Indiens CERT-In warnt: KI-gestützte Hackergruppe 'CRAFTY FALCON' attackiert Krypto-Börsen mit Maschinen-Geschwindigkeit

Indiens Computer Emergency Response Team (CERT-In) hat am Mittwoch seinen Hinweis zu dem KI-gestützten Bedrohungsakteur 'CRAFTY FALCON' verschärft und Kryptowährungsbörsen explizit zu einer Zielliste hinzugefügt, die bereits Nicht-Banken-Finanzinstitute (NBFCs), digitale Kreditplattformen, Fintech-Unternehmen, Zahlungsaggregatoren und Dienstleister umfasste. Das Update markiert das erste Mal, dass die Behörde Krypto-Börsen in einer Kampagne öffentlich als betroffene Entitäten benannt hat, vor der sie erstmals im Oktober warnte.

Wichtigste Erkenntnisse

CERT-In verschärfte Hinweis zu 'CRAFTY FALCON', benennt Krypto-Börsen explizit als Ziele neben NBFCs und Fintechs
KI-Tools (ARTEX, Claude Code) ermöglichen automatisierte Aufklärung, Exploit-Generierung und API-gesteuerte Geldabzüge mit 'Maschinengeschwindigkeit'
Angriffe nutzen Testumgebungen, geteilte Zugangsdaten und Cloud-Infrastruktur; auf Wochenenden/Feiertage getimt, um Entdeckung zu umgehen
CSIRT-Fin bestätigt laufende erfolgreiche Verletzungen trotz vorheriger Gegenmaßnahmen, was adaptive Bedrohungsmethodik anzeigt
Keine betroffenen Börsen benannt oder Verluste quantifiziert; CERT-In fordert 24/7-Überwachung mit gesenkten Alarm-Schwellenwerten

INTELLIGENCE

Executive Intelligence Brief

Was geschah: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

Warum es wichtig ist: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

Ausblick & Beobachtungspunkte: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

KI-Tools beschleunigen den Angriffszyklus

Laut CERT-In 'überwacht der Bedrohungsakteur seine Ziele mit maschineller Intelligenz, operiert mit Maschinengeschwindigkeit und schlägt zu, indem er die eigenen Zahlungs- und Auszahlungs-APIs des Opfers aufruft.' Angreifer nutzen KI-Tools – darunter ARTEX, ein KI-Penetrationstest-Framework, das auch von CrowdStrike bei Oktober-Angriffen auf südkoreanische Finanzunternehmen zitiert wurde, sowie Claude Code –, um Angriffs-Skripte rasch zu generieren und zu verfeinern, Anwendungscode für maßgeschneiderte Exploits zu reverse-engineeren und laterale Bewegungen zu automatisieren.

Die Kampagne nutzt verwundbare Anwendungen, exponierte Testumgebungen, geteilte Zugangsdaten und Zugriffstoken, um in Produktionssysteme einzudringen. Cloud-Infrastruktur wird für die Bereitstellung bösartiger Dateien angegriffen. In mehreren Vorfällen führten Angreifer kleine Testtransaktionen durch, um unautorisierte Transferpfade zu validieren, bevor sie größere Summen abzogen, wobei Wallet-Schlüssel gestohlen und Gelder abgezogen wurden.

Wochenend- und Feiertags-Timing nutzt Überwachungslücken

CERT-In stellte fest, dass einige Angriffe bewusst auf Wochenenden und Feiertage gelegt wurden, um die Entdeckung zu verzögern – eine Taktik, die Standard-Besetzungsmodelle von Security Operations Centers (SOCs) direkt herausfordert. Das Financial Sector Computer Security Incident Response Team (CSIRT-Fin) der Behörde berichtete, dass erfolgreiche Verletzungen selbst bei Entitäten fortbestehen, die frühere eingeschränkte Hinweise erhalten und Gegenmaßnahmen ergriffen hatten, was entweder auf unvollständige Abwehr oder adaptive Angreifer-Methodik hindeutet.

'Die Bedrohung ist aktiv und andauernd. CSIRT-Fin erhält weiterhin Meldungen über erfolgreiche Angriffe, auch von NBFCs und Fintech-Entitäten, die bereits die früheren eingeschränkten Hinweise erhalten und Gegenmaßnahmen ergriffen hatten', erklärte CERT-In.

Defensiver KI-Wettrüsten verschärft sich

Der Hinweis unterstreicht eine wachsende Asymmetrie: Offensive KI-Fähigkeiten machen anspruchsvolle Angriffsketten zur Ware, während Abwehrteams Schwierigkeiten haben, das Tempo mitzugehen. Solana Foundation CISO Michael Coates sagte zuvor gegenüber Cointelegraph: 'Wir müssen sicherstellen, dass die besten Modelle, die wir bekommen können, in den Händen der Verteidiger sind, weil Angreifer etwas Fähiges genug haben werden.' TRM Labs Policy-Chef Ari Redbord fügte hinzu, dass 'Angriffstechniken schneller voranschreiten als ein einzelner Audit vom Starttag berücksichtigen kann' und kontinuierliche Sicherheitsüberprüfungen statt punktueller Bewertungen forderte.

Regulatorische und operative Implikationen

CERT-In hat allen gefährdeten Entitäten geraten, 'diese Kampagne als aktiv und eskalierend zu behandeln', und 24/7-überwachung, erhöhte Personalbesetzung und gesenkte Alarm-Schwellenwerte in Phasen geringer Abdeckung angeordnet. Die Behörde nannte keine spezifisch betroffenen Börsen und quantifizierte keine Gesamtverluste. Cointelegraph bat große indische Plattformen einschließlich CoinDCX, CoinSwitch, WazirX, ZebPay und Mudrex um Stellungnahme.

Die Warnung kommt vor dem Hintergrund einer Serie prominenter Krypto-Verletzungen, darunter der Binance-verknüpfte Exploit, bei dem Hacker 81 % der gestohlenen Solana über THORChain bewegten, und ein 6,3 Milliarden Dollar schwerer Hack, der auf kompromittierte KI-Tools und gefälschte Vorstellungsgespräche zurückgeführt wurde. Diese Vorfälle signalisieren gemeinsam, dass KI-augmentierte Bedrohungsakteure nun ein persistentes, strukturelles Merkmal der digitalen Asset-Risikolandschaft sind.