Национальное агентство кибербезопасности Индии усилило предупреждение о кампании хакерских атак с использованием ИИ, которая, по его данным, активно нацелена на финансовые услуги — включая криптовалютные биржи. Индийская компьютерная чрезвычайная реакционная группа (CERT-In) в среду обозначила злоумышленника как «CRAFTY FALCON», продолжив обновление кампании, первоначально опубликованное в октябре.
В своем последнем рекомендательном сообщении CERT-In заявил, что получил сообщения об успешных вторжениях в организации, которые ранее были охвачены ранними ограничительными уведомлениями, включая небанковские финансовые компании (NBFC), финтех-сущности и теперь криптовалютные биржи. Агентство не назвало конкретные биржи и не указало размер потерь, но описало, как злоумышленники сочетают инструменты на основе ИИ с прямым взаимодействием с платежными и распределительными системами жертв.
Основные выводы
- CERT-In идентифицировал участника кампании как «CRAFTY FALCON» и сообщает, что угроза остается активной и усиливается.
- Криптовалютные биржи явно указаны среди затронутых типов бизнеса, наряду с НБФК, финтех-компаниями и платежными провайдерами.
- CERT-In приписывает ключевые тактики использованию операций с ИИ, включая более быструю генерацию и улучшение скриптов.
- Сообщалось о компрометациях, включающих кражу ключей от кошельков криптовалют и несанкционированное изъятие средств, однако данные о жертвах и общих суммах не были предоставлены.
- Агентство призывает организации рассматривать кампанию как продолжающуюся, усиливая мониторинг и покрытие персоналом в выходные и праздничные дни.
От предупреждения о ограничении до эскалации, связанной с криптовалютой
Рекомендация CERT-In за октябрь выявила финансовую угрозу с использованием ИИ и рекомендовала меры по устранению. Обновление на этой неделе имеет более широкий охват и более конкретное применение: теперь среди типов организаций, подвергающихся атакам, указаны криптовалютные биржи.
В заявлении агентства угроза является «активной и продолжающейся», и команда по реагированию на инциденты в финансовом секторе CERT-In (CSIRT-Fin) продолжает получать сообщения об успешных атаках. CERT-In подчеркнула, что некоторые из пострадавших организаций уже получали ранее ограниченные предупреждения и утверждали, что приняли меры по устранению уязвимостей — однако инциденты продолжают регистрироваться.
Это важно для криптооператоров, поскольку это указывает на то, что меры по смягчению последствий могут не справляться с тактиками злоумышленников, которые быстро эволюционируют. Это также свидетельствует о том, что регуляторы и национальные команды реагирования на инциденты рассматривают криптовалютные компании как часть более широкой финансовой атакующей поверхности, а не как отдельную категорию.
Тактики «скорости машины» и пути эксплуатации
CERT-In описал CRAFTY FALCON как злоумышленника, использующего «машинный интеллект» для наблюдения за целями, работы с «машинной скоростью» и атаки путем вызова собственных API платежей и выплат жертв. Такой подход значим: вместо полагания исключительно на методы грубой силы или исключительно внешние эксплуатации, кампания, по всей видимости, направлена на использование того, как приложения перемещают ценность внутри себя.
Совет также указывает, что кампания нацеливалась на широкий круг участников финансовой экосистемы, включая:
- Небанковские кредиторы и цифровые кредитные платформы
- Компании в сфере финтеха
- Платежные агрегаторы и связанные поставщики услуг
- Криптовалютные биржи
CERT-In заявил, что злоумышленники эксплуатировали уязвимые приложения и получили доступ к открытым тестовым средам. Также были указаны распространенные факторы, способствующие компрометации, такие как общие учетные данные и токены доступа, используемые для выхода на производственные системы. Кроме того, злоумышленники нацеливались на облачную инфраструктуру для развертывания вредоносных файлов.
Оперативно CERT-In связал скорость развития атак с использованием инструментов ИИ. Агентство заявило, что инструменты ИИ помогли злоумышленникам быстро генерировать и совершенствовать скрипты атак, а также что злоумышленники проводили реверс-инжиниринг кода приложений для создания целевых эксплойтов. CERT-In также отметил, что некоторые атаки запланированы на выходные и праздничные дни — это время, направленное на задержку обнаружения, когда уровень оперативного покрытия обычно ниже.
Как злоумышленники проверяли переводы и получали доступ к кошелькам
Одним из самых тревожных деталей CERT-In является то, что он сообщил о краже ключей криптовалютных кошельков и изъятии средств из кошельков в некоторых инцидентах. Агентство также описало закономерность, при которой злоумышленники использовали небольшие тестовые переводы для подтверждения несанкционированных переводов перед перемещением более крупных сумм.
Такая комбинация — тестирование неавторизованной активности, а затем масштабирование — может быть особенно вредной для криптовалютных бизнесов, поскольку она помогает злоумышленникам выявлять слабости во внутренних контролях, процессах утверждения и порогах мониторинга. Даже когда на биржах уже есть стандартные защитные меры, такая стратегия может быть спланирована так, чтобы маскировать вредоносную активность под ожидаемое поведение транзакций.
Однако CERT-In не назвал, какие биржи были затронуты, и не предоставил оценки убытков. В результате читателям следует воспринимать это предупреждение как тактическую оценку угрозы, а не как установление конкретных инцидентов за конкретными платформами.
Инструменты ИИ в более широком ландшафте финансовых угроз
Предупреждение CERT-In согласуется с более широкой тенденцией, отмеченной в предыдущих материалах: противники все чаще используют инструменты на основе ИИ для ускорения обнаружения и эксплуатации.
В октябре кибербезопасностная компания CrowdStrike сообщила, что неизвестный злоумышленник использовал ARTEX — еще один инструмент для тестирования на проникновение на основе ИИ, упомянутый в раннем уведомлении CERT-In, — вместе с Claude Code и другими моделями ИИ для взлома южнокорейских финансовых компаний и кражи данных. Ранее в материале Cointelegraph также поднимались опасения специалистов по безопасности, что защитники могут отставать от нападающих, если не получат доступ к столь же мощным инструментам безопасности на основе ИИ.
Для разработчиков и команд безопасности практическое значение очевидно: внедрение ИИ теперь является частью как атакующих, так и оборонительных рабочих процессов. Рекомендация CERT-In указывает, что однократное устранение уязвимостей может быть недостаточным, если тактики злоумышленников продолжают меняться, особенно когда время атак скоординировано с периодами отсутствия персонала.
Рекомендации CERT-In были направлены на обеспечение операционной устойчивости. Агентство рекомендовало организациям рассматривать кампанию как «активную и усиливающуюся» и призвало к усиленному мониторингу безопасности круглосуточно. Также было призвано увеличить численность персонала и снизить пороги срабатывания оповещений в выходные, праздничные дни и другие периоды с ограниченным покрытием.
Cointelegraph обратился в CERT-In и несколько криптовалютных компаний, упомянутых в предыдущих материалах, включая CoinDCX, CoinSwitch, WazirX, ZebPay и Mudrex, хотя сама рекомендация не предоставила дополнительных публичных данных или подтвержденных целей.
В дальнейшем биржам и другим финансовым провайдерам, работающим с криптовалютами, следует следить за дальнейшими рекомендациями CERT-In, особенно за дополнительными указаниями, которые определят дополнительные затронутые субъекты или уточнят, какие меры контроля наиболее эффективны против компрометаций типа «API-invocation» и кражи ключей от кошельков. Пока что основная неопределенность связана с масштабом — сколько инцидентов произошло и где находятся самые слабые звенья — а также со скоростью, с которой CRAFTY FALCON адаптируется после реакции организаций.
Эта статья была первоначально опубликована как Индия предупреждает об атаках на криптобиржи с использованием ИИ со скоростью машины на Crypto Breaking News — вашем надежном источнике новостей о криптовалюте, новостей о bitcoin и обновлений блокчейна.