L'agence indienne CERT-In alerte sur les pirates "CRAFTY FALCON" dopés à l'IA qui visent les exchanges crypto à vitesse machine

L'équipe indienne de réponse aux incidents informatiques (CERT-In) a relevé mercredi son avis sur un acteur de menace assisté par IA désigné "CRAFTY FALCON", ajoutant explicitement les exchanges de cryptomonnaies à une liste de cibles qui comprenait déjà les sociétés de financement non bancaires (NBFC), les plateformes de prêt numérique, les entreprises fintech, les agrégateurs de paiement et les fournisseurs de services. Cette mise à jour marque la première fois que l'agence identifie publiquement des exchanges crypto parmi les entités affectées dans une campagne dont elle avait averti pour la première fois en octobre.

Points Clés

CERT-In intensifie son avis sur l'acteur de menace 'CRAFTY FALCON', nommant explicitement les exchanges crypto comme cibles aux côtés des NBFC et fintechs
Les outils IA (ARTEX, Claude Code) permettent reconnaissance automatisée, génération d'exploits et extraction de fonds via API à 'vitesse machine'
Les attaques exploitent environnements de test, identifiants partagés et infrastructure cloud ; programmées week-ends/jours fériés pour échapper à la détection
CSIRT-Fin confirme des violations continues même après remédiations antérieures, indiquant une méthodologie de menace adaptative
Aucun exchange nommé ni pertes quantifiées ; CERT-In impose surveillance 24/7 avec seuils d'alerte abaissés

INTELLIGENCE

Synthèse Exécutive d'Intelligence

Ce qui s'est passé: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

Pourquoi c'est important: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

À surveiller: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

L'outillage IA accélère le cycle d'attaque

Selon CERT-In, l'acteur de menace "surveille ses cibles avec une intelligence machine, opère à vitesse machine et frappe en invoquant les propres API de paiement et de décaissement de la victime." Les attaquants exploitent des outils d'IA — dont ARTEX, un framework de test de pénétration IA également cité par CrowdStrike dans les attaques d'octobre contre des entreprises financières sud-coréennes, et Claude Code — pour générer et affiner rapidement des scripts d'attaque, faire de l'ingénierie inverse du code applicatif pour des exploits sur mesure, et automatiser les mouvements latéraux.

La campagne exploite des applications vulnérables, des environnements de test exposés, des identifiants partagés et des jetons d'accès pour violer les systèmes de production. L'infrastructure cloud est ciblée pour le déploiement de fichiers malveillants. Dans de multiples incidents, les attaquants ont exécuté de petites transactions test pour valider des chemins de transfert non autorisés avant de vider des sommes plus importantes, avec vol de clés de portefeuille et drainage des fonds.

Un timing week-ends et jours fériés qui exploite les failles de couverture

CERT-In note que certaines attaques ont été délibérément programmées pour les week-ends et jours fériés afin de retarder la détection, une tactique qui remet directement en cause les modèles de dotation standards des centres d'opérations de sécurité (SOC). L'équipe de réponse aux incidents du secteur financier (CSIRT-Fin) de l'agence rapporte que des violations couronnées de succès se poursuivent même parmi des entités ayant reçu les précédents avis restreints et entrepris des remédiations, indiquant soit une atténuation incomplète, soit une méthodologie d'attaquant adaptative.

"La menace est active et en cours. CSIRT-Fin continue de recevoir des rapports d'attaques couronnées de succès, y compris de NBFC et d'entités fintech qui avaient déjà reçu les précédents avis restreints et avaient entrepris des remédiations," a déclaré CERT-In.

La course aux armements défensifs par l'IA s'intensifie

L'avis souligne une asymétrie croissante : les capacités offensives d'IA commoditisent des chaînes d'attaque sophistiquées, tandis que les équipes défensives peinent à égaler la vélocité. Michael Coates, CISO de la Solana Foundation, avait précédemment déclaré à Cointelegraph que "nous devons nous assurer que les meilleurs modèles que nous puissions obtenir sont entre les mains des défenseurs car les attaquants en auront d'assez performants." Ari Redbord, responsable politique chez TRM Labs, a ajouté que "les techniques d'attaque évoluent plus vite qu'un audit unique au jour du lancement ne peut le prendre en compte," préconisant des revues de sécurité continues plutôt que des évaluations ponctuelles.

Implications réglementaires et opérationnelles

CERT-In a conseillé à toutes les entités à risque de "traiter cette campagne comme active et croissante," imposant une surveillance de sécurité 24/7 renforcée, un effectif accru et des seuils d'alerte abaissés pendant les fenêtres de faible couverture. L'agence n'a pas nommé d'exchanges affectés spécifiquement ni quantifié les pertes totales. Cointelegraph a sollicité des commentaires auprès des principales plateformes indiennes, notamment CoinDCX, CoinSwitch, WazirX, ZebPay et Mudrex.

Cet avertissement survient dans un contexte de violations crypto médiatisées, notamment l'exploit lié à Binance où les pirates ont déplacé 81 % du Solana volé via THORChain, et un piratage de 6,3 milliards de dollars attribué à des outils IA compromis et de faux entretiens d'embauche. Ces incidents signalent collectivement que les acteurs de menace augmentés par l'IA sont désormais une caractéristique structurelle persistante du paysage de risque des actifs numériques.