La agencia nacional de ciberseguridad de India advirtió que un actor de amenazas que utiliza inteligencia artificial está intensificando los ataques contra exchanges de criptomonedas y otras empresas financieras, incluido el robo de claves de monederos de criptomonedas y el vaciado no autorizado de fondos. La actualización, emitida por el Equipo de Respuesta ante Emergencias Informáticas de India (CERT-In), identifica al grupo como «CRAFTY FALCON» y señala que la campaña está activa y va en aumento.
La advertencia de CERT-In del miércoles amplía una alerta anterior de octubre al incluir explícitamente los exchanges de criptomonedas entre los objetivos afectados. La agencia también explicó cómo el actor combina el reconocimiento asistido por máquinas con técnicas de explotación automatizadas y utiliza los sistemas de las víctimas —como las interfaces de programación de aplicaciones (API) de pagos y desembolsos— para realizar transferencias.
Conclusiones clave
CERT-In identificó al actor de amenazas «CRAFTY FALCON» en una actualización de su advertencia de octubre, en la que ahora señala explícitamente a los exchanges de criptomonedas como objetivos.
La agencia afirma que la campaña sigue activa y que la unidad de respuesta a incidentes financieros de CERT-In (CSIRT-Fin) continúa recibiendo informes de ataques exitosos.
Según CERT-In, los atacantes utilizaron herramientas de IA para generar y perfeccionar scripts de ataque, y aprovecharon aplicaciones vulnerables y entornos de prueba.
CERT-In informó que en algunos incidentes se robaron claves de monederos de criptomonedas y se vaciaron fondos de monederos.
CERT-In instó a las organizaciones en riesgo a considerar que la campaña sigue activa y a aumentar la vigilancia permanente durante fines de semana y días festivos.
Por qué importa la actualización de CERT-In sobre las criptomonedas
Aunque en los círculos de ciberseguridad se ha hablado mucho del phishing habilitado por IA y de la automatización, la última advertencia de CERT-In es notable porque va más allá del riesgo genérico para el sector financiero y señala directamente a los exchanges de criptomonedas. Esto importa a los operadores de criptomonedas porque los sistemas de exchange y custodia suelen integrar varios componentes —gestión de claves, procesos de retiro, controles de acceso a monederos y servicios de terceros— que pueden abrir vías de ataque de gran impacto una vez que se obtiene el acceso inicial.
CERT-In afirmó que CSIRT-Fin sigue recibiendo informes de ataques exitosos, incluidos algunos contra compañías financieras no bancarias (NBFC) y empresas fintech que ya habían recibido avisos restringidos anteriormente y, según se informó, habían aplicado medidas correctivas. Este detalle sugiere que las medidas correctivas podrían no haber cerrado por completo las brechas concretas que explota esta campaña, o que el atacante está adaptándose a los cambios defensivos.
Operaciones a «velocidad de máquina» y abuso de API
CERT-In describió a CRAFTY FALCON como un actor de amenazas que «examina sus objetivos con inteligencia artificial» y opera «a velocidad de máquina». El aviso también afirma que los atacantes «atacan invocando las propias API de pago y desembolso de la víctima», lo que indica que el compromiso no se limita a la exfiltración: puede traducirse directamente en movimientos de fondos no autorizados.
Además de los exchanges, CERT-In enumera una amplia variedad de objetivos, entre ellos prestamistas no bancarios, plataformas de préstamos digitales, empresas fintech, agregadores de pagos y proveedores de servicios. El patrón coincide con un modelo de ataque en el que, una vez establecida una posición inicial —mediante vulnerabilidades expuestas o el uso indebido de credenciales—, los delincuentes pueden reutilizar flujos de trabajo legítimos dentro de los sistemas empresariales.
La agencia también afirmó que los atacantes aprovecharon aplicaciones vulnerables y entornos de prueba expuestos, incluso mediante el uso de credenciales compartidas y tokens de acceso para pasar a los sistemas de producción. Paralelamente, CERT-In indicó que los atacantes se dirigieron a la infraestructura en la nube para desplegar archivos maliciosos, lo que sugiere que la cadena de intrusión probablemente combina debilidades en la capa de aplicación con persistencia a nivel de infraestructura.
Cómo las herramientas de IA cambian el flujo de trabajo de los atacantes
El aviso de CERT-In destaca que las herramientas de IA contribuyeron a acelerar el desarrollo de capacidades de ataque. La agencia afirma que los atacantes utilizaron IA para generar y perfeccionar rápidamente scripts de ataque e incluso aplicaron ingeniería inversa al código de aplicaciones para crear exploits a medida para víctimas específicas.
En cuanto a las operaciones, CERT-In añadió que algunos ataques se programaron para fines de semana y días festivos a fin de retrasar su detección, una estrategia especialmente preocupante en el ámbito financiero, donde la cobertura del personal puede disminuir fuera del horario laboral. La agencia también describió el uso de pequeñas transacciones de prueba para validar transferencias no autorizadas antes de pasar a sumas mayores en algunos incidentes.
Estos elementos —automatización, iteración rápida, adaptación del código y transferencias de prueba— ayudan a explicar por qué el aviso actualizado de CERT-In presenta la amenaza como activa y en escalada. Aunque una organización corrija una vulnerabilidad, es más probable que los atacantes capaces de iterar rápidamente encuentren otras vías.
Robo de claves de monederos y lo que CERT-In no reveló
En el contexto de la actividad con criptomonedas, CERT-In informó que en algunos incidentes se robaron claves de monederos de criptomonedas y se vaciaron fondos de estos. Sin embargo, la agencia no identificó ningún exchange de criptomonedas en particular ni cuantificó las pérdidas.
La falta de nombres de víctimas y de cifras puede dificultar que los participantes del mercado evalúen directamente su exposición. Aun así, la advertencia ofrece indicadores concretos de los tipos de fallas que pueden aprovecharse, como protecciones débiles de las claves, una separación insuficiente entre los entornos de prueba y producción, y controles inadecuados sobre la reutilización de credenciales y los tokens de acceso.
Cointelegraph informó que se puso en contacto con CERT-In y con varias empresas relacionadas con las criptomonedas para solicitar comentarios, entre ellas CoinDCX, CoinSwitch, WazirX, ZebPay y Mudrex. El material de origen no incluyó información sobre resultados adicionales de esas solicitudes.
Recomendaciones de defensa: vigilancia durante los períodos de menor cobertura
CERT-In recomendó a las organizaciones «considerar que esta campaña sigue activa y en escalada». Las medidas que recomienda la agencia se centran en mejorar la postura de seguridad operativa, incluida una vigilancia de seguridad reforzada las 24 horas. CERT-In también pidió aumentar el personal y reducir los umbrales de alerta durante los días festivos, los fines de semana y otros períodos de baja cobertura, condiciones en las que, según la agencia, los atacantes podrían haber programado su actividad para evitar una detección temprana.
El aviso destaca un desafío más amplio al que se enfrentan tanto las finanzas tradicionales como la infraestructura cripto: los equipos de seguridad deben poder responder más rápido de lo que los atacantes pueden sondear y adaptarse. En una cobertura anterior, Cointelegraph incluyó comentarios de Michael Coates, director de seguridad de la información de la Fundación Solana, quien sostuvo que los defensores necesitan acceso a las herramientas de IA más potentes, porque los atacantes también las tendrán. Por otra parte, Ari Redbord, responsable de políticas de TRM Labs, dijo a Cointelegraph en julio que los métodos de ataque pueden superar lo que una sola auditoría de seguridad alcanza a cubrir a medida que evolucionan las amenazas.
Para los inversores y operadores, la próxima señal que conviene observar es si las recomendaciones de CERT-In se traducen en cambios concretos en los controles de los procesos de retiro de los exchanges y de gestión de monederos, especialmente en lo relativo al acceso a las claves, los permisos de API, la separación de entornos y la rapidez con que se detectan anomalías durante los períodos de menor cobertura de fines de semana y días festivos.
Este artículo se publicó originalmente con el título «India advierte que los hackers que usan IA atacan exchanges de criptomonedas a gran escala» en Crypto Breaking News, tu fuente de confianza de noticias sobre criptomonedas, Bitcoin y novedades de blockchain.