AI主導のハッカー集団CRAFTY FALCONが暗号通貨ウォレットとフィンテックAPIを流出、CERT-Inが警告

インドのサイバー機関CERT-Inによると、AI支援ハッカーグループが暗号通貨取引所からウォレットキーを盗んだ。同じグループはフィンテック決済システムを介して不正な送金も開始している。

同機関は11月4日の警告をクリティカルと評価し、攻撃者をCRAFTY FALCONと特定した。CERT-Inは、金融企業が引き続き攻撃の成功を報告していると述べている。

CRAFTY FALCONは企業の自社システムを悪用

CERT-Inの金融部門CSIRT-Finによると、資金は被害者自身の決済アプリケーションプログラミングインターフェース（API）を通じて移動される。

攻撃者は、経路が機能していることを確認するために、大規模な送金を実行する前にRs. 1などの少額のテスト送金を行う。暗号通貨取引所や仮想デジタル資産サービスプロバイダーも標的リストに含まれている。

勧告によると、攻撃者はこれらのプラットフォームからウォレットキーを盗み、暗号通貨ウォレットから資金を引き出した。CERT-Inは影響を受けた企業名を明かしておらず、損失総額も開示していない。

攻撃では、PentAGIやCyberStrikeAIを含む公開されているAIツールが使用されていた。同機関によると、これらのツールは攻撃チェーン全体を自動的に実行し、標的の応答に応じてペイロードを調整する。

さらに、このグループは、以前の制限付き警告に既に対応していた一部のノンバンク金融会社（NBFC）やフィンテック企業に再び侵入した。攻撃はまた、スタッフの監視が少ない休日や週末に合わせて行われた。

勧告ではディワリについて明示的に言及されていない。しかし、この祭りは11月8日日曜日にあたり、休日と週末の両方に該当する。CERT-Inは、企業がこうした期間中に人員を増やし、アラートしきい値を下げることを推奨している。

取引所ウォレットが流出した場合の損失負担は誰か

損失額は公開された勧告には含まれていないが、過去の取引所侵害事例はそのような損失がどのように処理されたかを示している。

2024年7月、ハッカーはインドの取引所WazirXから2億3000万ドル以上を盗んだ。取引所はシンガポール裁判所承認の再編のもと、2025年10月に業務を再開した。その後、適格ユーザーは承認された請求額の約85%を受け取った。

対照的に、Binanceは10月29日の63億ドルの損失の約95%を自己資金でカバーしたと述べている。

CERT-Inは暗号通貨プラットフォームに対し、ウォレットキーをハードウェアセキュリティモジュールまたはコールドカストディに保管するよう求めている。また、暗号通貨の引き出しにはマルチシグネチャ承認を、すべての決済システムにおける新規受益者にはクーリング期間を要求している。

マルチシグネチャ承認とクーリング期間は、資金が送金される前に追加の検証を導入するため、一部の引き出しや支払いが遅くなる可能性がある。

CERT-Inは、金融企業とのみ、制限付きバージョンの勧告で完全な侵害指標を共有している。影響を受けた貸付機関や取引所からの開示があれば、CRAFTY FALCONによる総窃取額が明らかになるだろう。