Indiase CERT-In waarschuwt voor AI-gedreven hackers 'CRAFTY FALCON' die crypto-exchanges aanvallen met machinesnelheid

Indiase Computer Emergency Response Team (CERT-In) heeft woensdag zijn advies over een AI-ondersteunde dreigingsactor aangeduid als "CRAFTY FALCON" opgeschroefd, waarbij cryptocurrency-exchanges expliciet worden toegevoegd aan een doellijst die al niet-bankfinanciële instellingen (NBFC's), digitale leningsplatforms, fintech-bedrijven, betalingsaggregatoren en dienstverleners omvatte. De update markeert de eerste keer dat de instantie crypto-exchanges publiekelijk identificeert als getroffen entiteiten in een campagne waarover het voor het eerst in oktober waarschuwde.

Belangrijkste Punten

CERT-In schroeft advies op over 'CRAFTY FALCON' dreigingsactor, noemt crypto-exchanges expliciet als doelen naast NBFC's en fintechs
AI-tools (ARTEX, Claude Code) maken geautomatiseerde recognitie, exploit-generatie en API-gedreven fondsonttrekking met 'machinesnelheid' mogelijk
Aanvallen misbruiken testomgevingen, gedeelde inloggegevens en cloud-infrastructuur; getimt voor weekenden/feestdagen om detectie te ontlopen
CSIRT-Fin bevestigt lopende succesvolle inbraken zelfs na eerdere herstelpogingen, wat adaptieve dreigingsmethodologie aangeeft
Geen getroffen exchanges genoemd of verliezen gekwantificeerd; CERT-In schrijft 24/7 monitoring met verlaagde alertdrempels voor

INTELLIGENCE

Executive Intelligence Brief

Wat gebeurde er: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

Waarom het belangrijk is: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

Wat te volgen: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

AI-tools versnellen aanvalslevenscyclus

Volgens CERT-In "inventeert de dreigingsactor zijn doelen met machine-intelligentie, opereert met machinesnelheid en slaat toe door de eigen betalings- en uitbetalings-API's van het slachtoffer aan te roepen." Aanvallers gebruiken AI-tools — waaronder ARTEX, een AI-penetratietestframework dat ook door CrowdStrike werd geciteerd bij oktober-aanvallen op Zuid-Koreaanse financiële bedrijven, en Claude Code — om snel aanvalsscripts te genereren en te verfijnen, toepassingscode omgekeerd te ontwerpen voor maatexploits en laterale beweging te automatiseren.

De campagne exploiteert kwetsbare applicaties, blootgestelde testomgevingen, gedeelde inloggegevens en toegangstokens om productiesystemen te binnendringen. Cloud-infrastructuur wordt getikt voor schadelijke bestandsimplementatie. In meerdere incidenten voerden aanvallers kleine testtransacties uit om onbevoegde overdrachtspaden te valideren voordat ze grotere bedragen afvoerden, met portemonneesleutels gestolen en gelden onttrokken.

Weekend- en feestdagtiming benut dekkingsgaten

CERT-In merkte op dat sommige aanvallen bewust getimt waren voor weekenden en feestdagen om detectie te vertragen, een tactiek die standaard security operations center (SOC)-bemanningmodellen direct uitdaagt. Het financiële sector incidentresponsteam van de instantie (CSIRT-Fin) rapporteerde dat succesvolle inbraken doorgaan, zelfs bij entiteiten die eerdere beperkte adviezen hadden ontvangen en herstelmaatregelen hadden genomen, wat wijst op onvolledige mitigatie of adaptieve aanvalsmetodologie.

"De dreiging is actief en lopend. CSIRT-Fin ontvangt nog steeds rapporten van succesvolle aanvallen, inclusief van NBFC's en fintech-entiteiten die al de eerdere beperkte adviezen hadden ontvangen en herstel hadden ondernomen," stelde CERT-In.

Defensieve AI-wapenwedloop verergerd

Het advies benadrukt een groeiende asymmetrie: offensieve AI-capaciteiten commoditiseren gesofisticeerde aanvalskettingen, terwijl defensieve teams worstelen om snelheid te matchen. Solana Foundation CISO Michael Coates zei eerder tegen Cointelegraph dat "we moeten ervoor zorgen dat de beste modellen die we kunnen krijgen in handen zijn van verdedigers, omdat aanvallers iets capabel genoeg zullen hebben." TRM Labs hoofd beleid Ari Redbord voegde toe dat "aanvalstechnieken sneller bewegen dan een enkele audit vanaf lanceringdag kan verantwoorden," en drong aan op continue beveiligingsbeoordelingen boven punt-in-tijd-evaluaties.

Regulatorische en operationele implicaties

CERT-In heeft alle risicovolledige entiteiten geadviseerd om "deze campagne als actief en escherend te behandelen," met als eis 24/7 verhoogde beveiligingsmonitoring, verhoogde bemanning en verlaagde alertdrempels tijdens laag-dekkingsvensters. De instantie noemde geen specifieke getroffen exchanges of kwantificeerde totale verliezen. Cointelegraph vroeg reactie aan bij grote Indiase platforms waaronder CoinDCX, CoinSwitch, WazirX, ZebPay en Mudrex.

De waarschuwing komt midden in een reeks hoogprofiel crypto-inbraken, waaronder de Binance-gekoppelde exploit waarbij hackers 81% van gestolen Solana via THORChain afvoerden, en een $6,3 miljard hack herleid tot gecompromitteerde AI-tools en nep sollicitatiegesprekken. Deze incidenten signaleren gezamenlijk dat AI-geaugmenteerde dreigingsactoren nu een persistente, structurele kenmerk zijn van het digitale-assetrisicolandschap.