La agencia nacional de ciberseguridad de India, el Equipo de Respuesta a Emergencias Informáticas de la India (CERT‑In), emitió un nuevo aviso el miércoles advirtiendo que un actor de amenazas asistido por IA conocido como “Crafty Falcon” ha intensificado los ataques a exchanges de criptomonedas y otros proveedores de servicios financieros. El aviso, una actualización de una campaña señalada por primera vez en octubre, describe el uso de herramientas de aprendizaje automático por parte del grupo para llevar a cabo asaltos rápidos y automatizados que han resultado en el robo de claves de billeteras y el vaciado de fondos cripto.

Tácticas mejoradas con IA y cadena de ataque

Según el aviso de CERT‑In, Crafty Falcon aprovecha herramientas de pruebas de penetración con IA como ARTEX, junto con modelos de lenguaje de gran escala como Claude Code, para escanear objetivos potenciales, ingeniería inversa de código de aplicaciones y crear exploits a medida. El grupo explota aplicaciones vulnerables, infraestructura en la nube mal configurada y credenciales compartidas para pasar de los entornos de prueba a los sistemas de producción. Los scripts generados por IA permiten a los atacantes “sondear sus objetivos con inteligencia de máquina, operar a velocidad de máquina y atacar invocando las propias APIs de pago y desembolso de la víctima”, dijo la agencia. En varios casos, los actores realizaron pequeñas transacciones de prueba para confirmar transferencias no autorizadas antes de ejecutar retiros más grandes.

Alcance de la campaña

El aviso enumera a prestamistas no bancarios, plataformas de préstamos digitales, empresas de fintech, agregadores de pagos y exchanges de cripto como sectores afectados. Aunque CERT‑In no nombró exchanges específicos ni reveló el impacto monetario, confirmó que las claves de las billeteras han sido comprometidas y que se han desviado fondos de las billeteras afectadas. La campaña parece programar los ataques para fines de semana y días festivos, con el objetivo de evadir la detección cuando el personal de seguridad se reduce.

Respuesta de la industria y guía de mitigación

CERT‑In instó a las entidades en riesgo a tratar la campaña como activa y en escalada, recomendando monitoreo de seguridad las 24 horas, aumento del personal y reducción de los umbrales de alerta durante las ventanas de baja cobertura. La agencia también aconsejó a las empresas fortalecer las configuraciones en la nube, aplicar una higiene estricta de credenciales y aislar los entornos de prueba de la producción. Expertos en seguridad respaldaron la advertencia; Michael Coates de la Solana Foundation enfatizó la necesidad de que los defensores accedan a las herramientas de IA más potentes, mientras que Ari Redbord de TRM Labs advirtió que las técnicas de ataque ahora superan la capacidad de una sola auditoría para mantenerse al día.