L’agence nationale indienne de cybersécurité a averti qu’un acteur malveillant assisté par l’IA intensifie ses attaques contre les plateformes d’échange de cryptomonnaies et d’autres entreprises financières, notamment en dérobant les clés de portefeuilles de cryptomonnaies et en détournant des fonds sans autorisation. La mise à jour, publiée par l’équipe indienne d’intervention d’urgence informatique (CERT-In), désigne le groupe sous le nom de « CRAFTY FALCON » et indique que la campagne est en cours et s’intensifie.

L’avis publié mercredi par CERT-In revient sur une alerte antérieure datant d’octobre et cite explicitement les plateformes d’échange de cryptomonnaies parmi les cibles visées. L’agence a également décrit la manière dont l’acteur combine la reconnaissance assistée par machine à des techniques d’exploitation automatisées, en s’appuyant sur les systèmes des victimes — notamment les interfaces de programmation d’applications (API) de paiement et de versement — pour effectuer des transferts.

Principaux points à retenir

• Dans une mise à jour de son avertissement d’octobre, CERT-In a désigné l’acteur malveillant « CRAFTY FALCON », en nommant explicitement les plateformes d’échange de cryptomonnaies parmi ses cibles.

• L’agence indique que la campagne est toujours en cours et que l’unité de réponse aux incidents financiers de CERT-In (CSIRT-Fin) continue de recevoir des signalements d’attaques réussies.

• Selon CERT-In, les attaquants ont utilisé des outils d’IA pour générer et affiner des scripts d’attaque, et ont exploité des applications vulnérables ainsi que des environnements de test.

• CERT-In a signalé que des clés de portefeuilles de cryptomonnaies volées étaient impliquées dans certains incidents, ainsi que des ponctions de fonds dans des portefeuilles.

• CERT-In a exhorté les organisations exposées à considérer la campagne comme étant en cours et à renforcer la surveillance 24 heures sur 24, y compris les week-ends et les jours fériés.

Pourquoi la mise à jour de CERT-In sur les cryptomonnaies est importante

Bien que l’hameçonnage assisté par l’IA et l’automatisation fassent largement débat dans les milieux de la cybersécurité, le dernier avertissement de CERT-In se distingue, car il dépasse le risque générique pour le secteur financier et désigne directement les plateformes d’échange de cryptomonnaies. C’est important pour les opérateurs crypto, car les systèmes d’échange et de conservation intègrent souvent plusieurs composants — gestion des clés, processus de retrait, contrôles d’accès aux portefeuilles et services tiers — qui peuvent offrir aux attaquants des voies d’accès aux conséquences majeures une fois qu’ils ont obtenu un premier accès.

CERT-In a déclaré que CSIRT-Fin continuait de recevoir des signalements d’attaques réussies, notamment contre des sociétés financières non bancaires (NBFC) et des entreprises fintech qui avaient déjà reçu de précédents avis à diffusion restreinte et auraient mis en œuvre des mesures correctives. Ce détail laisse penser que ces mesures n’ont peut-être pas entièrement comblé les failles précises exploitées dans cette campagne, ou que l’attaquant s’adapte aux changements apportés aux défenses.

Des opérations à la « vitesse d’une machine » et l’abus des API

CERT-In a décrit CRAFTY FALCON comme un acteur malveillant qui « surveille ses cibles à l’aide de l’intelligence machine » et opère « à la vitesse d’une machine ». L’avis affirme également que les attaquants « frappent en invoquant les propres API de paiement et de décaissement de la victime », ce qui indique que la compromission ne se limite pas à l’exfiltration : elle peut se traduire directement par des transferts de fonds non autorisés.

Outre les plateformes d’échange, CERT-In recense un large éventail de cibles, notamment des prêteurs non bancaires, des plateformes de prêt numérique, des entreprises fintech, des agrégateurs de paiements et des prestataires de services. Ce schéma correspond à un modèle d’attaque dans lequel, une fois un point d’ancrage établi — au moyen de vulnérabilités exposées ou de l’utilisation abusive d’identifiants —, les criminels peuvent détourner des processus légitimes au sein des systèmes d’entreprise.

L’agence a également indiqué que les attaquants avaient exploité des applications vulnérables et des environnements de test exposés, notamment en utilisant des identifiants partagés et des jetons d’accès pour pénétrer dans les systèmes de production. Parallèlement, CERT-In a déclaré que les attaquants avaient ciblé des infrastructures cloud pour y déployer des fichiers malveillants, ce qui laisse penser que la chaîne d’intrusion combine probablement des faiblesses au niveau des applications et une persistance au niveau de l’infrastructure.

Comment les outils d’IA modifient le mode opératoire des attaquants

L’avis de CERT-In souligne que les outils d’IA ont contribué à accélérer le développement des capacités d’attaque. L’agence indique que les attaquants ont utilisé l’IA pour générer et affiner rapidement des scripts d’attaque, et même procédé à la rétro-ingénierie du code d’applications afin de créer des exploits sur mesure pour des victimes précises.

Sur le plan opérationnel, CERT-In a ajouté que certaines attaques avaient été programmées pendant les week-ends et les jours fériés afin de retarder leur détection — une approche particulièrement préoccupante dans le secteur financier, où les effectifs peuvent être réduits en dehors des heures ouvrées. L’agence a également décrit l’utilisation de petites transactions de test pour valider des transferts non autorisés avant de passer à des sommes plus importantes dans certains incidents.

Ces éléments — automatisation, itérations rapides, adaptation du code et transferts de test — aident à comprendre pourquoi l’avis actualisé de CERT-In présente la menace comme étant active et en aggravation. Même lorsqu’une organisation corrige une vulnérabilité, des attaquants capables d’itérer rapidement sont plus susceptibles de trouver d’autres voies d’accès.

Vol de clés de portefeuille et informations non communiquées par CERT-In

Dans le contexte des activités liées aux cryptomonnaies, CERT-In a indiqué que des clés de portefeuilles de cryptomonnaies volées et des fonds siphonnés de portefeuilles étaient en cause dans certains incidents. Toutefois, l’agence n’a nommé aucune plateforme d’échange crypto en particulier et n’a pas chiffré les pertes.

L’absence de victimes nommées et de chiffres peut compliquer l’évaluation directe de leur exposition par les acteurs du marché. L’avertissement fournit néanmoins des indications concrètes sur les types de défaillances susceptibles d’être exploitées : protections insuffisantes des clés, séparation inadéquate entre les environnements de test et de production, et contrôle insuffisant de la réutilisation des identifiants et des jetons d’accès.

Cointelegraph a indiqué avoir contacté CERT-In et plusieurs entreprises liées aux cryptomonnaies pour obtenir leurs commentaires, notamment CoinDCX, CoinSwitch, WazirX, ZebPay et Mudrex. Les sources ne fournissaient aucun résultat supplémentaire concernant ces demandes.

Conseils de défense : surveillance pendant les périodes de couverture réduite

CERT-In a conseillé aux organisations de « considérer cette campagne comme étant en cours et en aggravation ». Les recommandations de l’agence visent à renforcer la posture de sécurité opérationnelle, notamment en assurant une surveillance accrue 24 heures sur 24. CERT-In a également appelé à renforcer les effectifs et à abaisser les seuils d’alerte pendant les jours fériés, les week-ends et les autres périodes de couverture réduite — des moments auxquels, selon l’agence, les attaquants pourraient avoir synchronisé leurs activités pour éviter une détection précoce.

Cet avis met en lumière un défi plus général auquel sont confrontées les infrastructures financières traditionnelles et celles liées aux cryptomonnaies : les équipes de sécurité doivent pouvoir réagir plus vite que les attaquants ne peuvent sonder les systèmes et s’adapter. Dans un précédent article, Cointelegraph avait relayé les propos de Michael Coates, directeur de la sécurité de l’information de la Solana Foundation, qui estimait que les défenseurs devaient avoir accès aux outils d’IA les plus puissants, puisque les attaquants y auraient eux aussi accès. Par ailleurs, Ari Redbord, responsable des politiques chez TRM Labs, a déclaré à Cointelegraph en juillet que les méthodes d’attaque pouvaient évoluer plus vite que ce qu’un audit de sécurité unique pouvait couvrir, à mesure que les menaces évoluent.

Pour les investisseurs et les opérateurs, le prochain signe à surveiller sera de voir si les recommandations de CERT-In entraînent des changements concrets dans les contrôles des processus de retrait et de gestion des portefeuilles des plateformes d’échange — notamment en matière d’accès aux clés, d’autorisations des API, de séparation des environnements et de rapidité de détection des anomalies lorsque la couverture est réduite les week-ends et les jours fériés.

Cet article a d’abord été publié sous le titre « L’Inde avertit que des pirates utilisant l’IA ciblent les plateformes d’échange crypto à grande échelle » sur Crypto Breaking News, votre source fiable d’actualités crypto, Bitcoin et blockchain.