Cơ quan an ninh mạng quốc gia Ấn Độ cảnh báo một tác nhân đe dọa có sự hỗ trợ của AI đang đẩy mạnh các cuộc tấn công nhằm vào các sàn giao dịch tiền mã hóa và những doanh nghiệp tài chính khác, bao gồm đánh cắp khóa ví tiền mã hóa và rút tiền trái phép. Bản cập nhật do Đội Ứng cứu Khẩn cấp Máy tính Ấn Độ (CERT-In) ban hành nêu tên nhóm “CRAFTY FALCON” và cho biết chiến dịch này đang diễn ra, đồng thời ngày càng leo thang.

Thông báo hôm thứ Tư của CERT-In bổ sung chi tiết cho cảnh báo trước đó hồi tháng 10, trong đó nêu rõ các sàn giao dịch tiền mã hóa nằm trong số những mục tiêu bị ảnh hưởng. Cơ quan này cũng mô tả cách tác nhân kết hợp hoạt động do máy hỗ trợ để trinh sát với các kỹ thuật khai thác tự động, lợi dụng hệ thống của nạn nhân—chẳng hạn như các giao diện lập trình ứng dụng (API) thanh toán và giải ngân—để thực hiện chuyển tiền.

Những điểm chính

• Trong bản cập nhật cảnh báo hồi tháng 10, CERT-In đã xác định tác nhân đe dọa là “CRAFTY FALCON”, đồng thời nêu đích danh các sàn giao dịch tiền mã hóa là mục tiêu.

• Cơ quan này cho biết chiến dịch vẫn đang diễn ra, trong khi đơn vị ứng phó sự cố tài chính của CERT-In (CSIRT-Fin) tiếp tục nhận được báo cáo về các cuộc tấn công thành công.

• Theo CERT-In, những kẻ tấn công đã dùng công cụ AI để tạo và tinh chỉnh các tập lệnh tấn công, đồng thời khai thác các ứng dụng dễ bị tổn thương và môi trường thử nghiệm.

• CERT-In cho biết một số sự cố có liên quan đến việc đánh cắp khóa ví tiền mã hóa và rút sạch tiền trong ví.

• CERT-In kêu gọi các tổ chức có nguy cơ coi chiến dịch này là mối đe dọa đang diễn ra và tăng cường giám sát suốt ngày đêm vào cuối tuần và ngày lễ.

Vì sao bản cập nhật tập trung vào tiền mã hóa của CERT-In đáng chú ý

Dù các cuộc tấn công lừa đảo có hỗ trợ AI và tự động hóa đã được bàn luận rộng rãi trong giới an ninh mạng, cảnh báo mới nhất của CERT-In đáng chú ý vì không chỉ đề cập chung đến rủi ro trong lĩnh vực tài chính mà còn trực tiếp chỉ đích danh các sàn giao dịch tiền mã hóa. Điều này quan trọng với các đơn vị vận hành tiền mã hóa vì hệ thống giao dịch và lưu ký thường tích hợp nhiều thành phần—quản lý khóa, quy trình rút tiền, kiểm soát quyền truy cập ví và dịch vụ bên thứ ba—có thể tạo ra những con đường gây thiệt hại nghiêm trọng cho kẻ tấn công khi chúng đã xâm nhập được ban đầu.

CERT-In cho biết CSIRT-Fin tiếp tục nhận được báo cáo về các cuộc tấn công thành công, trong đó có những vụ nhắm vào các công ty tài chính phi ngân hàng (NBFC) và công ty công nghệ tài chính (fintech) đã nhận được các khuyến cáo hạn chế trước đó và được cho là đã thực hiện biện pháp khắc phục. Chi tiết này cho thấy các nỗ lực khắc phục có thể chưa vá hết những lỗ hổng cụ thể bị chiến dịch này khai thác, hoặc kẻ tấn công đang thích ứng với các thay đổi trong biện pháp phòng thủ.

Hoạt động “tốc độ máy móc” và lạm dụng API

CERT-In mô tả CRAFTY FALCON là một tác nhân đe dọa “khảo sát mục tiêu bằng trí tuệ máy móc” và hoạt động “ở tốc độ máy móc”. Khuyến cáo còn cho biết những kẻ tấn công “tấn công bằng cách gọi các API thanh toán và giải ngân của chính nạn nhân”, cho thấy việc xâm nhập không chỉ dừng ở đánh cắp dữ liệu mà còn có thể trực tiếp dẫn đến việc chuyển tiền trái phép.

Ngoài các sàn giao dịch, CERT-In liệt kê nhiều mục tiêu khác, bao gồm các đơn vị cho vay phi ngân hàng, nền tảng cho vay kỹ thuật số, công ty fintech, đơn vị tổng hợp thanh toán và nhà cung cấp dịch vụ. Mô hình này phù hợp với kiểu tấn công mà một khi đã thiết lập được chỗ đứng—thông qua lỗ hổng bị phơi lộ hoặc sử dụng trái phép thông tin xác thực—tội phạm có thể tái sử dụng các quy trình hợp lệ trong hệ thống doanh nghiệp.

Cơ quan này cũng cho biết những kẻ tấn công đã khai thác các ứng dụng dễ bị tổn thương và môi trường thử nghiệm bị phơi lộ, trong đó có việc dùng chung thông tin xác thực và mã thông báo truy cập để xâm nhập vào hệ thống vận hành thực tế. Song song đó, CERT-In cho biết những kẻ tấn công nhắm vào hạ tầng đám mây để triển khai tệp độc hại, cho thấy chuỗi xâm nhập có thể kết hợp các điểm yếu ở tầng ứng dụng với việc duy trì quyền truy cập ở tầng hạ tầng.

Công cụ AI làm thay đổi quy trình của kẻ tấn công như thế nào

Khuyến cáo của CERT-In nhấn mạnh vai trò của các công cụ AI trong việc đẩy nhanh quá trình phát triển năng lực tấn công. Cơ quan này cho biết những kẻ tấn công dùng AI để nhanh chóng tạo và tinh chỉnh các tập lệnh tấn công, thậm chí còn dịch ngược mã ứng dụng để xây dựng các phương thức khai thác phù hợp với từng nạn nhân cụ thể.

Về mặt tác chiến, CERT-In cho biết một số cuộc tấn công được lên lịch vào cuối tuần và ngày lễ nhằm trì hoãn việc phát hiện—đây là cách làm đặc biệt đáng lo ngại trong môi trường tài chính, nơi nhân sự trực có thể giảm vào ngoài giờ làm việc. Cơ quan này cũng mô tả việc sử dụng các giao dịch thử nghiệm nhỏ để xác minh khả năng chuyển tiền trái phép trước khi tăng quy mô lên các khoản lớn hơn trong một số sự cố.

Những yếu tố này—tự động hóa, lặp lại nhanh chóng, tùy chỉnh mã và thử nghiệm chuyển tiền—giúp lý giải vì sao khuyến cáo cập nhật của CERT-In xác định mối đe dọa là đang diễn ra và leo thang. Ngay cả khi một tổ chức xử lý được một lỗ hổng, những kẻ tấn công có khả năng nhanh chóng điều chỉnh vẫn có nhiều cơ hội tìm ra con đường xâm nhập khác.

Đánh cắp khóa ví và những điều CERT-In chưa công bố

Trong bối cảnh hoạt động tiền mã hóa, CERT-In cho biết một số sự cố có liên quan đến việc đánh cắp khóa ví tiền mã hóa và rút cạn tiền trong ví. Tuy nhiên, cơ quan này không nêu tên sàn giao dịch tiền mã hóa cụ thể nào, cũng không định lượng thiệt hại.

Việc không nêu tên nạn nhân hay số liệu có thể khiến những người tham gia thị trường khó đánh giá trực tiếp mức độ phơi nhiễm. Dù vậy, cảnh báo đưa ra các dấu hiệu cụ thể về những điểm yếu có thể bị khai thác—chẳng hạn như biện pháp bảo vệ khóa yếu, phân tách không đầy đủ giữa môi trường thử nghiệm và môi trường vận hành, cũng như kiểm soát chưa chặt việc dùng lại thông tin xác thực và mã thông báo truy cập.

Cointelegraph cho biết họ đã liên hệ với CERT-In và một số công ty liên quan đến tiền mã hóa để xin bình luận, trong đó có CoinDCX, CoinSwitch, WazirX, ZebPay và Mudrex. Tài liệu nguồn không cung cấp thêm kết quả từ những yêu cầu này.

Hướng dẫn phòng thủ: giám sát trong những khoảng thời gian ít nhân sự trực

CERT-In khuyến nghị các tổ chức “coi chiến dịch này là mối đe dọa đang diễn ra và leo thang”. Định hướng được cơ quan này đề xuất tập trung vào việc cải thiện tư thế an ninh vận hành, trong đó có tăng cường giám sát an ninh suốt ngày đêm. CERT-In cũng kêu gọi tăng nhân sự trực và hạ ngưỡng cảnh báo trong các kỳ nghỉ, cuối tuần và những khoảng thời gian khác có ít nhân sự trực—những lúc mà theo CERT-In, kẻ tấn công có thể lên lịch hoạt động để tránh bị phát hiện sớm.

Khuyến cáo này nhấn mạnh thách thức lớn hơn mà cả lĩnh vực tài chính truyền thống lẫn hạ tầng tiền mã hóa đang phải đối mặt: các đội ngũ an ninh phải phản ứng nhanh hơn tốc độ dò tìm và thích ứng của kẻ tấn công. Trong một bài đưa tin trước đây, Cointelegraph đã trích lời Michael Coates, giám đốc an ninh thông tin của Solana Foundation, cho rằng lực lượng phòng thủ cần được tiếp cận những công cụ AI mạnh nhất vì kẻ tấn công cũng sẽ có chúng. Riêng Ari Redbord, trưởng bộ phận chính sách của TRM Labs, nói với Cointelegraph hồi tháng 7 rằng các phương thức tấn công có thể vượt xa phạm vi mà một cuộc kiểm toán an ninh đơn lẻ có thể bao quát khi mối đe dọa biến đổi.

Đối với nhà đầu tư và đơn vị vận hành, tín hiệu tiếp theo cần theo dõi là liệu hướng dẫn của CERT-In có dẫn đến những thay đổi cụ thể trong các biện pháp kiểm soát ở quy trình rút tiền và quản lý ví của sàn giao dịch hay không—đặc biệt là về quyền truy cập khóa, quyền hạn API, phân tách môi trường và tốc độ phát hiện bất thường trong các khoảng thời gian thiếu nhân sự trực vào cuối tuần và ngày lễ.

Bài viết này ban đầu được đăng với tiêu đề “Ấn Độ cảnh báo tin tặc dùng AI nhắm vào các sàn giao dịch tiền mã hóa trên diện rộng” trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tin tức tiền mã hóa, Bitcoin và các cập nhật về blockchain.