India alerta de CRAFTY FALCON, una campaña asistida por IA que también apunta a plataformas cripto

Una alerta financiera que incluye a empresas cripto

CERT-In, la agencia india de respuesta a incidentes informáticos, publicó el 4 de noviembre una alerta crítica sobre una campaña financiera asistida por inteligencia artificial. Su equipo especializado CSIRT-Fin denomina al actor CRAFTY FALCON. El aviso incluye expresamente a plataformas de intercambio de criptomonedas y proveedores de servicios de activos digitales, junto con fintechs, prestamistas digitales y empresas de pagos. Describe la amenaza como activa y persistente, sin identificar públicamente una plataforma cripto afectada ni cuantificar sus pérdidas.

La publicación actualiza una advertencia del 9 de octubre. Según la agencia, algunas entidades ya informadas y que habían iniciado correcciones sufrieron nuevos ataques tras una remediación incompleta. Los períodos de vigilancia reducida, como fines de semana y festivos, figuran entre las ventanas buscadas. Para el lector, anunciar una corrección no demuestra por sí solo el fin de un incidente. Esta observación se refiere a la campaña descrita por CERT-In y no permite atribuir a ese actor todos los ataques financieros recientes.

Los accesos técnicos importan tanto como los monederos

El aviso relaciona intrusiones con entornos de pruebas insuficientemente separados de producción, credenciales compartidas y abuso de herramientas cloud o interfaces de aplicaciones. También menciona el robo de claves de monederos cripto. La agencia observa variantes de scripts adaptadas rápidamente a las respuestas de los sistemas, un comportamiento que vincula con herramientas de IA. Por tanto, el problema supera el contrato inteligente: accesos administrativos, aplicaciones y servicios de pago pueden exponer fondos antes de que una transferencia llegue a una blockchain.

CERT-In pide reforzar la vigilancia continua, aislar entornos técnicos y limitar los permisos a las necesidades reales. En pagos, recomienda validaciones del lado del servidor y seguimiento de operaciones inusuales, como pequeños importes enviados a un nuevo beneficiario seguidos de transferencias elevadas. Son controles complementarios. Una dirección de red autorizada no demuestra por sí sola que una instrucción procede del usuario correcto ni que una transacción respeta las reglas del servicio.

La corrección exige verificaciones continuadas

Para las empresas cripto, las recomendaciones incluyen protección física de claves o custodia en frío, varias firmas para retiradas y detección de anomalías. No garantizan la ausencia de pérdidas. Ante una posible intrusión, la agencia pide conservar registros y pruebas, aislar los sistemas afectados y renovar las credenciales expuestas. La comprobación debe establecer que se ha eliminado el acceso del atacante y continuar con búsquedas periódicas de señales de persistencia.

La parte pública del aviso no incluye todos los indicadores técnicos detallados, compartidos de forma restringida con las entidades correspondientes. Aun así, transmite un mensaje operativo claro: bloquear algunas direcciones o corregir una sola debilidad puede dejar otros accesos abiertos. Para los usuarios, el aviso no prueba una caída general de las plataformas ni una intrusión en su cuenta. Documenta una campaña concreta y subraya la responsabilidad de los operadores de proteger sus infraestructuras y procedimientos de transferencia.