participants à l'écosystème financier, notamment :
- Prêteurs non bancaires et plateformes de prêt numérique
- Entreprises de technologie financière
- Aggrégateurs de paiement et fournisseurs de services associés
- Plateformes d'échange crypto
CERT-In a déclaré que les attaquants ont exploité des applications vulnérables et accédé à des environnements de test exposés. Il a également cité des facteurs courants de compromission, tels que des identifiants partagés et des jetons d'accès utilisés pour atteindre les systèmes de production. En outre, les attaquants ont ciblé l'infrastructure cloud pour déployer des fichiers malveillants.
Opérationnellement, CERT-In a lié la rapidité du développement des attaques aux outils d'IA. L'agence a indiqué que les outils d'IA ont aidé les attaquants à générer et affiner rapidement des scripts d'attaque, tandis que les attaquants ont également effectué une ingénierie inverse du code des applications pour créer des exploits sur mesure. CERT-In a également noté que certaines attaques étaient planifiées pour les week-ends et les jours fériés — un timing visant à retarder la détection lorsque la couverture opérationnelle est généralement plus faible.
Comment les attaquants ont validé les transferts et volé l'accès au wallet
L’un des détails les plus préoccupants de CERT-In est qu’il a signalé que des clés de wallet de cryptomonnaie volées et des fonds vidés de wallets ont été observés dans certains incidents. L’agence a également décrit un schéma selon lequel les attaquants utilisaient de petites transactions de test pour confirmer des transferts non autorisés avant de déplacer des sommes plus importantes.
Cette combinaison—tester des activités non autorisées puis passer à l'échelle—peut être particulièrement dommageable pour les entreprises de crypto-monnaie, car elle peut aider les attaquants à identifier les faiblesses dans les contrôles internes, les flux d'approbation et les seuils de surveillance. Même lorsque les plateformes d'échange disposent de défenses standard, cette stratégie peut être conçue pour intégrer les activités malveillantes dans le comportement transactionnel attendu.
Cependant, CERT-In n'a pas identifié les plateformes d'échange concernées ni fourni d'estimations de pertes. Par conséquent, les lecteurs doivent considérer cet avertissement comme une évaluation tactique des menaces plutôt que comme une attribution d'incidents spécifiques à des plateformes précises.
Outils d'IA dans le paysage plus large des menaces financières
L'avertissement de CERT-In s'aligne sur une tendance plus large observée dans les rapports précédents : les adversaires utilisent de plus en plus des outils pilotés par l'IA pour accélérer la découverte et l'exploitation.
En octobre, l'entreprise de cybersécurité CrowdStrike a déclaré qu'un attaquant non identifié avait utilisé ARTEX — un autre outil d'analyse de pénétration par IA également mentionné dans le conseil antérieur du CERT-In — ainsi que Claude Code et d'autres modèles d'IA pour compromettre des entreprises financières sud-coréennes et voler des données. Les reportages antérieurs de Cointelegraph avaient également souligné les préoccupations des professionnels de la sécurité selon lesquelles les défenseurs pourraient être en retard sur les attaquants s'ils n'ont pas accès à des outils de sécurité assistés par l'IA tout aussi performants.
Pour les développeurs et les équipes de sécurité, l'implication pratique est claire : l'adoption de l'IA fait désormais partie des processus offensifs et défensifs. L'avis du CERT-In suggère qu'une simple action de correction ponctuelle peut ne pas suffire si les tactiques des attaquants continuent d'évoluer, notamment lorsque les moments d'attaque sont coordonnés autour des lacunes de couverture des ressources humaines.
Les recommandations du CERT-In visaient à renforcer la résilience opérationnelle. L'agence a conseillé aux organisations de considérer la campagne comme « active et en escalation » et d'inciter à une surveillance de sécurité accrue 24 heures sur 24. Elle a également demandé une augmentation du personnel et une baisse des seuils d'alerte pendant les week-ends, les jours fériés et autres périodes de couverture réduite.
Cointelegraph a contacté CERT-In et plusieurs entreprises de cryptomonnaies mentionnées dans les rapports précédents pour obtenir un commentaire, notamment CoinDCX, CoinSwitch, WazirX, ZebPay et Mudrex, bien que l'avis lui-même n'ait pas fourni de découvertes publiques supplémentaires ou de cibles confirmées.
À l'avenir, les plateformes d'échange et autres fournisseurs de services financiers orientés crypto doivent surveiller les prochaines orientations de CERT-In, en particulier tout suivi identifiant d'autres entités concernées ou clarifiant quels contrôles sont les plus efficaces contre les compromissions de type « API-invocation » et le vol de clés de wallet. Jusque-là, l'incertitude principale concerne l'échelle — le nombre d'incidents survenus et l'emplacement des maillons les plus faibles — ainsi que la vitesse à laquelle CRAFTY FALCON s'adapte après que les organisations aient réagi.
Cet article a été initialement publié sous le titre India Warns of AI-Driven Attacks on Crypto Exchanges at Machine Speed sur Crypto Breaking News – votre source de confiance pour les actualités crypto, les nouvelles sur le bitcoin et les mises à jour sur la blockchain.