インドCERT-In、AI活用の「CRAFTY FALCON」が暗号資産取引所を標的と警告機械的速度で攻撃

インドコンピュータ緊急対応チーム（CERT-In）は水曜日、AI支援型脅威アクター「CRAFTY FALCON」に関する勧告を格上げし、ノンバンク金融会社（NBFC）、デジタルレンディングプラットフォーム、フィンテック企業、決済代行業者、サービスプロバイダーに加え、暗号資産取引所を標的リストに明確に追加した。同機関が10月に最初の警告を発して以来、暗号資産取引所を影響を受ける主体として公表したのは今回が初めてとなる。

主要ポイント

CERT-Inが「CRAFTY FALCON」に関する勧告を格上げ、暗号資産取引所をNBFCやフィンテックとともに標的と明記
AIツール（ARTEX、Claude Code）が偵察、エクスプロイト生成、API駆動の資金抜き取りを「機械的速度」で自動化
テスト環境の露出、共有認証情報、クラウドインフラを悪用。週末・休日を狙い検知を回避
CSIRT-Finが是正済み事業者でも被害継続を確認、攻撃手法の適応性を示唆
被害取引所名と損失額は非公表。CERT-Inは24時間監視とアラート閾値引き下げを義務付け

INTELLIGENCE

エグゼクティブ・インテリジェンス・ブリーフ

事象の概要: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

重要性と市場影響: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

今後の注目点: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

AIツールが攻撃ライフサイクルを加速

CERT-Inによると、この脅威アクターは「機械知能で標的を偵察し、機械的速度で活動し、被害者自身の決済・払出APIを呼び出して攻撃を仕掛ける」。攻撃者は、CrowdStrikeが10月の韓国金融機関への攻撃でも言及したAIペネトレーションテストフレームワーク「ARTEX」や「Claude Code」などのAIツールを活用し、攻撃スクリプトの迅速な生成・改良、アプリケーションコードのリバースエンジニアリングによるテーラーメイドのエクスプロイト作成、ラテラルムーブメントの自動化を行っている。

脆弱なアプリケーション、露出したテスト環境、共有認証情報、アクセストークンを悪用して本番システムに侵入し、クラウドインフラを標的として悪意あるファイルを配備する。複数の事案では、攻撃者が少額のテスト取引を実行して不正送金経路を検証した後、大口資金を移動させ、ウォレット鍵を窃取して資金を流出させた。

週末・休日を狙い監視の隙を突く

CERT-Inは、一部の攻撃が検知を遅らせるために意図的に週末や休日に実行されたと指摘しており、これは標準的なセキュリティ運用センター（SOC）の人員配置モデルに直接挑戦するものだ。金融セクターインシデント対応チーム（CSIRT-Fin）は、以前の限定勧告を受け取り是正措置を講じた事業者においても成功事例が続いており、是正が不完全であるか、攻撃手法が適応していることを示唆していると報告した。

「脅威は活発かつ継続中だ。CSIRT-Finには、以前の限定勧告を受け取り既に是正措置を講じていたNBFCやフィンテック事業者からも、成功した攻撃の報告が寄せられ続けている」とCERT-Inは述べている。

防御側AIとの軍拡競争が激化

この勧告は、攻撃的AI能力が高度な攻撃チェーンを商品化する一方で、防御チームがその速度に追いつけていないという、拡大する非対称性を浮き彫りにしている。ソラナ財団のCISOマイケル・コーツ氏は以前、CoinTelegraphに対し「攻撃者が十分な能力を持つモデルを手にする以上、防御側が入手可能な最高のモデルを装備する必要がある」と語った。TRM Labsの政策責任者アリ・レッドボード氏は「攻撃手法は、ローンチ時の単一監査では対応できない速度で進化している」として、ポイントインタイムの評価ではなく継続的なセキュリティレビューの必要性を訴えている。

規制と運営へのインパクト

CERT-Inは、リスクにさらされている全事業者に対し「このキャンペーンを活発かつエスカレート中として扱う」よう助言し、24時間体制の監視強化、人員増強、監視が手薄な時間帯におけるアラート閾値の引き下げを義務付けた。同機関は具体的な被害取引所名や総損失額を公表していない。CoinTelegraphは、CoinDCX、CoinSwitch、WazirX、ZebPay、Mudrexといった主要インドプラットフォームにコメントを求めている。

今回の警告は、ハッカーが盗まれたソラナの81%をTHORChain経由で移動させたバイナンス関連の不正流出や、AIツールの悪用と偽の面接に起因する63億ドルのハッキングなど、一連の著名な暗号資産侵害事案のさなかに発せられた。これら一連の事案は、AI増強型脅威アクターがデジタル資産リスクランドスケープの持続的かつ構造的な特徴となりつつあることを示唆している。バイナンス不正流出、盗まれたSOLの81%がTHORChain経由で移動再開後に資金洗浄加速、グレイスケール、バイナンス63億ドルハッキングを「一時的な挫折」と位置づけ米国現物ETPの機関投資家向けカストディの優位性強調。