インドのサイバー機関CERT-Inは、AI支援型のハッカーグループが暗号資産取引所からウォレット鍵を盗み出したと発表した。同グループはフィンテック決済システムを通じて無断送金も行っている。
CERT-Inは、11月4日の警告レベルを「クリティカル」とし、攻撃主体を「CRAFTY FALCON」と名付けたと発表した。同機関によると、金融機関は引き続き被害を報告している。
CRAFTY FALCONはどのようにして企業のシステムを悪用するのか
CERT-Inの金融部門であるCSIRT-Finによると、同グループは被害企業自身のペイメントAPIを利用して送金を実行している。
大規模な送金の前に、攻撃者は1ルピーなどの小額送金でシステム経路が機能するかどうかを確認している。暗号資産取引所や仮想デジタル資産サービス事業者もターゲットとされている。
同機関のアドバイザリーによると、攻撃者はこれらのプラットフォームからウォレット鍵を盗み、暗号資産ウォレットから資金を持ち出したという。ただし、CERT-Inは被害を受けた企業名や流出額を明かしていない。
同機関は、攻撃で公開済みのAIツール（PentAGIやCyberStrikeAI）が使用されたことを確認した。これらのツールは攻撃チェーン全体を自律実行し、対象の応答に応じて攻撃内容を調整するという。
さらに、攻撃者は過去に制限警告を受けた一部のノンバンク金融会社やフィンテックにも再び侵入している。祝祭日や週末など、監視人員が少ないタイミングを狙った形だ。
CERT-InはDiwali（ディワリ）への言及は避けているが、同祭は11月8日の日曜日に当たるため、休日と週末が重なる日である。同機関は、こうした期間には人員増強や警戒水準の引き下げを企業に求めている。
取引所ウォレットが流出した場合の損失は誰が負担するのか
公開アドバイザリーは損失額に触れていないが、過去の取引所流出事例から補填の方法が明らかになっている。
2024年7月、インドの取引所ワジールXから2億3000万ドル超がハッキングで流出した。同取引所は2025年10月にシンガポールの裁判所承認の再建手続きにより再稼働し、対象ユーザーに認定請求額の約85％が支払われた。
一方、バイナンスは、10月29日に発生した63億ドルの損失のうち約95％を自社準備金で補填したと説明している。
CERT-Inは、暗号資産プラットフォームに対し、ウォレット鍵のハードウェアセキュリティモジュールやコールドカストディでの保管、暗号資産出金時のマルチシグ承認、ならびに全決済システムにおける新規受取人へのクーリング期間導入を推奨している。
マルチシグ承認やクーリング期間の導入により、送金までの検証段階が増えるため、一部の出金や払戻しが遅れる可能性がある。
CERT-Inは、インジケーター全体を金融機関限定で制限版アドバイザリーとして共有している。被害金融機関や取引所による公表があれば、CRAFTY FALCONによる被害総額が明らかになる見通しだ。
専門家や記者による詳細なインサイトはYouTubeチャンネルで配信中
