Indiens nationale Cybersicherheitsbehörde hat gewarnt, dass ein von KI unterstützter Angreifer seine Attacken auf Kryptowährungsbörsen und andere Finanzunternehmen verstärkt, darunter den Diebstahl von Schlüsseln für Kryptowährungs-Wallets und die unbefugte Abzweigung von Geldern. In der Mitteilung des indischen Computer Emergency Response Teams (CERT-In) wird die Gruppe „CRAFTY FALCON“ genannt. Außerdem heißt es, die Kampagne sei aktiv und nehme an Intensität zu.

Die am Mittwoch veröffentlichte Warnung von CERT-In ergänzt eine frühere Meldung aus dem Oktober, indem sie Krypto-Börsen ausdrücklich zu den betroffenen Zielen zählt. Die Behörde beschrieb auch, wie der Angreifer maschinengestützte Aufklärung mit automatisierten Ausnutzungstechniken kombiniert und Opfersysteme – etwa Programmierschnittstellen (APIs) für Zahlungs- und Auszahlungsprozesse – nutzt, um Überweisungen auszuführen.

Wichtigste Erkenntnisse

• CERT-In hat den Bedrohungsakteur „CRAFTY FALCON“ in einer Aktualisierung seiner Warnung vom Oktober benannt und Kryptowährungsbörsen nun ausdrücklich als Ziele aufgeführt.

• Die Behörde erklärt, dass die Kampagne weiterhin andauert und die Finanzvorfall-Reaktionseinheit von CERT-In (CSIRT-Fin) nach wie vor Meldungen über erfolgreiche Angriffe erhält.

• Laut CERT-In nutzten die Angreifer KI-Tools, um Angriffsskripte zu erstellen und zu verfeinern. Außerdem nutzten sie Schwachstellen in Anwendungen und Testumgebungen aus.

• CERT-In berichtete, dass bei einigen Vorfällen gestohlene Schlüssel für Kryptowährungs-Wallets eine Rolle spielten und Gelder aus Wallets abgezogen wurden.

• CERT-In forderte gefährdete Organisationen auf, die Kampagne als aktiv einzustufen und die Überwachung rund um die Uhr an Wochenenden und Feiertagen zu verstärken.

Warum das Krypto-spezifische Update von CERT-In wichtig ist

Während KI-gestütztes Phishing und Automatisierung in Cybersicherheitskreisen umfassend diskutiert wurden, ist die jüngste Warnung von CERT-In bemerkenswert, weil sie über allgemeine Risiken für den Finanzsektor hinausgeht und Kryptowährungsbörsen direkt ins Visier nimmt. Das ist für Krypto-Unternehmen wichtig, da Börsen- und Verwahrungssysteme oft mehrere Komponenten miteinander verknüpfen – Schlüsselverwaltung, Auszahlungsprozesse, Zugriffskontrollen für Wallets und Dienste von Drittanbietern. Sobald sich Angreifer erstmals Zugang verschafft haben, können dadurch Angriffspfade mit besonders schwerwiegenden Folgen entstehen.

CERT-In erklärte, dass CSIRT-Fin weiterhin Meldungen über erfolgreiche Angriffe erhält, darunter auch Vorfälle bei Nichtbanken-Finanzunternehmen (NBFCs) und Fintech-Unternehmen, die bereits frühere vertrauliche Empfehlungen erhalten und Berichten zufolge Abhilfemaßnahmen umgesetzt hatten. Das deutet darauf hin, dass diese Maßnahmen die konkreten Schwachstellen, die bei der Kampagne ausgenutzt wurden, möglicherweise nicht vollständig beseitigt haben – oder dass sich der Angreifer an die Abwehrmaßnahmen anpasst.

Operationen mit „Maschinengeschwindigkeit“ und API-Missbrauch

CERT-In beschrieb CRAFTY FALCON als Bedrohungsakteur, der seine Ziele „mit maschineller Intelligenz auskundschaftet“ und mit „Maschinengeschwindigkeit“ agiert. In der Warnung heißt es außerdem, die Angreifer würden „die Zahlungs- und Auszahlungs-APIs der Opfer aufrufen, um zuzuschlagen“. Das deutet darauf hin, dass sich der Angriff nicht auf das Abgreifen von Daten beschränkt, sondern unmittelbar zu unbefugten Geldtransfers führen kann.

Neben Börsen führt CERT-In eine breite Palette von Zielen auf, darunter Nichtbanken-Kreditgeber, digitale Kreditplattformen, Fintech-Unternehmen, Zahlungsaggregatoren und Dienstleister. Das Muster passt zu einem Angriffsmodell, bei dem Kriminelle nach dem Eindringen – etwa über offengelegte Schwachstellen oder den Missbrauch von Zugangsdaten – legitime Arbeitsabläufe innerhalb von Unternehmenssystemen für ihre Zwecke nutzen können.

Die Behörde erklärte außerdem, dass die Angreifer Schwachstellen in Anwendungen und offengelegte Testumgebungen ausnutzten. Dabei verwendeten sie unter anderem gemeinsam genutzte Zugangsdaten und Zugriffstoken, um in Produktionssysteme vorzudringen. CERT-In gab zudem an, dass die Angreifer Cloud-Infrastruktur ins Visier nahmen, um schädliche Dateien bereitzustellen. Das deutet darauf hin, dass die Angriffskette wahrscheinlich Schwächen auf Anwendungsebene mit einer dauerhaften Präsenz auf Infrastrukturebene verbindet.

Wie KI-Tools den Arbeitsablauf der Angreifer verändern

In seiner Warnung betont CERT-In, dass KI-Tools dazu beitrugen, die Entwicklung von Angriffsfähigkeiten zu beschleunigen. Die Angreifer nutzten KI laut der Behörde, um Angriffsskripte schnell zu erstellen und zu verfeinern. Außerdem rekonstruierten sie den Code von Anwendungen, um maßgeschneiderte Exploits für bestimmte Opfer zu entwickeln.

CERT-In ergänzte, dass einige Angriffe gezielt an Wochenenden und Feiertagen stattfanden, um die Erkennung zu verzögern – ein besonders besorgniserregendes Vorgehen in Finanzunternehmen, deren Personalbesetzung außerhalb der üblichen Arbeitszeiten geringer sein kann. Die Behörde berichtete auch, dass bei einigen Vorfällen zunächst kleine Testtransaktionen durchgeführt wurden, um unbefugte Überweisungen zu überprüfen, bevor größere Beträge transferiert wurden.

Diese Elemente – Automatisierung, schnelle Iteration, maßgeschneiderter Code und Testüberweisungen – erklären, warum CERT-In die Bedrohung in der aktualisierten Warnung als aktiv und eskalierend einstuft. Selbst wenn eine Organisation eine Schwachstelle behebt, finden Angreifer, die ihre Vorgehensweise schnell anpassen können, wahrscheinlich alternative Wege.

Diebstahl von Wallet-Schlüsseln und was CERT-In nicht offengelegt hat

Im Zusammenhang mit Kryptowährungen berichtete CERT-In, dass bei einigen Vorfällen gestohlene Schlüssel für Kryptowährungs-Wallets und daraus abgezogene Gelder eine Rolle spielten. Die Behörde nannte jedoch weder bestimmte Kryptobörsen noch bezifferte sie die Verluste.

Dass keine Opfer oder konkreten Zahlen genannt wurden, kann es Marktteilnehmern erschweren, ihre Gefährdung direkt einzuschätzen. Die Warnung enthält dennoch konkrete Hinweise auf ausnutzbare Sicherheitsmängel – etwa unzureichenden Schutz von Schlüsseln, eine unzureichende Trennung von Test- und Produktionsumgebungen sowie eine mangelhafte Kontrolle der Wiederverwendung von Zugangsdaten und Zugriffstoken.

Cointelegraph berichtete, dass man CERT-In und mehrere Unternehmen aus dem Kryptobereich um eine Stellungnahme gebeten habe, darunter CoinDCX, CoinSwitch, WazirX, ZebPay und Mudrex. Das Ausgangsmaterial enthielt keine weiteren Angaben zu den Ergebnissen dieser Anfragen.

Schutzmaßnahmen: Überwachung in Zeiten mit geringer Personalbesetzung

CERT-In riet Organisationen, „diese Kampagne als aktiv und eskalierend einzustufen“. Die Empfehlungen der Behörde zielen auf eine Verbesserung der betrieblichen Sicherheitslage ab, unter anderem durch eine verstärkte Sicherheitsüberwachung rund um die Uhr. CERT-In forderte außerdem, an Feiertagen, Wochenenden und in anderen Zeiten mit geringer Personalbesetzung mehr Personal einzuplanen und die Alarmschwellen herabzusetzen. Nach Angaben der Behörde könnten Angreifer ihre Aktivitäten gezielt auf solche Zeiträume gelegt haben, um einer frühzeitigen Erkennung zu entgehen.

Die Warnung unterstreicht eine größere Herausforderung für das traditionelle Finanzwesen und die Krypto-Infrastruktur gleichermaßen: Sicherheitsteams müssen schneller reagieren können, als Angreifer Schwachstellen untersuchen und ihre Vorgehensweise anpassen. In einer früheren Berichterstattung zitierte Cointelegraph Michael Coates, den Chief Information Security Officer der Solana Foundation, der argumentierte, dass Verteidiger Zugang zu den leistungsfähigsten KI-Tools benötigen, weil auch Angreifer sie nutzen werden. Im Juli sagte Ari Redbord, Leiter der Abteilung für Richtlinien bei TRM Labs, gegenüber Cointelegraph, dass sich Angriffsmethoden schneller weiterentwickeln können, als ein einzelnes Sicherheitsaudit sie erfassen kann.

Für Anleger und Betreiber kommt es nun darauf an, ob die Empfehlungen von CERT-In zu konkreten Änderungen der Sicherheitskontrollen in den Auszahlungs- und Wallet-Verwaltungsprozessen von Börsen führen – insbesondere beim Schlüsselzugriff, bei API-Berechtigungen, der Trennung von Umgebungen und der Geschwindigkeit, mit der Anomalien während der Überwachungslücken an Wochenenden und Feiertagen erkannt werden.

Dieser Artikel erschien ursprünglich unter dem Titel „India Warns AI-Driven Hackers Targeting Crypto Exchanges at Scale“ bei Crypto Breaking News – Ihrer vertrauenswürdigen Quelle für Krypto-Nachrichten, Bitcoin-News und Blockchain-Updates.