Indias CERT-In advarer: KI-drevne «CRAFTY FALCON»-hackere angriper kryptobørser i maskinhastighet

Indias Computer Emergency Response Team (CERT-In) eskalert onsdag sin advarsel om den KI-assisterte trusselaktøren «CRAFTY FALCON», og la eksplisitt til kryptobørser på en målliste som allerede inkluderte ikke-banklige finansinstitusjoner (NBFC), digitale låneplattformer, fintech-selskaper, betalingssamler og tjenesteleverandører. Oppdateringen merker første gang byrået offentlig har identifisert kryptobørser blant de berørte enhetene i en kampanje det først advarte om i oktober.

Hovedpunkter

CERT-In eskalert advarsel om «CRAFTY FALCON», nevner eksplisitt kryptobørser som mål sammen med NBFC-er og fintech
KI-verktøy (ARTEX, Claude Code) muliggjør automatisert rekognosering, exploit-generering og API-drevet uttak av midler i «maskinhastighet»
Angrep utnyttver testmiljøer, delte legitimasjoner og skyinfrastruktur; timede til helger/ferier for å unngå oppdagelse
CSIRT-Fin bekrefter pågående vellykkede innbrudd selv etter tidligere reparasjon, indikerer adaptiv trusselmetodikk
Ingen berørte børser navngitt eller tap kvantifisert; CERT-In krever 24/7 overvåkning med senkede terskler

INTELLIGENCE

Kort Oppsummert: Etterretningsbrief

Hva skjedde: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

Hvorfor det betyr noe: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

Hva du bør følge: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

KI-verktøy akselererer angrepslivssyklusen

Ifølge CERT-In «kartlegger trusselaktøren sine mål med maskinintelligens, opererer i maskinhastighet og slår til ved å åpne offerts egne betalings- og utbetalings-APIer.» Angriperne bruker KI-verktøy – inkludert ARTEX, et KI-basert rammeverk for penetrasjonstesting som også ble nevnt av CrowdStrike i forbindelse med angrep på sørkoreanske finansinstitusjoner i oktober, samt Claude Code – til raskt å generere og forfine angrepsskript, reversere applikasjonskode for skreddersydde exploits og automatisere lateral bevegelse.

Kampanjen utnyttver sårbare applikasjoner, eksponerte testmiljøer, delte legitimasjoner og tilgangstokener for å bryte seg inn i produksjonssystemer. Skyinfrastruktur blir angrept for distribusjon av skadelig programvare. I flere hendelser utførte angriperne små testtransaksjoner for å validere uautoriserte overføringsveier før de tømte større summer, med stjålne plommebokenøkler og midler som forsvant.

Helge- og ferietidspunkt utnytter dekningshull

CERT-In noterer at enkelte angrep bevisst ble timede til helger og helligdager for å forsinkje oppdagelse, en taktikk som direkte utfordrer standard bemanningsmodeller for sikkerhetssenter (SOC). Byråets incidentresponsteam for finanssektoren (CSIRT-Fin) rapporterte at vellykkede innbrudd fortsetter likevel hos enheter som hadde mottatt tidligere begrensede advarsler og iverksatt reparasjonstiltak, noe som indikerer enten ufullstendig mitigering eller adaptiv angrepsmetodikk.

«Trusselen er aktiv og pågående. CSIRT-Fin fortsetter å motta rapporter om vellykkede angrep, inkludert fra NBFC-er og fintech-enheter som allerede hadde mottatt de tidligere begrensede advarslene og hadde iverksatt reparasjon,» uttalte CERT-In.

Våpenkappløpet om forsvarlig KI intensifiseres

Advarselen understreker en voksende asymmetri: offensive KI-kapabiliteter kommerdifiserer sofistikerte angrepskjeder, mens forsvarsteam sliter med å holde takt. Solana Foundation sin CISO Michael Coates sa tidligere til Cointelegraph at «vi må sørge for at de beste modellene vi kan få tak i, kommer i hendene på forsvarerne, fordi angriperne vil ha noe som er kapabelt nok.» TRM Labs sin policy-sjef Ari Redbord la til at «angrepsteknikker beveger seg raskere enn en enkelt revisjon fra lanseringsdagen kan ta hensyn til,» og anbefalte kontinuerlige sikkerhetsgjennomganger fremfor punkt-i-tid-vurderinger.

Regulatoriske og operative implikasjoner

CERT-In har rådet alle utsatte enheter til å «behandle denne kampanjen som aktiv og eskalerende,» og krever 24/7 forsterket sikkerhetsovervåkning, økt bemanning og senkede varslingsterskler i lavt bemannede tidsvinduer. Byrået nevnte ingen spesifikke berørte børser eller kvantifiserte totale tap. Cointelegraph ba store indiske plattformer som CoinDCX, CoinSwitch, WazirX, ZebPay og Mudrex om kommentar.

Advarselen kommer midt i en serie profilerte krypto-brudd, inkludert Binance-knyttet exploit der hackere flyttet 81 % av stjålet Solana via THORChain, og et $6,3 milliarder hack sporet til kompromitterte KI-verktøy og falske jobbintervjuer. Disse hendelsene signaliserer samlet at KI-forsterkede trusselaktører nå er en vedvarende, strukturell del av risikolandskapet for digitale eiendeler.