A agência nacional de cibersegurança da Índia alertou que um agente malicioso que usa inteligência artificial está intensificando os ataques contra corretoras de criptomoedas e outras empresas financeiras, incluindo o roubo de chaves de carteiras de criptomoedas e o esvaziamento não autorizado de fundos. O comunicado, divulgado pela Equipe Indiana de Resposta a Emergências de Computadores (CERT-In), identifica o grupo como “CRAFTY FALCON” e afirma que a campanha está ativa e se intensificando.
O comunicado da CERT-In divulgado na quarta-feira amplia um alerta anterior, de outubro, ao incluir explicitamente as corretoras de criptomoedas entre os alvos afetados. A agência também descreveu como o agente combina reconhecimento assistido por máquinas com técnicas automatizadas de exploração, usando sistemas das vítimas — como interfaces de programação de aplicações (APIs) de pagamento e desembolso — para realizar transferências.
Principais conclusões
A CERT-In identificou o agente de ameaça “CRAFTY FALCON” em uma atualização de seu alerta de outubro, nomeando agora explicitamente as exchanges de criptomoedas como alvos.
A agência afirma que a campanha está em andamento, e que a unidade de resposta a incidentes financeiros da CERT-In (CSIRT-Fin) continua recebendo relatos de ataques bem-sucedidos.
Segundo a CERT-In, os atacantes usaram ferramentas de IA para gerar e aperfeiçoar scripts de ataque e exploraram aplicações vulneráveis e ambientes de teste.
A CERT-In informou que chaves de carteiras de criptomoedas roubadas estiveram envolvidas em alguns incidentes, assim como o esvaziamento de fundos das carteiras.
A CERT-In instou as organizações em risco a tratar a campanha como ativa e a intensificar o monitoramento ininterrupto durante fins de semana e feriados.
Por que a atualização da CERT-In específica sobre criptomoedas é importante
Embora o phishing habilitado por IA e a automação tenham sido amplamente discutidos nos círculos de cibersegurança, o alerta mais recente da CERT-In se destaca por ir além do risco genérico para o setor financeiro e apontar diretamente para as exchanges de criptomoedas. Isso é importante para os operadores de criptoativos porque os sistemas de exchange e custódia costumam integrar vários componentes — gerenciamento de chaves, fluxos de saque, controles de acesso a carteiras e serviços de terceiros — que podem criar caminhos de alto impacto para os atacantes depois que conseguem o acesso inicial.
A CERT-In afirmou que a CSIRT-Fin continua recebendo relatos de ataques bem-sucedidos, inclusive contra empresas financeiras não bancárias (NBFCs) e fintechs que já haviam recebido alertas restritos anteriores e, segundo relatos, realizado ações corretivas. Esse detalhe sugere que as medidas corretivas talvez não tenham eliminado completamente as brechas específicas exploradas por esta campanha, ou que o atacante esteja se adaptando às mudanças defensivas.
Operações em “velocidade de máquina” e abuso de APIs
A CERT-In descreveu a CRAFTY FALCON como um agente de ameaça que “investiga seus alvos com inteligência de máquina” e opera “em velocidade de máquina”. O alerta também afirma que os atacantes “atacam invocando as próprias APIs de pagamento e desembolso da vítima”, indicando que o comprometimento não se limita à exfiltração — ele pode resultar diretamente em movimentações não autorizadas de fundos.
Além das exchanges, a CERT-In lista um amplo conjunto de alvos que inclui credores não bancários, plataformas de crédito digital, empresas fintech, agregadores de pagamentos e prestadores de serviços. Esse padrão é compatível com um modelo de ataque em que, uma vez estabelecido um ponto de apoio — por meio de vulnerabilidades expostas ou uso indevido de credenciais —, os criminosos podem reutilizar fluxos de trabalho legítimos dentro dos sistemas empresariais.
A agência também afirmou que os atacantes exploraram aplicações vulneráveis e ambientes de teste expostos, inclusive usando credenciais compartilhadas e tokens de acesso para chegar aos sistemas de produção. Paralelamente, a CERT-In declarou que os atacantes visaram a infraestrutura em nuvem para implantar arquivos maliciosos, sugerindo que a cadeia de intrusão provavelmente combina fragilidades na camada de aplicação com persistência no nível da infraestrutura.
Como as ferramentas de IA mudam o fluxo de trabalho dos atacantes
O alerta da CERT-In enfatiza que as ferramentas de IA ajudaram a acelerar o desenvolvimento de recursos de ataque. A agência afirma que os atacantes usaram IA para gerar e aperfeiçoar rapidamente scripts de ataque e até fizeram engenharia reversa do código de aplicações para criar exploits personalizados para vítimas específicas.
Do ponto de vista operacional, a CERT-In acrescentou que alguns ataques foram programados para fins de semana e feriados a fim de atrasar a detecção — uma abordagem particularmente preocupante em ambientes financeiros, onde a cobertura da equipe pode diminuir fora do horário comercial. A agência também descreveu o uso de pequenas transações de teste para validar transferências não autorizadas antes de aumentar os valores em alguns incidentes.
Esses elementos — automação, iteração rápida, adaptação do código e transferências de teste — ajudam a explicar por que o alerta atualizado da CERT-In caracteriza a ameaça como ativa e em escalada. Mesmo quando uma organização corrige uma vulnerabilidade, atacantes capazes de iterar rapidamente têm mais chances de encontrar caminhos alternativos.
Roubo de chaves de carteira e o que a CERT-In não revelou
No contexto das atividades com criptomoedas, a CERT-In informou que chaves de carteiras de criptomoedas roubadas e fundos retirados de carteiras estiveram envolvidos em alguns incidentes. No entanto, a agência não identificou nenhuma exchange de criptomoedas específica nem quantificou as perdas.
A ausência de vítimas identificadas e de valores pode dificultar a avaliação direta da exposição pelos participantes do mercado. Ainda assim, o alerta fornece indicadores concretos dos tipos de falhas que podem ser exploradas — como proteções fracas para as chaves, segregação insuficiente entre ambientes de teste e de produção e controle inadequado da reutilização de credenciais e de tokens de acesso.
A Cointelegraph informou que entrou em contato com a CERT-In e várias empresas relacionadas a criptoativos para solicitar comentários, incluindo CoinDCX, CoinSwitch, WazirX, ZebPay e Mudrex. O material de origem não forneceu informações sobre os resultados dessas solicitações.
Orientações defensivas: monitoramento durante períodos de cobertura reduzida
A CERT-In recomendou que as organizações “tratem esta campanha como ativa e em escalada”. As recomendações da agência se concentram em melhorar a postura de segurança operacional, inclusive com monitoramento de segurança reforçado e ininterrupto. A CERT-In também pediu aumento do efetivo e redução dos limiares de alerta durante feriados, fins de semana e outros períodos de cobertura reduzida — condições em que, segundo a agência, os atacantes podem ter programado suas atividades para evitar a detecção precoce.
O alerta ressalta um desafio mais amplo enfrentado tanto pelas finanças tradicionais quanto pela infraestrutura cripto: as equipes de segurança precisam ser capazes de responder mais rápido do que os atacantes conseguem sondar e se adaptar. Uma reportagem anterior da Cointelegraph incluiu comentários de Michael Coates, diretor de segurança da informação da Solana Foundation, que argumentou que os defensores precisam ter acesso às ferramentas de IA mais avançadas, pois os atacantes também terão. Separadamente, Ari Redbord, responsável por políticas da TRM Labs, disse à Cointelegraph em julho que os métodos de ataque podem superar o que uma única auditoria de segurança consegue abranger à medida que as ameaças evoluem.
Para investidores e operadores, o próximo sinal a observar é se as orientações da CERT-In levarão a mudanças concretas nos controles dos processos de saque das exchanges e de gerenciamento de carteiras — especialmente no que diz respeito ao acesso a chaves, às permissões de API, à separação de ambientes e à rapidez na detecção de anomalias durante as lacunas de cobertura nos fins de semana e feriados.
Este artigo foi publicado originalmente como Índia alerta que hackers que usam IA estão mirando exchanges de criptomoedas em larga escala no Crypto Breaking News — sua fonte confiável de notícias sobre cripto, Bitcoin e atualizações sobre blockchain.