Cơ quan an ninh mạng quốc gia của Ấn Độ đã nâng cấp cảnh báo về một chiến dịch tấn công được hỗ trợ bởi AI, theo đó đang nhắm mục tiêu vào các dịch vụ tài chính—bao gồm cả các sàn giao dịch tiền điện tử. Đội phản ứng khẩn cấp máy tính Ấn Độ (CERT-In) vào thứ Tư đã xác định tác nhân đe dọa là “CRAFTY FALCON”, tiếp tục cập nhật chiến dịch mà họ lần đầu tiên công bố vào tháng Mười.
Trong cảnh báo mới nhất, CERT-In cho biết đã nhận được các báo cáo về các vụ xâm nhập thành công nhắm vào các tổ chức từng được đề cập trong các thông báo hạn chế trước đó, bao gồm các công ty tài chính phi ngân hàng (NBFCs), các thực thể fintech và hiện nay là các sàn giao dịch tiền điện tử. Cơ quan này không nêu tên các sàn giao dịch cụ thể hay định lượng mức tổn thất, nhưng đã mô tả cách các kẻ tấn công kết hợp các công cụ do AI điều khiển với việc tương tác trực tiếp với hệ thống thanh toán và chi trả của nạn nhân.
Những điểm chính
- CERT-In đã xác định tác nhân của chiến dịch là “CRAFTY FALCON” và cho biết mối đe dọa vẫn đang hoạt động và gia tăng.
- Các sàn giao dịch tiền điện tử được nêu rõ trong số các loại hình doanh nghiệp bị ảnh hưởng, cùng với các NBFC, công ty fintech và nhà cung cấp thanh toán.
- CERT-In gán các chiến thuật chính cho các hoạt động được hỗ trợ bởi AI, bao gồm việc tạo và tinh chỉnh script nhanh hơn.
- Các vụ xâm phạm được báo cáo bao gồm đánh cắp khóa ví tiền điện tử và rút tiền trái phép, mặc dù không cung cấp thông tin về nạn nhân và tổng số tiền.
- Cơ quan khuyến nghị các tổ chức coi chiến dịch này là đang diễn ra, tăng cường giám sát và bố trí nhân sự trong các ngày cuối tuần và ngày lễ.
Từ cảnh báo bị hạn chế đến mức độ cảnh báo chuyên về tiền mã hóa
Thông báo tháng Mười của CERT-In đã cảnh báo về mối đe dọa tài chính được hỗ trợ bởi AI và đề xuất các biện pháp khắc phục. Bản cập nhật tuần này có phạm vi rộng hơn và cụ thể hơn trong ứng dụng: hiện đã bao gồm các sàn giao dịch tiền điện tử trong số các loại hình doanh nghiệp bị tấn công.
Trong tuyên bố của cơ quan, mối đe dọa là “đang hoạt động và liên tục”, và Đội ứng phó sự cố ngành tài chính CERT-In (CSIRT-Fin) tiếp tục nhận được các báo cáo về các cuộc tấn công thành công. CERT-In nhấn mạnh rằng một số tổ chức bị ảnh hưởng đã nhận được các cảnh báo hạn chế trước đó và tuyên bố đã thực hiện các biện pháp khắc phục—nhưng các cuộc xâm nhập vẫn đang được báo cáo.
Điều này quan trọng đối với các nhà vận hành tiền điện tử vì nó cho thấy các nỗ lực giảm thiểu có thể đang không đủ để đối phó với các kế hoạch tấn công ngày càng phát triển nhanh chóng. Nó cũng cho thấy các cơ quan quản lý và đội ngũ ứng phó sự cố quốc gia đang coi các doanh nghiệp tiền điện tử là một phần của bề mặt tấn công tài chính rộng lớn hơn, thay vì một danh mục riêng biệt.
Các chiến thuật “tốc độ máy” và các lối khai thác
CERT-In mô tả CRAFTY FALCON là một tác nhân đe dọa sử dụng “trí tuệ máy móc” để điều tra mục tiêu, hoạt động với “tốc độ máy móc” và tấn công bằng cách kích hoạt các API thanh toán và chi trả của chính nạn nhân. Cách tiếp cận này có ý nghĩa quan trọng: thay vì dựa hoàn toàn vào lực lượng thô hoặc khai thác hoàn toàn từ bên ngoài, chiến dịch dường như được thiết kế để tận dụng cách các ứng dụng di chuyển giá trị nội bộ.
Bản tư vấn cũng nêu rằng chiến dịch đã nhắm đến một loạt các bên tham gia trong hệ sinh thái tài chính, bao gồm:
- Các tổ chức cho vay phi ngân hàng và nền tảng cho vay kỹ thuật số
- Các công ty công nghệ tài chính
- Các nhà tổng hợp thanh toán và các nhà cung cấp dịch vụ liên quan
- Các sàn giao dịch tiền điện tử
CERT-In cho biết các kẻ tấn công đã khai thác các ứng dụng dễ bị tổn thương và truy cập vào các môi trường kiểm tra bị phơi bày. Cơ quan này cũng nêu ra các yếu tố phổ biến giúp dễ bị xâm phạm như thông tin đăng nhập và mã truy cập được chia sẻ để tiếp cận các hệ thống sản xuất. Ngoài ra, các kẻ tấn công còn nhắm vào cơ sở hạ tầng đám mây để triển khai các tệp độc hại.
Về mặt hoạt động, CERT-In đã liên kết tốc độ phát triển cuộc tấn công với các công cụ AI. Cơ quan này cho biết các công cụ AI đã giúp kẻ tấn công tạo và tinh chỉnh nhanh chóng các kịch bản tấn công, đồng thời kẻ tấn công cũng reverse-engineer mã ứng dụng để tạo ra các lỗ hổng được tùy chỉnh. CERT-In còn lưu ý rằng một số cuộc tấn công được lên lịch vào cuối tuần và ngày lễ — thời điểm nhằm làm chậm việc phát hiện khi phạm vi hoạt động thường thấp hơn.
Cách kẻ tấn công xác thực các khoản chuyển và đánh cắp quyền truy cập ví
Một trong những chi tiết đáng lo ngại nhất của CERT-In là họ báo cáo rằng các khóa ví tiền điện tử bị đánh cắp và số tiền trong ví đã bị rút sạch trong một số sự cố nhất định. Cơ quan này cũng mô tả một mô hình trong đó kẻ tấn công sử dụng các giao dịch thử nghiệm nhỏ để xác minh các khoản chuyển tiền không được ủy quyền trước khi di chuyển các số tiền lớn hơn.
Sự kết hợp này—kiểm tra hoạt động không được ủy quyền và sau đó mở rộng quy mô—có thể gây thiệt hại đặc biệt nghiêm trọng cho các doanh nghiệp tiền điện tử vì nó có thể giúp kẻ tấn công xác định các điểm yếu trong các kiểm soát nội bộ, luồng phê duyệt và ngưỡng giám sát. Ngay cả khi các sàn giao dịch đã có các biện pháp phòng thủ tiêu chuẩn, chiến lược này có thể được thiết kế để hòa lẫn hoạt động độc hại vào hành vi giao dịch bình thường.
Tuy nhiên, CERT-In không nêu rõ những sàn giao dịch nào bị ảnh hưởng hoặc cung cấp ước tính tổn thất. Do đó, người đọc nên xem thông báo này như một đánh giá mối đe dọa chiến thuật, thay vì xác định cụ thể các sự cố đến từng nền tảng.
Các công cụ AI trong bối cảnh mối đe dọa tài chính rộng lớn hơn
Cảnh báo của CERT-In phù hợp với xu hướng rộng hơn được ghi nhận trong các báo cáo trước đây: các kẻ thù ngày càng sử dụng các công cụ dựa trên AI để tăng tốc việc phát hiện và khai thác.
Vào tháng Mười, công ty an ninh mạng CrowdStrike báo cáo rằng một kẻ tấn công chưa được xác định đã sử dụng ARTEX—một công cụ kiểm thử xâm nhập AI khác được đề cập trong cảnh báo trước đó của CERT-In—cùng với Claude Code và các mô hình AI khác để xâm nhập vào các công ty tài chính Hàn Quốc và đánh cắp dữ liệu. Các bài viết trước đó từ Cointelegraph cũng nhấn mạnh mối lo ngại từ các chuyên gia an ninh rằng các bên phòng thủ có thể bị bỏ lại phía sau những kẻ tấn công nếu họ không thể tiếp cận các công cụ an ninh hỗ trợ AI tương đương.
Đối với các nhà phát triển và nhóm bảo mật, hệ quả thực tiễn rất rõ ràng: việc áp dụng AI hiện đã trở thành một phần trong cả quy trình tấn công và phòng thủ. Lời khuyên của CERT-In cho thấy rằng việc thực hiện các biện pháp khắc phục một lần có thể không đủ nếu chiến thuật của kẻ tấn công liên tục thay đổi, đặc biệt khi thời gian được phối hợp xung quanh các khoảng trống trong khả năng sẵn sàng của nguồn nhân lực.
Các khuyến nghị của CERT-In nhằm tăng cường khả năng chịu đựng hoạt động. Cơ quan này khuyên các tổ chức coi chiến dịch này là “đang hoạt động và gia tăng” và kêu gọi tăng cường giám sát an ninh 24/7. Nó cũng kêu gọi tăng nhân sự và hạ ngưỡng cảnh báo trong các dịp cuối tuần, ngày lễ và các khoảng thời gian có sự hiện diện hạn chế khác.
Cointelegraph đã liên hệ với CERT-In và một số công ty tiền điện tử được đề cập trong các báo cáo trước đó để lấy ý kiến, bao gồm CoinDCX, CoinSwitch, WazirX, ZebPay và Mudrex, mặc dù bản cảnh báo này không cung cấp thêm phát hiện công khai nào hoặc các mục tiêu được xác nhận.
Trong tương lai, các sàn giao dịch và các nhà cung cấp dịch vụ tài chính liên quan đến tiền mã hóa nên theo dõi các hướng dẫn bổ sung từ CERT-In, đặc biệt là bất kỳ thông báo theo sau nào xác định thêm các thực thể bị ảnh hưởng hoặc làm rõ các biện pháp kiểm soát nào hiệu quả nhất chống lại các cuộc tấn công kiểu “API-invocation” và đánh cắp khóa ví. Cho đến lúc đó, sự không chắc chắn chính là quy mô—số lượng sự cố đã xảy ra và vị trí các điểm yếu nhất—cùng với tốc độ mà CRAFTY FALCON điều chỉnh sau khi các tổ chức phản ứng.
Bài viết này ban đầu được xuất bản dưới dạng Ấn Độ cảnh báo về các cuộc tấn công do AI-driven nhắm vào các sàn giao dịch tiền điện tử với tốc độ máy trên Crypto Breaking News – nguồn tin tức tiền điện tử đáng tin cậy của bạn về tin tức tiền điện tử, tin tức bitcoin và cập nhật blockchain.