CERT-In aus Indien hat CRAFTY FALCON als Akteur einer laufenden, KI-gestützten Cyberangriffskampagne identifiziert, die sich gegen Kryptobörsen und Finanzunternehmen richtet.
Die Behörde meldete den Diebstahl von Schlüsseln für Krypto-Wallets und Überweisungen von Geldern. Sie warnte Organisationen davor, die Cloud-Sicherheit, die Überwachung von APIs und den Schutz von Wallets zu verstärken.
Die indische Cybersicherheitsbehörde CERT-In hat eine dringende Warnung vor einer laufenden Hacker-Kampagne herausgegeben, die sich gegen Kryptowährungsbörsen und Finanzinstitute richtet. Die Angreifer setzen Werkzeuge mit künstlicher Intelligenz (KI) ein, um Wallet-Schlüssel zu stehlen und Gelder zu transferieren.
In seiner Warnmeldung vom 4. November, die als CIAD-2026-0058 gekennzeichnet ist, nannte das indische Computer Emergency Response Team den Bedrohungsakteur „CRAFTY FALCON“ und erklärte, die Angriffe würden weiter eskalieren. Die Kampagne richtet sich auch gegen Nichtbanken-Finanzunternehmen (NBFCs), digitale Kreditplattformen, Fintech-Unternehmen, Zahlungsaggregatoren und Zahlungsdienstleister.
EILMELDUNG: Indiens CERT-In warnt, dass KI-gestützte Hacker Kryptobörsen ins Visier nehmen, Wallet-Schlüssel stehlen und Gelder abschöpfen. Die Behörde identifizierte den Bedrohungsakteur als „CRAFTY FALCON“ und erklärte, die Angriffe seien weiterhin aktiv und würden eskalieren. CERT-In hat die Börsen aufgefordert, ihre Sicherheitsmaßnahmen zu verstärken und rund um die Uhr zu überwachen. #CERTIn #Cybersicherheit #Krypto #Indien
— TheNewsCrypto (@The_NewsCrypto) 5. November 2026
CERT-In zufolge hatte sein Reaktionsteam für den Finanzsektor, CSIRT-Fin, Berichte über erfolgreiche Angriffe erhalten, darunter auch Angriffe auf Organisationen, die bereits gewarnt worden waren und versucht hatten, Sicherheitslücken zu schließen. Einige wurden nach unvollständigen Abhilfemaßnahmen erneut ins Visier genommen. Zudem legten die Angreifer ihre Operationen auf Wochenenden und Feiertage, wenn Sicherheitsteams möglicherweise mit weniger Personal die Systeme überwachen.
Vier KI-Tools in der Kampagne identifiziert
In der Warnmeldung werden vier öffentlich verfügbare Tools genannt, die bei den Angriffen zum Einsatz kamen: ARTEX, PentAGI, Cairn und CyberStrikeAI. CERT-In zufolge können diese Tools Angriffsabläufe automatisieren, maßgeschneiderte Skripte erstellen und verfeinern sowie ihre Methoden an die Reaktionen der Zielsysteme anpassen. Die Angreifer wechseln außerdem innerhalb weniger Stunden oder Tage die IP-Adressen ihrer unterstützenden Infrastruktur, was die Erkennung erschwert.
Die Behörde beschrieb mehrere Methoden, mit denen in Finanzsysteme eingedrungen wurde. Angreifer nutzten öffentlich zugängliche Testumgebungen aus, missbrauchten Cloud-Dienste und stellten über modifizierte Anwendungen unbefugte Anfragen an Zahlungs-APIs. In einigen Fällen verschickten sie kleine Testzahlungen, darunter Transaktionen im Wert von nur ₹1, um zu prüfen, ob unbefugte Überweisungen funktionieren würden, bevor sie größere Beträge transferierten.
(Quelle: CERT-In)
CERT-In berichtete ausdrücklich, dass Kryptobörsen und Anbieter von Dienstleistungen für virtuelle digitale Vermögenswerte ins Visier genommen worden seien. Dabei seien Wallet-Schlüssel gestohlen und Gelder aus Wallets abgeschöpft worden. In der Warnmeldung wurden jedoch weder betroffene Börsen genannt noch die Gesamtsumme der gestohlenen Gelder offengelegt.
Die Behörde hat Finanzunternehmen aufgefordert, rund um die Uhr Sicherheitsüberwachung zu gewährleisten, Transaktionsprüfungen zu verstärken und Krypto-Wallet-Schlüssel in Hardware-Sicherheitsmodulen oder im Cold Storage aufzubewahren. Außerdem empfahl sie für Auszahlungen eine Genehmigung durch mehrere Signaturen und bei Verdacht auf eine Kompromittierung einen sofortigen Schlüsselwechsel.