CERT-In Ấn Độ cảnh báo CRAFTY FALCON dùng AI tấn công sàn tài sản mã hóa và công ty tài chính, đánh cắp khóa ví và rút tiền với tốc độ máy móc.
Đội Ứng cứu Khẩn cấp Máy tính Ấn Độ (CERT-In) hôm thứ Tư cảnh báo một tác nhân đe dọa sử dụng AI đang leo thang tấn công các sàn giao dịch tài sản mã hóa và doanh nghiệp tài chính. Kẻ tấn công đánh cắp khóa ví và rút tiền trái phép. Cơ quan này lần đầu cảnh báo về chiến dịch vào tháng 10 và nay chính thức định danh tác nhân là “CRAFTY FALCON”. Bản khuyến cáo mới nêu đích danh các sàn tài sản mã hóa trong nhóm bị ảnh hưởng và mô tả chi tiết các công cụ tấn công ứng dụng AI.
Theo CERT-In, đây là mối đe dọa đang hiện hữu và tiếp diễn. Nhóm ứng cứu sự cố cho lĩnh vực tài chính (CSIRT-Fin) vẫn nhận được báo cáo về các cuộc tấn công thành công. Nạn nhân bao gồm cả các công ty tài chính phi ngân hàng (NBFC) và doanh nghiệp fintech đã nhận khuyến cáo hạn chế và đã khắc phục trước đó.
Chiến dịch nhắm vào nhiều đối tượng: tổ chức cho vay phi ngân hàng, nền tảng cho vay kỹ thuật số, công ty fintech, trung gian thanh toán, nhà cung cấp dịch vụ và sàn giao dịch tài sản mã hóa. CERT-In không nêu tên sàn nào bị ảnh hưởng và cũng không định lượng thiệt hại.
Tấn công qua chính API thanh toán của nạn nhân
CERT-In mô tả CRAFTY FALCON dùng AI để khảo sát mục tiêu, vận hành với “tốc độ máy móc” và ra tay bằng cách gọi trực tiếp API thanh toán, giải ngân của nạn nhân. Kẻ tấn công khai thác các ứng dụng có lỗ hổng và môi trường kiểm thử bị lộ ra ngoài. Chúng dùng thông tin xác thực và token truy cập dùng chung để xâm nhập hệ thống vận hành chính thức, đồng thời nhắm vào hạ tầng điện toán đám mây để triển khai tệp độc hại.
AI giúp kẻ tấn công tạo và tinh chỉnh mã tấn công nhanh chóng. Chúng còn dịch ngược mã nguồn ứng dụng để phát triển phương thức khai thác chuyên biệt. Nhiều cuộc tấn công được canh vào cuối tuần và ngày lễ để trì hoãn việc bị phát hiện. Trong một số vụ, kẻ tấn công thực hiện giao dịch thử giá trị nhỏ để xác nhận lệnh chuyển trái phép thành công, rồi mới chuyển các khoản lớn hơn. CERT-In cũng ghi nhận các trường hợp khóa ví tài sản mã hóa bị đánh cắp và ví bị rút cạn.
Cảnh báo này bổ sung thêm bằng chứng về xu hướng tin tặc dùng AI tấn công ngành tài chính. Hồi tháng 10, CrowdStrike báo cáo một kẻ tấn công chưa rõ danh tính đã dùng ARTEX, công cụ kiểm thử xâm nhập ứng dụng AI cũng được nêu trong khuyến cáo của CERT-In, cùng Claude Code và các mô hình AI khác để xâm nhập và đánh cắp dữ liệu của các công ty tài chính Hàn Quốc.
CERT-In khuyến nghị các tổ chức coi chiến dịch là đang diễn ra và leo thang. Cơ quan này đề nghị các đơn vị tăng cường giám sát an ninh suốt ngày đêm, bổ sung nhân sự trực và hạ ngưỡng cảnh báo vào dịp lễ, cuối tuần và những khung giờ ít người trực.
Giới chuyên gia cho rằng bên phòng thủ cũng phải được trang bị tương xứng. Ông Michael Coates, Giám đốc An ninh Thông tin của Solana Foundation, cho rằng các đội ngũ bảo mật chính danh cần được tiếp cận những mô hình AI mạnh nhất, bởi kẻ tấn công chắc chắn sẽ có công cụ đủ mạnh. Ông Ari Redbord, Trưởng bộ phận Chính sách của TRM Labs, nhận định kỹ thuật tấn công đang phát triển nhanh hơn khả năng bao quát của một đợt kiểm toán duy nhất lúc ra mắt sản phẩm. Ông kêu gọi rà soát bảo mật liên tục.
