Krajowa agencja ds. cyberbezpieczeństwa Indii wydała formalne ostrzeżenie dla giełd kryptowalut i instytucji finansowych, informując je o nasilającej się kampanii hakerskiej wspieranej przez AI, która wykorzystuje słabości infrastruktury chmurowej, interfejsów API płatności i środowisk programistycznych do kradzieży kluczy do portfeli oraz przejmowania środków z zaatakowanych platform.

Indian Computer Emergency Response Team (CERT-In), rządowa agencja odpowiedzialna za reagowanie na incydenty cyberbezpieczeństwa i działająca pod nadzorem indyjskiego Ministerstwa Elektroniki i Technologii Informacyjnych, wskazała CRAFTY FALCON jako podmiot stojący za kampanią. W swoim komunikacie CERT-In wymienił cztery narzędzia ofensywnego bezpieczeństwa wspierane przez AI, wykorzystywane w atakach: ARTEX, PentAGI, Cairn i CyberStrikeAI.

Według agencji narzędzia te automatyzują rozpoznanie, generują niestandardowe skrypty ataków i dostosowują techniki w czasie rzeczywistym na podstawie reakcji atakowanych systemów — możliwości, które pozwalają hakerom przeprowadzać ataki z prędkością maszynową.

Wykorzystywane słabości

CERT-In zidentyfikował kilka podatności wykorzystywanych w ramach kampanii. Według komunikatu obejmują one:

• Ujawnione środowiska testowe połączone z systemami produkcyjnymi
• Skradzione dane uwierzytelniające
• Błędnie skonfigurowane usługi chmurowe
• Interfejsy API płatności akceptujące nieautoryzowane żądania

Środowiska testowe zazwyczaj mają słabsze zabezpieczenia niż systemy produkcyjne, dlatego każde połączenie między nimi może posłużyć jako punkt wejścia do działającej infrastruktury. W komunikacie opisano również, jak atakujący wykorzystują niewielkie transakcje testowe — w niektórych przypadkach o wartości zaledwie jednej rupii — aby sprawdzić, czy oszukańcze transfery zakończą się powodzeniem, zanim podejmą próbę większych wypłat. CERT-In odnotował także, że część ataków jest celowo przeprowadzana w weekendy i święta, gdy monitoring bezpieczeństwa może być ograniczony.

Cele i skutki

Według doniesień kampania była wymierzona w giełdy kryptowalut i dostawców usług związanych z wirtualnymi aktywami cyfrowymi, prowadząc do kradzieży kluczy do portfeli — kryptograficznych danych uwierzytelniających kontrolujących dostęp do zasobów cyfrowych — oraz opróżniania środków. W indyjskich regulacjach termin „wirtualne aktywa cyfrowe” jest pojęciem zbiorczym obejmującym kryptowaluty i porównywalne tokeny, dlatego komunikat bezpośrednio dotyczy krajowego sektora aktywów cyfrowych. W przeciwieństwie do przejętego hasła skradzionego klucza do portfela nie można po prostu zresetować, a transferów już wykonanych przy jego użyciu posiadacz nie może cofnąć — dlatego zalecenia w komunikacie koncentrują się przede wszystkim na zapobieganiu. CERT-In nie wskazał dotkniętych giełd ani nie ujawnił skali strat.

Zalecenia CERT-In

W przypadku instytucji, które odzyskują sprawność po incydencie, komunikat zaleca przeprowadzenie analiz kryminalistycznych w celu potwierdzenia, że włamanie zostało całkowicie usunięte, a następnie dalsze aktywne poszukiwanie zagrożeń.

Aby przeciwdziałać zagrożeniu, CERT-In zaleca dostawcom usług kryptowalutowych:

• Przechowywanie kluczy do portfeli w modułach bezpieczeństwa sprzętowego — odpornych na manipulację urządzeniach przeznaczonych do generowania i ochrony kluczy kryptograficznych — lub w zimnych portfelach, które utrzymują klucze całkowicie offline i poza zasięgiem systemów połączonych z internetem
• Wymaganie wielopodpisowych zatwierdzeń wypłat, tak aby żaden pojedynczy klucz nie mógł samodzielnie przetransferować środków
• Monitorowanie wzorców wypłat pod kątem nietypowej aktywności

W przypadku podejrzenia przejęcia klucze należy natychmiast poddać rotacji.

W szerszym ujęciu ostrzeżenie wskazuje na narastające wyzwanie związane z bezpieczeństwem firm kryptowalutowych, ponieważ AI obniża techniczne bariery wykrywania i wykorzystywania słabości infrastruktury, automatyzuje ataki i pozwala skalować działania jednocześnie na wiele celów. Wytyczne CERT-In obejmują wzmocnienie bezpieczeństwa chmury i interfejsów API, ciągły monitoring, sprzętową ochronę kluczy, zimne przechowywanie oraz wielopodpisowe zatwierdzanie wypłat dla instytucji i dostawców usług w całym sektorze aktywów cyfrowych.

Źródło: BitcoinKE, 6 listopada 2026 r. — Indie ujawniają, jak dochodzi do ataków hakerskich z wykorzystaniem AI