印度国家网络安全机构升级警告：针对加密货币交易所的AI辅助黑客活动
印度国家网络安全机构已发出升级警告，指出一场由其称为“积极针对金融服务行业——包括加密货币交易所”的AI辅助黑客活动正在持续。印度计算机应急响应小组（CERT-In）于周三将威胁行为体命名为“CRAFTY FALCON”，并延续了其在今年10月首次发布的威胁活动更新。
在其最新发布的 advisory 中，CERT-In 表示已收到报告，确认此前受早期受限通知覆盖的组织遭到成功入侵，这些组织包括非银行金融机构（NBFC）、金融科技公司，以及现在的加密货币交易所。该机构并未点名具体的交易所或量化损失金额，但描述了攻击者如何将AI驱动的工具与直接交互受害者的支付和发放系统相结合。
核心要点
- CERT-In 已确认该活动主体为“CRAFTY FALCON”，并表示该威胁仍在活跃且呈升级态势。
- 受影响的企业类型明确包括加密货币交易所，此外还有非银行金融机构、金融科技公司和支付提供商。
- CERT-In 将关键战术归因于AI赋能的操作，包括更快的脚本生成和优化。
- 报告的入侵事件包括加密货币钱包密钥被盗和资金被未经授权地提取，但未提供受害者名单和具体总额。
- 该机构敦促各组织将此活动视为正在进行中的威胁，在周末和节假日期间加强监控和人员覆盖。
从受限警告到针对加密领域的升级
CERT-In 在10月的初步预警中指出了AI辅助的金融威胁，并建议采取补救措施。本周的更新范围更广，应用也更具体：它现在将加密货币交易所列为遭受攻击的企业类型之一。
在该机构的声明中，该威胁被描述为“活跃且持续进行中”，CERT-In 金融行业事件响应团队（CSIRT-Fin）继续收到成功攻击的报告。CERT-In 强调，一些受影响组织此前已收到过受限通告，并声称已采取补救措施——然而，入侵报告仍在不断出现。
这对加密运营商意义重大，因为它表明针对快速演变的攻击者剧本，现有的缓解措施可能效果有限。这也表明，监管机构和国家事件响应团队正将加密业务视为更广泛金融攻击面的一部分，而非一个独立的类别。
“机器速度”战术与利用路径
CERT-In 将“CRAFTY FALCON”描述为一个使用“机器智能”来调查目标、以“机器速度”运作，并通过调用受害者自身的支付和发放API进行打击的威胁行为体。这种表述具有重要意义：该运动似乎并非完全依赖暴力破解或纯粹的外部漏洞利用，而是旨在利用应用程序内部价值转移的方式。
该通告还指出，该活动针对了广泛的金融生态系统参与者，包括：
- 非银行借贷机构和数字借贷平台
- 金融科技公司
- 支付聚合商及相关服务提供商
- 加密货币交易所
CERT-In 表示，攻击者利用了有漏洞的应用程序并访问了暴露的测试环境。它还引用了常见的入侵促成因素，如用于访问生产系统的共享凭证和访问令牌。此外，攻击者还针对云基础设施部署恶意文件。
在操作层面，CERT-In 将攻击开发的速度与AI工具联系起来。该机构称，AI工具帮助攻击者快速生成和完善攻击脚本，同时攻击者还对应用程序代码进行了逆向工程以创建定制化的漏洞利用程序。CERT-In 进一步指出，部分攻击安排在周末和节假日进行——这一时机旨在当运营覆盖率通常较低时延迟检测。
攻击者如何验证转账并窃取钱包访问权限
CERT-In 最令人担忧的细节之一是，其报告称在某些事件中窃取了加密货币钱包密钥，并从钱包中提取了资金。该机构还描述了一种模式：攻击者在转移大额资金之前，先使用小额测试交易来确认未经授权的转账。
这种组合——测试未经授权的活动然后扩大规模——对加密企业尤其具有破坏性，因为它可以帮助攻击者识别内部控制、审批流程和监控阈值中的弱点。即使交易所配备了标准防御措施，该策略也可能被设计为将恶意活动融入预期的交易行为中。
然而，CERT-In 并未指明哪些交易所受到影响，也未提供损失估算。因此，读者应将此通告视为战术性威胁评估，而非将特定事件归因于特定平台。
AI工具在更广泛的金融威胁格局中
CERT-In 的警告与先前报道中看到的一个更广泛趋势相一致：对手越来越多地使用AI驱动的工具来加速发现和利用过程。
今年10月，网络安全公司CrowdStrike报告称，一名身份不明的攻击者使用了ARTEX——这是CERT-In早期通告中也提到的另一种AI渗透测试工具——以及Claude Code和其他AI模型，入侵了韩国金融机构并窃取数据。此前的报道也突出了安全从业人员的担忧：除非防御方能够获得同等能力的AI辅助安全工具，否则他们可能会落后于攻击者。
对于开发人员和安保团队而言，实际影响是直截了当的：AI采用现已成为进攻性和防御性工作流的一部分。CERT-In 的通告表明，如果攻击者战术不断变化，特别是当时间协调围绕人力资源覆盖缺口进行时，仅仅进行一次性的补救措施可能是不够的。
建议与展望
CERT-In 的建议旨在提高运营韧性。该机构建议各组织将该活动视为“活跃且升级中”，并敦促全天候加强安全监控。它还呼吁在周末、节假日和其他低覆盖率时段增加 staffing 并降低警报阈值。
展望未来，交易所和其他面向加密的金融服务提供商应密切关注CERT-In的进一步指导，特别是任何后续关于识别更多受影响实体或澄清哪些控制措施最能有效对抗“API调用”式入侵和钱包密钥盗窃的信息。在此之前，主要的未知数在于规模——发生了多少起事件，薄弱环节在哪里——以及“CRAFTY FALCON”在组织做出回应后的适应速度。
