Indiens CERT-In varnar för AI-drivna 'CRAFTY FALCON'-hackare som riktar in sig på kryptobörser med maskinhastighet

Indiens Computer Emergency Response Team (CERT-In) eskalerade onsdag sitt rådgivande om en AI-stött hotaktör som betecknats "CRAFTY FALCON" och lade explicit till kryptobörser på en mållista som redan innehöll icke-bankfinansiella bolag (NBFC), digitala lånplattformar, fintech-företag, betalningsaggregatorer och tjänsteleverantörer. Uppdateringen markerar första gången myndigheten offentligt identifierat kryptobörser bland de drabbade entiteterna i en kampanj den först varnade för i oktober.

Viktiga Punkter

CERT-In eskalerade rådgivande om 'CRAFTY FALCON'-hotaktör, explicit benämner kryptobörser som mål tillsammans med NBFC och fintechs
AI-verktyg (ARTEX, Claude Code) möjliggör automatiserad avspaning, exploit-generering och API-drivet medelsextraktion med 'maskinhastighet'
Attacker utnyttjar testmiljöer, delade inloggningar och molninfrastruktur; planeras för helger/lediga dagar för att undgå upptäckt
CSIRT-Fin bekräftar pågående framgångsrika intrång även efter tidigare reparation, vilket indikerar anpassningsförmålig hotmetodologi
Inga drabbade börser nämnda eller förluster kvantifierade; CERT-In kräver dygnet runt övervakning med sänkta varningströsklar

INTELLIGENCE

Kort Sammanfattning: Underrättelsebrief

Vad hände: India's Computer Emergency Response Team (CERT-In) escalated its advisory on an AI-assisted threat actor designated 'CRAFTY FALCON,' explicitly identifying cryptocurrency exchanges as targets alongside non-bank lenders, fintechs, and payment aggregators. The agency confirmed ongoing successful attacks involving theft of wallet keys and unauthorized fund transfers executed at 'machine speed' via compromised payment APIs.

Varför det spelar roll: The advisory signals a structural shift in cyber risk for digital asset platforms: AI tooling now automates reconnaissance, exploit generation, and execution at speeds that outpace traditional periodic audits and human-led monitoring, particularly during low-coverage windows. This raises immediate operational resilience questions for exchanges, custodians, and regulators globally.

Vad du bör bevaka: CERT-In urges 24/7 heightened monitoring with lowered alert thresholds during weekends and holidays; affected entities must validate remediation of exposed testing environments and shared credentials; global regulators may issue coordinated guidance on AI-driven threat modeling; monitor for exchange-specific breach disclosures and potential regulatory capital or insurance implications.

AI-verktyg accelererar attacklivscykeln

Enligt CERT-In "kartlägger hotaktören sina mål med maskinintelligens, opererar med maskinhastighet och slår till genom att anropa offerns egna betalnings- och utbetalnings-API:er." Angripare utnyttjar AI-verktyg – inklusive ARTEX, ett AI-baserat penetrations-testramverk som också citerades av CrowdStrike i oktoberattacker mot sydkoreanska finansiella företag, samt Claude Code – för att snabbt generera och förfina attackskript, reversera applikationskod för skräddarsydda exploits och automatisera lateral rörelse.

Kampanjen utnyttjar sårbara applikationer, utsatta testmiljöer, delade inloggningar och åtkomsttoken för att bryta in i produktionssystem. Molninfrastruktur riktas in för distribution av skadlig kod. I flera incidenter utförde angripare små testtransaktioner för att validera obehöriga överföringsvägar innan de tömde större summor, med plånboksnycklar stulna och medel bortförda.

Helg- och ledigdagstidning utnyttjar täckningsluckor

CERT-In noterade att vissa attacker avsiktligt planerades till helger och lediga dagar för att fördröja upptäckt, en taktik som direkt utmanar standardbemanningsmodeller för säkerhetsoperationscenter (SOC). Myndighetens incidenthanteringsteam för finanssektorn (CSIRT-Fin) rapporterade att framgångsrika intrång fortsätter även bland entiteter som fått tidigare begränsade rådgivanden och vidtagit åtgärder, vilket indikerar antingen ofullständig mitigering eller anpassningsförmåga hos angriparna.

"Hotet är aktivt och pågående. CSIRT-Fin fortsätter att ta emot rapporter om framgångsrika attacker, inklusive från NBFC och fintech-entiteter som redan hade fått de tidigare begränsade rådgivanden och hade vidtagit åtgärder," säger CERT-In.

Försvarsmässiga AI-vapenloppan skärps

Rådgivandet belyser en växande asymmetri: offensiva AI-förmågor kommoditisering sofistikerade attackkedjor, medan försvarslag kämpar för att matcha hastigheten. Solana Foundation CISO Michael Coates sa tidigare till Cointelegraph att "vi måste se till att de bästa modellerna vi kan få tag på hamnar i försvararnas händer för angripare kommer att ha något tillräckligt kapabelt." TRM Labs policychef Ari Redbord tillade att "attacktekniker rör sig snabbare än vad en enda revision från lanseringsdagen kan räkna med," och uppmanade till kontinuerliga säkerhetsgranskningar istället för tidpunktsbedömningar.

Regulatoriska och operativa implikationer

CERT-In har rätt alla riskutsatta entiteter att "behandla denna kampanj som aktiv och eskalerande," vilket kräver dygnet runt förskärpt säkerhetsövervakning, ökad bemanning och sänkta varningströsklar under lågtäckningsfönster. Myndigheten nämnde inga specifika drabbade börser eller kvantifierade totala förluster. Cointelegraph bad om kommentar från stora indiska plattformar inklusive CoinDCX, CoinSwitch, WazirX, ZebPay och Mudrex.

Varningen kommer mitt i en rad profilerade kryptointrång, inklusive Binance-länkade exploitet där hackare flyttade 81 % av stulna Solana via THORChain, samt ett $6,3 miljarder hack spårbart till komprometterade AI-verktyg och falska jobbintervjuer. Dessa incidenter signalerar sammantaget att AI-augmenterade hotaktörer nu är en bestående, strukturell drag i risikolandskapet för digitala tillgångar.