L’India mette in guardia dagli hacker potenziati dall’IA che prendono di mira gli exchange di criptovalute a «velocità macchina»

L’agenzia nazionale indiana per la cybersicurezza ha avvertito che un attore delle minacce assistito dall’IA ha intensificato gli attacchi contro gli exchange di criptovalute e altre aziende finanziarie, sottraendo chiavi dei wallet e trasferendo illecitamente fondi.

Il Computer Emergency Response Team indiano (CERT-In) mercoledì ha designato l’attore delle minacce come «CRAFTY FALCON», in un aggiornamento della campagna di cui aveva avvertito per la prima volta a ottobre. L’ultimo avviso ha ora identificato esplicitamente gli exchange di criptovalute tra le aziende colpite e descritto in dettaglio l’uso di strumenti di attacco basati sull’IA. 

«La minaccia è attiva e in corso. CSIRT-Fin continua a ricevere segnalazioni di attacchi riusciti, anche da parte di NBFC ed entità fintech che avevano già ricevuto i precedenti avvisi ad accesso limitato e avevano intrapreso attività di bonifica», ha dichiarato il CERT-In. 

L’avvertimento si aggiunge alle prove dell’uso di strumenti di IA da parte degli hacker contro le istituzioni finanziarie. A ottobre, la società di cybersicurezza CrowdStrike ha riferito che un aggressore non identificato aveva utilizzato ARTEX, uno strumento di penetration testing basato sull’IA citato anch’esso nell’avviso del CERT-In, insieme a Claude Code e ad altri modelli di IA, per violare società finanziarie sudcoreane e sottrarre dati.

CRAFTY FALCON opera a «velocità macchina»

Il CERT-In ha dichiarato che l’attore delle minacce finanziarie assistito dall’IA «analizza i propri obiettivi con l’intelligenza delle macchine, opera a velocità macchina e colpisce invocando le API di pagamento e di erogazione della vittima».

La campagna ha preso di mira istituti di credito non bancari, piattaforme di prestito digitale, società fintech, aggregatori di pagamenti e fornitori di servizi, nonché exchange di criptovalute. 

Secondo il CERT-In, gli aggressori hanno sfruttato applicazioni vulnerabili e ambienti di test esposti, usando credenziali condivise e token di accesso per passare ai sistemi di produzione. Hanno inoltre preso di mira infrastrutture cloud per distribuire file dannosi. 

Gli strumenti di IA hanno aiutato gli aggressori a generare e perfezionare rapidamente gli script d’attacco. Gli aggressori hanno anche sottoposto a reverse engineering il codice delle applicazioni per sviluppare exploit mirati, mentre alcuni attacchi sono stati programmati per i fine settimana e i giorni festivi, così da ritardare il rilevamento. 

Correlato: Binance ricostruisce l’hack da 6,3 miliardi di dollari fino a falsi colloqui di lavoro e a uno strumento di IA compromesso

In alcuni incidenti, gli aggressori hanno utilizzato piccole transazioni di prova per convalidare trasferimenti non autorizzati prima di spostare somme più ingenti. Il CERT-In ha inoltre segnalato il furto di chiavi di wallet di criptovalute e il prosciugamento dei fondi dai wallet. 

L’agenzia non ha indicato alcun exchange di criptovalute colpito né quantificato le perdite. 

Cointelegraph ha contattato il CERT-In, CoinDCX, CoinSwitch, WazirX, ZebPay e Mudrex per un commento.

Il CERT-In ha consigliato alle entità di «trattare questa campagna come attiva e in fase di escalation», esortando le aziende a rischio a intensificare il monitoraggio della sicurezza 24/7, con un aumento del personale e soglie di allerta più basse durante festività, fine settimana e altre finestre di scarsa copertura. 

Michael Coates, chief information security officer della Solana Foundation, aveva già dichiarato a Cointelegraph che i team di sicurezza legittimi devono avere accesso ai più potenti strumenti di IA. 

«Dobbiamo assicurarci che i migliori modelli a nostra disposizione siano nelle mani dei difensori, perché gli aggressori avranno qualcosa di sufficientemente capace», ha affermato.

Ari Redbord, responsabile delle politiche di TRM Labs, aveva analogamente dichiarato a Cointelegraph a luglio che «le tecniche d’attacco si stanno muovendo più rapidamente di quanto possa tenere conto un singolo audit effettuato al momento del lancio», esortando a revisioni continue della sicurezza.

Rivista: Perché le più grandi aziende dell’IA chiedono improvvisamente di rallentare?