Національне агентство кібербезпеки Індії підняло попередження щодо хакерської кампанії з використанням ШІ, яка, за даними агентства, активно націлена на фінансові сервіси — зокрема, криптовалютні біржі. Індійська комп’ютерна аварійна реагуюча команда (CERT-In) у середу класифікувала актора загрози як «CRAFTY FALCON», продовжуючи оновлення кампанії, яке було вперше опубліковане у жовтні.
У своєму останньому рекомендаційному повідомленні CERT-In зазначив, що отримав повідомлення про успішні втручання в організації, які раніше були включені до раніше виданих обмежувальних повідомлень, зокрема небанківські фінансові компанії (NBFC), фінтех-компанії та тепер криптовалютні біржі. Агентство не назвало конкретні біржі та не вказало розмір збитків, але описало, як нападники поєднують інструменти на основі ШІ з прямим взаємодією з платіжними та розрахунковими системами жертв.
Основні висновки
- CERT-In визначив діяча кампанії як «CRAFTY FALCON» і повідомляє, що загроза все ще активна і зростає.
- Криптовалютні біржі відкрито названі серед постраждалих типів бізнесу, разом із НБФК, фінтек-компаніями та платіжними провайдерами.
- CERT-In приписує ключові тактики використанню AI-підтримуваних операцій, включаючи швидше створення та вдосконалення скриптів.
- Повідомлені порушення включають крадіжку ключів гаманця криптовалюти та несанкціоноване зняття коштів, хоча жертви та загальні суми не були надані.
- Агентство закликає організації вважати кампанію триваючою, збільшуючи моніторинг та кількість персоналу в вихідні та святкові дні.
Від обмежувального попередження до ескалації, пов’язаної з криптовалютою
Попередження CERT-In за жовтень виявило шкідливу діяльність з використанням ШІ та рекомендувало заходи щодо усунення загрози. Оновлення цього тижня має більш широкий охоплення та конкретніше застосування: тепер до типів бізнесу, яким завдаються атаки, відносяться криптовалютні біржі.
У заяві агентства загроза є «активною та триває», і команда з реагування на інциденти у фінансовому секторі CERT-In (CSIRT-Fin) продовжує отримувати повідомлення про успішні атаки. CERT-In підкреслив, що деякі з постраждалих організацій вже отримували раніше обмежені попередження і стверджували, що вжили заходів щодо усунення проблем — проте інциденти продовжують повідомлятися.
Це має значення для криптооператорів, оскільки це свідчить про те, що зусилля щодо зменшення ризиків можуть не встигати за швидко еволюціонуючими сценаріями нападників. Це також вказує на те, що регулятори та національні команди реагування на інциденти сприймають криптобізнес як частину загальної фінансової атакувальної поверхні, а не як окрему категорію.
Тактики «швидкості машини» та шляхи експлуатації
CERT-In описав CRAFTY FALCON як суб’єкт загрози, який використовує «машинний інтелект» для спостереження за цілями, дії зі «швидкістю машини» та атаки шляхом виклику власних API платіжних та розрахункових систем жертв. Таке формулювання має значення: замість того щоб покладатися виключно на силові методи чи чисто зовнішні експлуатації, кампанія, схоже, розроблена для використання того, як додатки переміщують вартість всередині.
Додатково зазначається, що кампанія спрямовувалася на широкий коло учасників фінансової екосистеми, зокрема:
- Позабанківські позичальники та цифрові платформи надання позичок
- Компанії фінтек
- Платіжні агрегатори та пов’язані постачальники послуг
- Криптовалютні біржі
CERT-In зазначив, що нападники використали вразливі застосунки та отримали доступ до відкритих тестових середовищ. Також зазначено поширені фактори, що сприяють компрометації, такі як спільні облікові дані та токени доступу, використовувані для доступу до продуктивних систем. Крім того, нападники націлювались на хмарну інфраструктуру для розгортання шкідливих файлів.
Оперативно CERT-In пов’язав швидкість розвитку атак з інструментами ШІ. Агентство зазначило, що інструменти ШІ допомогли нападникам швидко генерувати та вдосконалювати сценарії атак, а також нападники здійснювали зворотне інжиніринг коду застосунків для створення спеціалізованих експлойтів. CERT-In також зауважив, що деякі атаки були заплановані на вихідні та свята — це час, спрямований на затримку виявлення, коли покриття операційної діяльності зазвичай нижче.
Як зловмисники підтверджували перекази та крали доступ до гаманця
Однією з найбільш тривожних деталей CERT-In є те, що він повідомив про крадіж ключів криптовалютних гаманців та виведення коштів з гаманців у певних інцидентах. Агентство також описало модель, за якою нападники використовували невеликі тестові транзакції, щоб підтвердити неавторизовані перекази перед тим, як перемістити більші суми.
Ця комбінація — тестування неавторизованої діяльності, а потім масштабування — може бути особливо шкідливою для криптовалютних бізнесів, оскільки вона може допомогти нападникам виявити слабкі місця у внутрішніх контролю, процесах схвалення та порогах моніторингу. Навіть коли біржі мають стандартні захистні механізми, ця стратегія може бути розроблена так, щоб приховати шкідливу діяльність серед очікуваної поведінки транзакцій.
Однак CERT-In не назвав, які біржі були затронуті, і не надав оцінок збитків. Внаслідок цього читачі повинні сприймати це попередження як тактичну оцінку загрози, а не як зв’язування конкретних інцидентів із конкретними платформами.
Інструменти ШІ в ширшому контексті фінансових загроз
Попередження CERT-In відповідає загальній тенденції, виявленій у попередніх звітах: противники все частіше використовують інструменти на основі ШІ для прискорення виявлення та експлуатації.
У жовтні кібербезпекна фірма CrowdStrike повідомила, що невідомий нападник використав ARTEX — інший інструмент для AI-тестування на проникнення, який також згадувався у ранішньому попередженні CERT-In, — разом із Claude Code та іншими AI-моделями, щоб зламати підприємства південнокорейського фінансового сектора та вкрасти дані. Раніші матеріали від Cointelegraph також підкреслювали занепокоєння фахівців з безпеки, що захисники можуть відставати від нападників, якщо не зможуть отримати доступ до стільки ж потужних інструментів безпеки з підтримкою AI.
Для розробників та команд безпеки практична наслідковість проста: прийняття ШІ тепер є частиною як атакувальних, так і захисних робочих процесів. Рекомендація CERT-In свідчить, що просто виконання одноразового виправлення може бути недостатнім, якщо тактики нападників постійно змінюються, особливо коли часова координація здійснюється навколо прогалин у покритті людських ресурсів.
Рекомендації CERT-In були спрямовані на забезпечення операційної стійкості. Агентство закликало організації розглядати цю кампанію як «активну та ескалюючу» і закликало підсилювати моніторинг безпеки круглосуточно. Також було закликано збільшити кількість персоналу та знизити пороги сповіщень у вихідні, свята та інші періоди зменшеної доступності.
Cointelegraph звернувся до CERT-In та кільком криптовалютним компаніям, згаданим у попередніх матеріалах, з проханням прокоментувати, зокрема CoinDCX, CoinSwitch, WazirX, ZebPay та Mudrex, хоча сама рекомендація не містила додаткових публічних висновків чи підтверджених цілей.
У майбутньому біржі та інші фінансові постачальники, що працюють із криптовалютами, повинні стежити за подальшими рекомендаціями CERT-In, зокрема за будь-якими додатковими вказівками, які визначатимуть додаткові уражені суб’єкти або пояснюватимуть, які заходи найефективніші проти компрометацій типу «API-invocation» та крадіжки ключів від гаманців. Доки цього не станеться, основна невизначеність полягає у масштабі — скільки інцидентів сталося та де знаходяться найслабші ланки — разом із швидкістю, з якою CRAFTY FALCON адаптується після реагування організацій.
Ця стаття була спочатку опублікована як Індія попереджає про атаки з використанням ШІ на криптовалютні біржі зі швидкістю машини на Crypto Breaking News – вашому надійному джерелі новин про криптовалюти, bitcoin та оновлень блокчейну.