El Equipo de Respuesta a Emergencias Informáticas de India (CERT-In) escaló el miércoles su aviso sobre un actor de amenazas asistido por IA designado "CRAFTY FALCON", añadiendo explícitamente a los exchanges de criptomonedas a una lista de objetivos que ya incluía sociedades financieras no bancarias (NBFC), plataformas de préstamo digital, firmas fintech, agregadores de pagos y proveedores de servicios. La actualización marca la primera vez que la agencia identifica públicamente a exchanges de cripto entre las entidades afectadas en una campaña sobre la que advirtió por primera vez en octubre.
Puntos Clave
- CERT-In escala el aviso sobre el actor 'CRAFTY FALCON', nombrando explícitamente a exchanges de cripto como objetivos junto a NBFCs y fintechs
- Herramientas de IA (ARTEX, Claude Code) permiten reconocimiento automatizado, generación de exploits y extracción de fondos vía API a 'velocidad de máquina'
- Los ataques explotan entornos de pruebas, credenciales compartidas e infraestructura cloud; programados para fines de semana/festivos para evadir detección
- CSIRT-Fin confirma brechas exitosas en curso incluso tras esfuerzos de remediación previos, indicando metodología de amenaza adaptativa
- Ningún exchange afectado nombrado ni pérdidas cuantificadas; CERT-In mandata monitorización 24/7 con umbrales de alerta rebajados
Resumen Ejecutivo de Inteligencia
El 'tooling' de IA acelera el ciclo de vida del ataque
Según CERT-In, el actor de amenazas "vigila sus objetivos con inteligencia de máquina, opera a velocidad de máquina y ataca invocando las propias APIs de pago y desembolso de la víctima". Los atacantes aprovechan herramientas de IA —incluyendo ARTEX, un marco de pruebas de penetración con IA también citado por CrowdStrike en los ataques de octubre contra firmas financieras surcoreanas, y Claude Code— para generar y refinar rápidamente scripts de ataque, hacer ingeniería inversa del código de aplicaciones para exploits a medida y automatizar el movimiento lateral.
La campaña explota aplicaciones vulnerables, entornos de pruebas expuestos, credenciales compartidas y tokens de acceso para vulnerar sistemas de producción. La infraestructura cloud es objetivo de despliegue de archivos maliciosos. En múltiples incidentes, los atacantes ejecutaron pequeñas transacciones de prueba para validar rutas de transferencia no autorizadas antes de drenar sumas mayores, con claves de wallets robadas y fondos sustraídos.
El 'timing' en fines de semana y festivos explota huecos de cobertura
CERT-In señaló que algunos ataques se programaron deliberadamente para fines de semana y festivos para retrasar la detección, una táctica que desafía directamente los modelos de dotación de personal de los centros de operaciones de seguridad (SOC). El equipo de respuesta a incidentes del sector financiero de la agencia (CSIRT-Fin) informó de que las brechas exitosas continúan incluso entre entidades que recibieron avisos restringidos previos y emprendieron remediación, lo que indica una mitigación incompleta o una metodología de ataque adaptativa.
"La amenaza está activa y en curso. CSIRT-Fin sigue recibiendo informes de ataques exitosos, incluyendo de NBFCs y entidades fintech que ya habían recibido los avisos restringidos anteriores y habían emprendido la remediación", declaró CERT-In.
La carrera armamentista de IA defensiva se intensifica
El aviso subraya una asimetría creciente: las capacidades ofensivas de IA están commoditizando cadenas de ataque sofisticadas, mientras los equipos defensivos luchan por igualar la velocidad. El CISO de Solana Foundation, Michael Coates, dijo previamente a Cointelegraph que "necesitamos asegurarnos de que los mejores modelos que podamos conseguir estén en manos de los defensores porque los atacantes tendrán algo lo bastante capaz". El jefe de política de TRM Labs, Ari Redbord, añadió que "las técnicas de ataque se mueven más rápido de lo que una sola auditoría desde el día del lanzamiento puede contemplar", instando a revisiones de seguridad continuas frente a evaluaciones puntuales.
Implicaciones regulatorias y operativas
CERT-In ha aconsejado a todas las entidades en riesgo que "traten esta campaña como activa y en escalada", mandando una monitorización de seguridad reforzada 24/7, mayor dotación de personal y umbrales de alerta rebajados durante ventanas de baja cobertura. La agencia no nombró exchanges afectados específicos ni cuantificó pérdidas totales. Cointelegraph solicitó comentarios a las principales plataformas indias, incluyendo CoinDCX, CoinSwitch, WazirX, ZebPay y Mudrex.
La advertencia llega en medio de una serie de brechas de alto perfil en cripto, incluyendo el exploit vinculado a Binance donde los hackers movieron el 81% del Solana robado vía THORChain, y un hack de 6.300 millones de dólares rastreado a herramientas de IA comprometidas y falsas entrevistas de trabajo. Estos incidentes señalan colectivamente que los actores de amenazas aumentados por IA son ya una característica persistente y estructural del panorama de riesgo de activos digitales.
