India avverte: hacker guidati dall’intelligenza artificiale assaltano gli exchange di criptovalute

Il Computer Emergency Response Team indiano (CERT-In) ha avvertito che un gruppo di attacco assistito da AI ha intensificato le operazioni contro piattaforme di scambio di criptovalute e altre aziende del settore finanziario, riuscendo a sottrarre chiavi di wallet e a trasferire fondi illecitamente.

In un aggiornamento relativo a una campagna già segnalata lo scorso ottobre, CERT-In ha attribuito l’attività al gruppo denominato CRAFTY FALCON, segnalando per la prima volta in modo esplicito l’interesse diretto verso gli exchange di criptovalute e documentando l’impiego di strumenti di attacco basati su AI.

CERT-In ha dichiarato:

“La minaccia è attiva e in corso. Il team di risposta CSIRT-Fin continua a ricevere segnalazioni di attacchi riusciti, incluse quelle da parte di NBFC e entità fintech che avevano già ricevuto avvisi riservati e avevano intrapreso azioni di mitigazione.”

Come opera il gruppo e quali obiettivi sceglie

Secondo l’analisi dell’agenzia, CRAFTY FALCON sfrutta l’intelligenza artificiale per mappare e analizzare rapidamente i bersagli, muovendosi a quello che viene definito “velocità macchina” e attaccando tramite le API di pagamento e di erogazione della vittima.

Le organizzazioni colpite comprendono prestatori non bancari (NBFC), piattaforme di prestito digitale, società fintech, aggregatori di pagamento, fornitori di servizi connessi e, in misura crescente, piattaforme di scambio di criptovalute.

Tecniche e strumenti utilizzati

I tecnici di CERT-In riferiscono che gli aggressori hanno sfruttato applicazioni vulnerabili, ambienti di test esposti, credenziali condivise e token di accesso per spostarsi verso sistemi di produzione. È stata inoltre compromessa infrastruttura cloud per distribuire file malevoli.

L’impiego di strumenti di AI ha permesso di generare e perfezionare rapidamente script d’attacco, mentre l’analisi inversa del codice delle applicazioni ha portato allo sviluppo di exploit su misura. Alcune operazioni sono state pianificate nei fine settimana o nei giorni festivi per rallentare il rilevamento.

In alcuni casi gli autori hanno effettuato piccole transazioni di prova per convalidare trasferimenti non autorizzati prima di prelevare importi maggiori; sono state inoltre segnalate sottrazioni di chiavi di wallet e svuotamenti di portafogli.

L’agenzia non ha specificato i nomi degli exchange coinvolti né ha fornito una quantificazione pubblica delle perdite complessive.

Raccomandazioni operative

CERT-In ha invitato le entità a considerare la campagna come attiva e in fase di escalation e a intensificare il monitoraggio della sicurezza 24 ore su 24, aumentando la presenza di personale e abbassando le soglie di allerta durante festività, weekend e altri periodi di copertura ridotta.

Tra le contromisure suggerite vi sono la protezione e il consolidamento degli ambienti di test, la rotazione e la gestione sicura di credenziali e token, il rafforzamento delle difese cloud e l’adozione di procedure di verifica per le transazioni sensibili.

Opinioni dal settore della sicurezza

Michael Coates, responsabile della sicurezza informatica della Solana Foundation, ha dichiarato:

“È fondamentale che i team di difesa abbiano accesso ai migliori modelli di intelligenza artificiale disponibili, perché anche gli attaccanti disporranno di strumenti potenzialmente altrettanto efficaci.”

Ari Redbord, responsabile policy di TRM Labs, ha affermato:

“Le tecniche d’attacco si evolvono più rapidamente di quanto possa coprire un singolo audit eseguito al momento del rilascio; è quindi necessario un controllo continuo della sicurezza.”

Contesto e potenziali conseguenze per il mercato

Gli episodi segnalati si inseriscono in un quadro più ampio di crescente instrumentalizzazione dell’AI da parte di attori criminali, che può tradursi in un aumento della frequenza e della sofisticazione degli attacchi finanziari. Per gli operatori di mercato e gli investitori, ciò implica un aumento del rischio operativo e reputazionale per le società esposte alle infrastrutture digitali non adeguatamente protette.

L’attenzione delle autorità e delle imprese sulla sicurezza delle infrastrutture cloud e delle interfacce di pagamento diventerà determinante per stabilizzare la fiducia degli utenti e degli investitori nel settore crypto e fintech.

Azioni consigliate per operatori italiani

Per le aziende italiane del settore fintech e per gli intermediari che offrono servizi connessi alle criptovalute è prioritario: effettuare penetration test continuativi, isolare ambienti di sviluppo e test, rafforzare la gestione delle chiavi crittografiche e implementare processi di risposta agli incidenti operativi che prevedano turni di controllo rafforzati nei periodi a rischio.

Inoltre, coordinare le attività con i fornitori cloud e con i centri di risposta agli incidenti, oltre a investire in formazione specialistica sulle minacce emergenti legate all’AI, contribuirà a ridurre la superficie d’attacco.

In sintesi

• Gli attacchi assistiti da AI alzano il livello di rischio operativo per gli exchange e le fintech: gli investitori dovrebbero incorporare questo rischio nelle valutazioni di portafoglio e nelle determinazioni del prezzo del rischio tecnologico.
• Per gli operatori italiani, rafforzare la governance delle chiavi e delle API e adottare controlli continui può ridurre la probabilità di perdite finanziarie e di interruzioni di servizio.
• Il mercato del capitale digitale potrebbe vedere una maggiore domanda di servizi di custodia e di assicurazioni cyber, creando opportunità per fornitori specializzati ma anche imponendo costi aggiuntivi alle startup del settore.