La agencia indicó que la actividad continúa y que CSIRT-Fin sigue recibiendo reportes de ataques exitosos, incluso de entidades no bancarias y fintech que ya habían recibido avisos restringidos y aplicado medidas correctivas. Esa observación sugiere que haber respondido a una alerta previa no garantiza que una organización haya cerrado todas las vías de entrada. El organismo recomendó tratar la campaña como activa y en escalada, sin presentar el aviso como una evaluación de pérdidas totales.
El grupo habría apuntado a prestamistas no bancarios, plataformas de crédito digital, empresas fintech, agregadores de pagos y proveedores de servicios, además de exchanges cripto. La amplitud de los objetivos refleja que la campaña no depende de una sola clase de negocio, sino que busca organizaciones conectadas con pagos, desembolsos o infraestructura financiera. En el caso de los exchanges, el riesgo descrito incluye tanto el acceso no autorizado a sistemas como el robo de claves y el vaciado de wallets.
Cómo aprovechan la IA y las brechas técnicas
CERT-In describió a CRAFTY FALCON como un actor que examina objetivos con inteligencia de máquina, opera a velocidad de máquina y ejecuta ataques mediante las propias APIs de pagos y desembolsos de las víctimas. Esa táctica puede convertir una función legítima de transferencia en un canal para movimientos no autorizados cuando los atacantes consiguen acceso suficiente. La advertencia no afirma que todas las organizaciones afectadas hayan sufrido el mismo tipo de intrusión, pero sí identifica un patrón que aprovecha interfaces diseñadas para mover fondos.
Entre las vías de entrada mencionadas figuran aplicaciones vulnerables y entornos de prueba expuestos, además del uso de credenciales compartidas y tokens de acceso para avanzar hacia sistemas de producción. El paso desde un entorno de pruebas a uno operativo eleva el riesgo porque puede poner al alcance procesos y datos con impacto directo en las operaciones financieras. La agencia también reportó ataques a infraestructura en la nube para instalar archivos maliciosos, otro elemento que amplía la superficie que deben vigilar las empresas.
Las herramientas de IA ayudaron a generar y perfeccionar scripts de ataque con rapidez, mientras que los intrusos analizaron código de aplicaciones para preparar exploits ajustados a cada objetivo. La personalización puede acelerar la adaptación a fallas específicas, en lugar de limitar a los atacantes a técnicas genéricas. El aviso no atribuye cada intrusión a una herramienta concreta, pero describe el apoyo de sistemas de IA como parte del modo de operación de la campaña.
En algunos incidentes, los atacantes realizaron transacciones pequeñas de prueba para comprobar que podían ejecutar transferencias no autorizadas antes de mover sumas mayores. También programaron ciertos ataques durante fines de semana y feriados, cuando una cobertura reducida podría demorar la detección. La combinación de pruebas de bajo monto, automatización y horarios de menor vigilancia no demuestra por sí sola que todas las operaciones hayan seguido una secuencia idéntica, pero sí explica por qué la agencia pidió monitoreo continuo.
Impacto reportado y medidas recomendadas
La alerta registra el robo de claves de wallets de criptomonedas y fondos drenados desde algunas wallets, pero no ofrece cifras sobre el dinero perdido. Tampoco nombra a los exchanges afectados, por lo que no es posible determinar a partir del aviso qué plataformas sufrieron intrusiones ni comparar el impacto entre compañías. Cointelegraph indicó que había contactado a CERT-In y a CoinDCX, CoinSwitch, WazirX, ZebPay y Mudrex para pedir comentarios; el material disponible no recoge respuestas de esas entidades.
Ante la actividad que considera vigente, la agencia pidió a las organizaciones potencialmente expuestas reforzar la vigilancia de seguridad durante las 24 horas. También recomendó aumentar la dotación de personal y reducir los umbrales de alerta durante feriados, fines de semana y otros períodos con menor cobertura. El consejo aborda directamente los horarios que, según el aviso, algunos atacantes habrían elegido para retrasar la detección, aunque no sustituye la necesidad de corregir vulnerabilidades y controlar los accesos.
El debate sobre la seguridad con IA también incluye la capacidad de respuesta de los defensores. Michael Coates, director de seguridad de la información de Solana Foundation, había sostenido que los equipos legítimos de seguridad necesitan acceso a los modelos de IA más potentes, porque los atacantes dispondrán de herramientas suficientemente capaces. Su planteamiento destaca una tensión central: la misma tecnología que facilita automatizar y adaptar ataques también puede apoyar tareas de defensa, siempre que los equipos responsables cuenten con recursos adecuados.
Ari Redbord, responsable de políticas de TRM Labs, había advertido que las técnicas de ataque avanzan más rápido de lo que una auditoría única, realizada al lanzamiento, puede anticipar, y defendió las revisiones continuas de seguridad. En conjunto, esas observaciones apuntan a que la protección de exchanges y otras firmas financieras requiere vigilancia sostenida, no solo controles puntuales. La advertencia india, sin identificar víctimas ni cuantificar daños, deja claro que la campaña sigue bajo observación y que las empresas deben revisar tanto sus sistemas de producción como los entornos de prueba y sus credenciales.
Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.
ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.
diariobitcoin.com
