CERT-In Индии выявило группировку CRAFTY FALCON, причастную к активной кампании кибератак с применением ИИ на криптовалютные биржи и финансовые компании.
Ведомство сообщило о краже ключей от криптокошельков и переводе средств, предупредив организации о необходимости усилить безопасность облачных сервисов, мониторинг API и защиту кошельков.
Индийское агентство по кибербезопасности CERT-In выпустило критическое предупреждение об активной хакерской кампании, нацеленной на криптовалютные биржи и финансовые учреждения. Злоумышленники используют инструменты искусственного интеллекта (ИИ), чтобы красть ключи от кошельков и переводить средства.
В предупреждении от 4 ноября под номером CIAD-2026-0058 Индийская группа реагирования на компьютерные чрезвычайные ситуации назвала злоумышленников «CRAFTY FALCON» и заявила, что атаки продолжают набирать обороты. Кампания также направлена против небанковских финансовых компаний (NBFC), цифровых кредитных платформ, финтех-компаний, платёжных агрегаторов и поставщиков платёжных услуг.
СРОЧНО: индийская CERT-In предупреждает, что хакеры, использующие ИИ, атакуют криптовалютные биржи, похищают ключи кошельков и выводят средства. Ведомство идентифицировало злоумышленников как «CRAFTY FALCON» и сообщило, что атаки продолжаются и набирают обороты. CERT-In призвала биржи усилить защиту и вести круглосуточный мониторинг. #CERTIn #CyberSecurity #Crypto #India
— TheNewsCrypto (@The_NewsCrypto) 5 ноября 2026 года
CERT-In сообщила, что её группа реагирования на инциденты в финансовом секторе CSIRT-Fin получила сведения об успешных атаках, в том числе на организации, которые уже были предупреждены и пытались устранить уязвимости. Некоторые из них атаковали повторно после неполного устранения проблем, а злоумышленники планировали операции на выходные и праздники, когда за системами может следить меньше сотрудников службы безопасности.
В ходе кампании выявлены четыре инструмента ИИ
В предупреждении перечислены четыре общедоступных инструмента, использовавшихся в атаках: ARTEX, PentAGI, Cairn и CyberStrikeAI. По данным CERT-In, эти инструменты могут автоматизировать последовательности атак, создавать и дорабатывать специализированные скрипты, а также менять методы в зависимости от реакции целевых систем. Злоумышленники также меняют IP-адреса вспомогательной инфраструктуры каждые несколько часов или дней, что затрудняет обнаружение атак.
Ведомство описало несколько методов проникновения в финансовые системы. Злоумышленники использовали доступные извне тестовые среды, злоупотребляли облачными сервисами и отправляли несанкционированные запросы к платёжным API через модифицированные приложения. В некоторых случаях они проводили небольшие тестовые платежи, в том числе на сумму всего ₹1, чтобы проверить, удастся ли совершить несанкционированные переводы, прежде чем попытаться вывести более крупные суммы.
(Источник: CERT-In)
CERT-In отдельно сообщила, что мишенями стали криптовалютные биржи и поставщики услуг с виртуальными цифровыми активами: злоумышленники похищали ключи кошельков и выводили из них средства. Однако в предупреждении не названы затронутые биржи и не раскрыт общий объём похищенного.
Ведомство призвало финансовые компании обеспечить круглосуточный мониторинг безопасности, усилить проверку транзакций и хранить ключи криптовалютных кошельков в аппаратных модулях безопасности или холодных хранилищах. Также оно рекомендовало использовать подтверждение вывода средств несколькими подписями и немедленно менять ключи при подозрении на компрометацию.