CERT-In发布紧急警报:AI黑客窃取交易所钱包私钥

关键警报点名加密货币交易所

印度国家网络安全机构已升级对一个人工智能驱动的黑客组织的应对,该组织窃取加密货币钱包私钥,并从交易所和金融公司抽走资金。印度计算机应急响应小组(CERT-In)于11月4日发布针对该组织的警报,将其列为关键级别,代号CRAFTY FALCON,更新了10月首次披露的攻击活动。警报明确将加密货币交易所和虚拟资产服务商列入目标名单,此前名单已涵盖非银贷款机构、数字借贷平台、金融科技公司、支付聚合商及服务商。根据该警报,威胁处于活跃和持续状态,该机构的金融部门小组CSIRT-Fin持续收到成功攻击的报告,其中包括已经收到早期受限警报并完成整改的公司。文件描述了一个“利用机器智能侦察目标”的攻击者,通过触发受害者自身的支付和放款接口发起转账实施打击。攻击链始于利用存在漏洞的应用程序和暴露的测试环境;共享凭证和访问令牌随后将入侵者带入生产系统,同时云基础设施被用来部署恶意文件。一旦进入内部,该组织对应用程序代码进行逆向工程,构建定制化漏洞利用程序,并窃取保护平台持有资金的钱包私钥,然后将余额从数字钱包中转出。这些私钥是托管设置背后的根凭证,包括从单个助记词派生出多个地址的HD钱包结构。警报未点名任何受影响的交易所,也未给出损失数字。外部佐证存在:10月,网络安全公司CrowdStrike报告称,一个身份不明的攻击者对韩国金融公司使用了ARTEX(警报中同样点名的AI渗透测试工具)以及Claude Code和其他模型。

一卢比测试付款与AI工具

小额验证付款、公开AI工具和节假日时机构成CRAFTY FALCON的核心手法。在较大的未授权转账之前,攻击者会发送测试付款,有些低至1卢比,以确认通过受害者支付接口的转账路径有效。该机构发现攻击中使用了公开可用的AI工具,点名PentAGI和CyberStrikeAI,并表示这些工具可自主运行完整的攻击链,并根据目标响应调整载荷。时机经过精心选择:突袭安排在周末和节假日,此时监控人员稀少,且该组织对已根据早期受限警告采取行动的非银金融公司和金融科技公司再次发动攻击。警报未提及排灯节,但该节日恰逢11月8日星期日,形成节假日与周末叠加的值守空窗。CERT-In希望企业在此类窗口期增加人员并降低警报阈值。建议的控制措施具体明确:钱包私钥应存放在硬件安全模块或冷存储中,加密货币提现应要求多重签名批准,新添加收款人的冷静期应适用于所有支付系统。这些检查在资金转出前增加人工审核,可能拖慢部分合法的提现和放款。损失历史显示了成功抽资意味着什么。2024年7月,黑客从印度交易所WazirX窃取超过2.3亿美元;该平台在新加坡法院批准的重组下于2025年10月重新上线,符合条件的用户获得了约85%的已批准索赔。相比之下,Binance于10月29日表示,其63亿美元损失中约95%由自有储备承担。完整入侵指标仅以受限版本与金融公司共享,因此公开警报留下了成功入侵范围的不确定性。受影响贷款机构或交易所的披露将解答这一问题。

对加密货币交易所的明确点名,将一场始于金融科技的警告转变为对印度平台的托管考验,包括全天候保管客户私钥的AI钱包和现货交易平台。警报中的控制措施清单,硬件安全模块、多重签名提现和新收款人冷静期,指向企业合规后更慢但审计更完善的放款流程。谁承担抽资损失取决于资产负债表:WazirX的重组和Binance的储备兜底为行业设定了两种截然不同的恢复模板。警报对洗钱路径保持沉默,也未表明资金是否经过山寨币相关的混币器,受影响公司的披露将揭示此次攻击活动的真实代价。