A agência de cibersegurança da Índia emitiu um alerta sério sobre um ator de ameaça assistido por IA que intensificou seus ataques a exchanges de criptomoedas e outras instituições financeiras, roubando chaves de carteira e drenando fundos.
O Computer Emergency Response Team da Índia (CERT-In) designou o ator de ameaça como “CRAFTY FALCON” em uma atualização sobre uma campanha que já havia sido alertada em outubro. O aviso mais recente agora identifica explicitamente as exchanges de cripto entre os negócios afetados e detalha o uso de ferramentas de ataque baseadas em IA.
“A ameaça está ativa e em andamento. O CSIRT-Fin continua recebendo relatos de ataques bem-sucedidos, incluindo de instituições financeiras não bancárias e entidades fintech que já haviam recebido os avisos restritos anteriores e realizado remediações”, afirmou o CERT-In.
Esse alerta se soma às evidências de hackers utilizando ferramentas de IA contra instituições financeiras. Em outubro, a empresa de cibersegurança CrowdStrike relatou que um atacante não identificado usou o ARTEX, uma ferramenta de teste de penetração assistida por IA, juntamente com modelos de IA como Claude Code, para invadir empresas financeiras sul-coreanas e roubar dados.
O CRAFTY FALCON opera em “velocidade de máquina”. O CERT-In afirmou que o ator de ameaça financeira assistido por IA “analisa seus alvos com inteligência de máquina, opera em velocidade de máquina e ataca invocando as próprias APIs de pagamento e desembolso da vítima”.
A campanha tem como alvo credores não bancários, plataformas de empréstimo digital, empresas fintech, agregadores de pagamento e prestadores de serviços, além de exchanges de cripto.
De acordo com o CERT-In, os atacantes exploraram aplicativos vulneráveis e ambientes de teste expostos, utilizando credenciais compartilhadas e tokens de acesso para se mover para sistemas de produção. Eles também miraram na infraestrutura de nuvem para implantar arquivos maliciosos.
As ferramentas de IA ajudaram os atacantes a gerar e refinar rapidamente scripts de ataque. Os atacantes também reverteram o código do aplicativo para desenvolver exploits personalizados, enquanto alguns ataques foram programados para fins de semana e feriados para atrasar a detecção.
Em alguns incidentes, os atacantes usaram pequenas transações de teste para validar transferências não autorizadas antes de mover quantias maiores. O CERT-In também relatou chaves de carteira de criptomoedas roubadas e fundos drenados de carteiras.
A agência não nomeou nenhuma exchange de cripto afetada nem quantificou as perdas.
A Cointelegraph entrou em contato com o CERT-In, CoinDCX, CoinSwitch, WazirX, ZebPay e Mudrex para comentários.
O CERT-In aconselhou as entidades a “tratar essa campanha como ativa e em escalada”, instando as empresas em risco a intensificar a monitorização de segurança 24 horas por dia, com aumento de pessoal e redução dos limiares de alerta durante feriados, fins de semana e outras janelas de baixa cobertura.
O diretor de segurança da informação da Solana Foundation, Michael Coates, disse anteriormente à Cointelegraph que equipes de segurança legítimas precisam ter acesso às melhores ferramentas de IA. “Precisamos garantir que os melhores modelos que pudermos obter estejam nas mãos dos defensores, porque os atacantes terão algo capaz o suficiente”, afirmou.
O chefe de política da TRM Labs, Ari Redbord, também disse à Cointelegraph em julho que “as técnicas de ataque estão se movendo mais rápido do que uma única auditoria pode contabilizar desde o dia do lançamento”, pedindo revisões contínuas de segurança.
