A agência nacional de cibersegurança da Índia alertou que um ator de ameaça assistido por IA está intensificando ataques contra exchanges de criptomoedas e outras empresas financeiras, incluindo roubo de chaves de carteiras de criptomoedas e drenagem não autorizada de fundos. A atualização, emitida pela Indian Computer Emergency Response Team (CERT-In), nomeia o grupo como “CRAFTY FALCON” e afirma que a campanha está ativa e em ascensão.
O aviso de quarta-feira da CERT-In amplia um alerta anterior de outubro, incluindo explicitamente exchanges de criptomoedas entre os alvos afetados. A agência também descreveu como o ator combina reconhecimento assistido por máquina com técnicas de exploração automatizadas, utilizando sistemas das vítimas—como interfaces de programação de aplicativos (APIs) de pagamento e distribuição—para realizar transferências.
Principais conclusões
- A CERT-In designou o ator de ameaça “CRAFTY FALCON” em uma atualização de seu aviso de outubro, nomeando explicitamente exchanges de criptomoedas como alvos.
- A agência afirma que a campanha está em andamento, com a unidade de resposta a incidentes financeiros do CERT-In (CSIRT-Fin) continuando a receber relatos de ataques bem-sucedidos.
- De acordo com o CERT-In, os atacantes usaram ferramentas de IA para gerar e aprimorar scripts de ataque e exploraram aplicativos e ambientes de teste vulneráveis.
- A CERT-In relatou que chaves de carteiras de criptomoedas roubadas estiveram envolvidas em alguns incidentes, juntamente com esvaziamentos de fundos das carteiras.
- O CERT-In recomendou às organizações em risco que tratem a campanha como ativa e aumentem a monitorização contínua durante fins de semana e feriados.
Por que a atualização específica de criptomoedas do CERT-In importa
Enquanto o phishing habilitado por IA e a automação têm sido amplamente discutidos em círculos de cibersegurança, o aviso mais recente da CERT-In é notável porque vai além do risco genérico do setor financeiro e aponta diretamente para exchanges de criptomoedas. Isso é relevante para operadores de criptomoedas, pois sistemas de exchange e custódia frequentemente integram múltiplos componentes—gerenciamento de chaves, fluxos de retirada, controles de acesso à carteira e serviços de terceiros—that podem criar caminhos de alto impacto para atacantes uma vez que o acesso inicial é obtido.
CERT-In disse que o CSIRT-Fin continua a receber relatórios de ataques bem-sucedidos, incluindo aqueles envolvendo empresas financeiras não bancárias (NBFCs) e empresas de fintech que já haviam recebido avisos restritivos anteriores e supostamente implementado medidas de correção. Esse detalhe sugere que os esforços de correção podem não ter fechado completamente as falhas específicas exploradas por esta campanha, ou que o atacante está se adaptando às mudanças defensivas.
Operações de “velocidade da máquina” e abuso de API
CERT-In descreveu o CRAFTY FALCON como um ator de ameaça que “monitora seus alvos com inteligência machine” e opera “à velocidade de máquina.” O aviso afirma ainda que os atacantes “atacam invocando as próprias APIs de pagamento e distribuição da vítima,” indicando que a violação não se limita à exfiltração—pode se traduzir diretamente em movimentação não autorizada de fundos.
Além das exchanges, a CERT-In lista um amplo conjunto de alvos que inclui emprestadores não bancários, plataformas de empréstimo digital, empresas de fintech, agregadores de pagamento e provedores de serviços. O padrão está alinhado com um modelo de ataque no qual, uma vez estabelecida uma ponte — por meio de vulnerabilidades expostas ou uso indevido de credenciais — os criminosos podem reutilizar fluxos de trabalho legítimos dentro dos sistemas empresariais.
A agência também disse que os atacantes exploraram aplicativos vulneráveis e ambientes de teste expostos, incluindo o uso de credenciais compartilhadas e tokens de acesso para se moverem para sistemas de produção. Paralelamente, o CERT-In afirmou que os atacantes alvejaram a infraestrutura em nuvem para implantar arquivos maliciosos, sugerindo que a cadeia de intrusão provavelmente combina fraquezas na camada de aplicação com persistência no nível da infraestrutura.
Como as ferramentas de IA alteram o fluxo de trabalho do atacante
O aviso da CERT-In enfatiza que ferramentas de IA desempenharam um papel no aceleramento do desenvolvimento de capacidades de ataque. A agência afirma que os atacantes usaram IA para gerar e refinar rapidamente scripts de ataque e até mesmo fazer engenharia reversa de código de aplicativos para criar exploits personalizados para vítimas específicas.
Operacionalmente, o CERT-In acrescentou que alguns ataques foram programados para fins de semana e feriados para atrasar a detecção — uma abordagem particularmente preocupante em ambientes financeiros onde a cobertura de equipe pode diminuir fora do horário comercial. A agência também descreveu o uso de pequenas transações de teste para validar transferências não autorizadas antes de escalar para valores maiores em alguns incidentes.
Esses elementos—automação, iteração rápida, personalização de código e transferências de teste—ajudam a explicar por que o conselho atualizado do CERT-In apresenta a ameaça como ativa e em ascensão. Mesmo quando uma organização corrige uma vulnerabilidade, atacantes que conseguem iterar rapidamente têm maior probabilidade de encontrar caminhos alternativos.
Roubo de chave da carteira e o que o CERT-In não divulgou
No contexto da atividade de criptomoedas, o CERT-In relatou que chaves de carteiras de criptomoedas roubadas e fundos retirados das carteiras estiveram envolvidos em alguns incidentes. No entanto, a agência não nomeou nenhuma exchange de criptomoedas específica, nem quantificou os prejuízos.
Essa ausência de vítimas e figuras nomeadas pode tornar mais difícil para os participantes do mercado avaliar a exposição diretamente. Mesmo assim, o aviso fornece indicadores concretos dos tipos de falhas que podem ser exploradas—como proteções fracas de chaves, segmentação insuficiente entre teste e produção e controle inadequado da reutilização de credenciais e tokens de acesso.
Cointelegraph relatou que entrou em contato com o CERT-In e várias empresas relacionadas a criptomoedas para comentários, incluindo CoinDCX, CoinSwitch, WazirX, ZebPay e Mudrex. Nenhum resultado adicional desses pedidos foi fornecido no material de origem.
Orientação defensiva: monitoramento durante janelas de baixa cobertura
O CERT-In aconselhou as organizações a “tratar esta campanha como ativa e em escalada.” A orientação recomendada pela agência concentra-se em melhorar a postura de segurança operacional, incluindo monitoramento de segurança intensificado 24 horas por dia. O CERT-In também solicitou aumento de equipe e redução dos limiares de alerta durante feriados, fins de semana e outros períodos de cobertura reduzida — condições nas quais o CERT-In afirma que os atacantes podem ter programado suas atividades para evitar detecção precoce.
O alerta destaca um desafio mais amplo enfrentado tanto pela finança tradicional quanto pela infraestrutura de criptomoedas: as equipes de segurança devem ser capazes de responder mais rapidamente do que os atacantes conseguem sondar e se adaptar. Coberturas anteriores do Cointelegraph incluíram comentários do diretor de segurança da informação da Fundação Solana, Michael Coates, que argumentou que os defensores precisam ter acesso às ferramentas de IA mais avançadas, pois os atacantes também terão. Separadamente, o chefe de políticas da TRM Labs, Ari Redbord, disse ao Cointelegraph em julho que os métodos de ataque podem ultrapassar o que uma única auditoria de segurança pode cobrir uma vez que as ameaças evoluem.
Para investidores e operadores, o próximo sinal a ser observado é se as orientações do CERT-In levam a mudanças concretas nos controles dos fluxos de retirada e gestão de carteiras nas exchanges — especialmente em relação ao acesso chave, permissões de API, separação de ambientes e a rapidez com que anomalias são detectadas durante lacunas de cobertura em fins de semana e feriados.
Este artigo foi originalmente publicado como Índia alerta para hackers impulsionados por IA que atacam exchanges de cripto em larga escala no Crypto Breaking News – sua fonte confiável para notícias de cripto, notícias de Bitcoin e atualizações de blockchain.