CRAFTY FALCON: AI-група викрадає приватні ключі криптобірж і фінтех-компаній Індії
Індійське агентство CERT-In попередило про групу хакерів CRAFTY FALCON, яка з використанням штучного інтелекту викрадає приватні ключі гаманців криптобірж і фінтех-платформ. Попередження від 4 листопада агентство класифікувало як критичне.
Як група використовує платіжні інструменти жертв
Підрозділ CERT-In для фінансового сектора CSIRT-Fin пояснює, що для виведення активів зловмисники застосовують API платіжних застосунків самих жертв.
Перед великими операціями вони надсилають тестові платежі, наприклад на 1 рупію, щоб перевірити, чи працює платіжний маршрут. Серед цілей — криптобіржі, провайдери послуг з віртуальними цифровими активами та провідні гравці галузі.
- Викрадення приватних ключів гаманців з низки платформ
- Несанкціоноване вилучення активів із криптогаманців
- Атаки на небанківські фінансові компанії (NBFC) і фінтех-платформи, які раніше посилили заходи безпеки
Які AI-інструменти використовують зловмисники
Фахівці агентства зафіксували застосування відкритих AI-інструментів PentAGI та CyberStrikeAI. Вони автономно проходять весь цикл атаки і підлаштовують шкідливе навантаження під реакцію цільових систем.
Атаки часто приурочують до святкових або вихідних днів, коли моніторингу працює менше людей. Хоча CERT-In прямо не називає Дівалі, це свято припадає на неділю, 8 листопада, тобто одночасно на вихідний і святковий період.
Скільки відшкодовують біржі після компрометації
CERT-In не оприлюднює перелік постраждалих організацій і орієнтовні обсяги втрат. Для порівняння можна взяти попередні випадки з біржами.
| Біржа | Подія | Обсяг збитків | Відшкодування |
|---|---|---|---|
| WazirX | Викрадення у липні 2024 року | понад $230 млн | близько 85% затверджених вимог після відновлення роботи за планом реструктуризації під супроводом сінгапурського суду |
| Binance | Компрометація 29 жовтня | $6,3 млрд | приблизно 95% збитків покрито з власних резервів |
Рекомендації CERT-In для платформ
Агентство радить зберігати приватні ключі в апаратних модулях безпеки або в холодному сховищі. Також воно наполягає на мультипідписі для підтвердження транзакцій і на періодах заморожування після додавання нових одержувачів у всіх платіжних системах.
Повний перелік індикаторів компрометації CERT-In публікує лише для фінансових установ, у закритій версії інструкції.
Що це означає для ринку
Атаки йдуть через інфраструктуру платежів самих платформ, тож захист ключів і контроль виводів стають постійною частиною операційних витрат бірж.
Мультипідпис і періоди затримки додають контрольні етапи перед виведенням коштів. Вони можуть уповільнювати окремі виведення та виплати клієнтам, і це варто враховувати учасникам ринку.
Точний масштаб втрат від нових атак не відомий, бо постраждалі сторони їх поки не розкривають. Оцінити вплив на ринок у цілому поки складно.
Примітка редакції: Точний обсяг втрат від атак CRAFTY FALCON у джерелі не названо; суми в статті стосуються попередніх випадків WazirX і Binance.
Примітка редакції: Частки відшкодування в джерелі орієнтовні: WazirX — близько 85%, Binance — приблизно 95% від збитків $6,3 млрд.
Часті питання
Хто стоїть за групою CRAFTY FALCON?
Джерело не називає учасників групи. Відомо лише кодову назву CRAFTY FALCON, яку ідентифікувало CERT-In. Агентство повідомляє, що група використовує відкриті AI-інструменти PentAGI та CyberStrikeAI, а її цілями стають криптобіржі, провайдери послуг з віртуальними активами та небанківські фінансові компанії в Індії.
Як хакери виводять кошти з криптобірж?
Група використовує API платіжних застосунків самих жертв. Перед великими транзакціями вона надсилає тестові платежі, наприклад на 1 рупію, щоб перевірити працездатність маршруту. Після викрадення приватних ключів гаманців кошти виводяться з криптогаманців несанкціоновано.
Як криптобіржам захиститися від таких атак?
CERT-In радить зберігати приватні ключі в апаратних модулях безпеки або в холодному сховищі. Також рекомендовано запровадити мультипідпис для транзакцій і період заморожування після додавання нових одержувачів. Під час свят і вихідних варто розширювати черговий персонал і знижувати пороги сповіщень.
Джерела
