CERT-In warnt vor KI-gestützten Angriffen auf Krypto-Börsen

Indiens Computer Emergency Response Team (CERT-In) warnt in einer dringlichen Sicherheitsmeldung vor einer laufenden Cyberkampagne gegen Krypto-Börsen und Finanzinstitute. Hinter den Attacken steht eine Hackergruppe, die das Finanzeinsatzteam der Behörde (CSIRT-Fin) unter der Bezeichnung CRAFTY FALCON führt. Den Angreifern gelang es, in Plattformen für digitale Vermögenswerte einzudringen, private Wallet-Schlüssel zu erbeuten und Kundengelder abzuzweigen.

Die Warnung vom 4. November 2026 aktualisiert ein früheres Rundschreiben vom 9. Oktober, das unbefugte Geldtransfers über Zahlungs- und Auszahlungs-APIs thematisierte. CERT-In bestätigte, dass Dienstleister für virtuelle digitale Vermögenswerte und Krypto-Börsen zu den Geschädigten zählen; konkrete Opfer oder die Gesamthöhe der entwendeten Gelder nannte die Behörde in der Mitteilung jedoch nicht.

Die Kampagne erstreckt sich über den gesamten Finanzsektor und trifft Banken, Nicht-Bank-Finanzunternehmen, digitale Kreditplattformen, Fintechs sowie Zahlungsaggregatoren. Laut CERT-In wurden wiederholt Institute attackiert, die bereits vertrauliche Vorwarnungen erhalten und Gegenmaßnahmen ergriffen hatten – ein Beleg dafür, dass die Angreifer zurückkehren, sobald Bereinigungen unvollständig bleiben. Die Einbrüche erfolgten dabei gezielt an Wochenenden, Feiertagen und außerhalb der regulären Geschäftszeiten, wenn die betriebliche Überwachung geringer ausfällt.

Den ersten Zugriff verschaffen sich die Angreifer nach Angaben der Behörde über exponierte Test- und Staging-Umgebungen. Von dort aus dringen sie über gemeinsam genutzte Zugangsdaten, Token oder Netzwerkpfade in Produktionssysteme vor. Zudem schleuste die Gruppe über modifizierte Anwendungspakete unbefugte API-Befehle ein und missbrauchte Cloud-Dienste wie AWS Systems Manager und Lambda, um Schadcode direkt in administrative Workflows einzuspeisen.

Gängige Abwehrmaßnahmen wie IP-Allowlists wurden umgangen, indem die Angreifer ihren Datenverkehr über geteilte Fetcher-Pools von Drittanbietern leiteten. Vor dem eigentlichen Abzug größerer Guthaben über Abrechnungs- und Zahlungs-APIs testete die Gruppe die Transferrouten mit Kleinstbeträgen von teilweise nur einer Rupie.

Das Tempo und die Anpassungsfähigkeit der Kampagne führt CERT-In auf den Einsatz künstlicher Intelligenz zurück. In der Vorfallanalyse wies die Behörde offensive Sicherheitssoftware nach, darunter Tools wie ARTEX, PentAGI, Cairn und CyberStrikeAI. Diese Programme erzeugen maßgeschneiderte Skripte und Payloads, die sich dynamisch an die Schutzmaßnahmen des jeweiligen Ziels anpassen.

Um Krypto-Vermögenswerte abzusichern, fordert CERT-In die Dienstleister auf, private Schlüssel ausschließlich in Hardware-Sicherheitsmodulen oder im Cold Storage zu verwahren, Multi-Signatur-Freigaben für alle Auszahlungen vorzuschreiben und Transaktionsmuster auf Anomalien zu überwachen. Bei Verdacht auf eine Kompromittierung sollten die Schlüssel unverzüglich rotiert und forensische Prüfungen eingeleitet werden, um sicherzustellen, dass die Sicherheitslücken vollständig geschlossen sind.