Die nationale indische Cybersicherheitsbehörde, das Indian Computer Emergency Response Team (CERT‑In), hat am Mittwoch eine neue Warnung herausgegeben, in der davor gewarnt wird, dass ein KI-gestützter Bedrohungsakteur namens „Crafty Falcon“ seine Angriffe auf Kryptowährungs-Börsen und andere Finanzdienstleister intensiviert hat. Die Warnung, eine Aktualisierung einer im Oktober erstmals gemeldeten Kampagne, beschreibt den Einsatz von Machine-Learning-Tools durch die Gruppe für schnelle, automatisierte Angriffe, die zu gestohlenen Wallet-Schlüsseln und geleerten Kryptomitteln führten.

KI-gestützte Taktiken und Angriffssequenz

Laut der CERT‑In-Mitteilung nutzt Crafty Falcon KI-Penetrationstest-Tools wie ARTEX sowie große Sprachmodelle wie Claude Code, um potenzielle Ziele zu scannen, Anwendungscode zu reverse-engineern und maßgeschneiderte Exploits zu erstellen. Die Gruppe nutzt verwundbare Anwendungen, falsch konfigurierte Cloud-Infrastruktur und geteilte Zugangsdaten aus, um von Testumgebungen in Produktionssysteme überzugehen. KI-generierte Skripte ermöglichen es den Angreifern, „seine Ziele mit maschineller Intelligenz zu untersuchen, in Maschinengeschwindigkeit zu operieren und durch Aufruf der eigenen Zahlungs- und Auszahlungs-APIs des Opfers zuzuschlagen“, so die Behörde. In mehreren Fällen führten die Akteure kleine Testtransaktionen durch, um unbefugte Überweisungen zu bestätigen, bevor sie größere Abhebungen ausführten.

Umfang der Kampagne

Die Warnung listet Nicht-Bank-Kreditgeber, digitale Kreditplattformen, Fintech-Unternehmen, Zahlungsaggregatoren und Krypto-Börsen als betroffene Sektoren auf. Während CERT‑In keine spezifischen Börsen nannte oder den finanziellen Schaden offenlegte, bestätigte es, dass Wallet-Schlüssel kompromittiert und Mittel aus betroffenen Wallets abgezweigt wurden. Die Kampagne scheint Angriffe auf Wochenenden und Feiertage zu legen, um der Entdeckung zu entgehen, wenn das Sicherheitspersonal reduziert ist.

Industrielle Reaktion und Milderungsempfehlungen

CERT‑In rief die gefährdeten Einrichtungen dazu auf, die Kampagne als aktiv und eskalierend zu betrachten, und empfahl eine rund-um-die-Uhr-Sicherheitsüberwachung, mehr Personal und niedrigere Alarmgrenzen in Zeiten geringer Abdeckung. Die Behörde riet Unternehmen auch, Cloud-Konfigurationen zu härten, strenge Zugangsdaten-Hygiene durchzusetzen und Testumgebungen von der Produktion zu isolieren. Sicherheitsexperten stimmten der Warnung zu; Michael Coates von der Solana Foundation betonte die Notwendigkeit, dass Verteidiger Zugang zu den stärksten KI-Tools haben, während Ari Redbord von TRM Labs warnte, dass Angriffstechniken nun die Fähigkeit eines einzelnen Audits überfordern, Schritt zu halten.