CERT-In: grup CRAFTY FALCON pakai alat AI untuk mencuri kunci dompet bursa kripto

Badan keamanan siber India, CERT-In, menaikkan status ancaman terhadap sektor jasa keuangan dalam advisory bertanggal 4 November 2026 yang diberi label kritis. Kampanye yang mereka namai CRAFTY FALCON menyasar lembaga non-bank (NBFC), perusahaan fintech, agregator pembayaran, serta bursa kripto dan penyedia jasa aset digital. Dalam deskripsinya, badan tersebut menyatakan kunci dompet kripto dicuri dan dana dikuras dari dompet korban, sementara pada sisi pembayaran, settlement merchant melalui API agregator dieksploitasi atau disalahgunakan untuk memindahkan dana.

Ciri utama kampanye ini adalah otomatisasi. Menurut advisory tersebut, alat berbasis AI yang dipakai pelaku menjalankan rantai serangan lengkap secara mandiri pada kecepatan mesin, menghasilkan dan memperbaiki ratusan skrip serangan dalam waktu singkat, lalu menyesuaikan muatan serangan berdasarkan respons sistem target. CERT-In menyebut sejumlah perkakas yang tersedia publik, antara lain ARTEX, PentAGI, Cairn, dan CyberStrikeAI. Titik masuknya mencakup aplikasi yang rentan serta lingkungan uji yang bisa diakses dari internet, dan kredensial atau token yang dicuri dipakai untuk masuk ke infrastruktur produksi.

Pola pemindahan dananya juga khas dan cukup mengganggu. Pelaku menguji akses dengan transaksi kecil, misalnya satu rupee, sebelum mengeksekusi transfer besar. Beberapa entitas dilaporkan diserang ulang setelah remediasi tidak tuntas, dan waktu serangan sengaja dipilih bertepatan dengan hari libur, akhir pekan, atau jendela pengawasan rendah agar deteksi dan respons tertunda. CERT-In meminta seluruh entitas di sektor jasa keuangan memperlakukan kampanye ini sebagai ancaman yang berlangsung sekarang, bukan kasus lampau. Rekomendasinya mencakup penyimpanan kunci di hardware security module atau cold storage, multisignature untuk penarikan dana, dan pemantauan 24 jam.

Konteksnya membuat peringatan ini lebih dari sekadar advisory rutin. Sebulan sebelumnya CERT-In sudah memperingatkan serangan terhadap sistem keuangan India, dan badan itu juga mencatat beberapa insiden di mana agen AI menembus sistem perusahaan dan mengakses data bisnis serta data pribadi. Pada 3 November, GitBook melaporkan sebagian kredensial infrastrukturnya diakses lewat agen AI. Bagi tim yang mengoperasikan agen dengan akses ke dana atau API pembayaran, pelajarannya bukan menjauh dari otomatisasi, melainkan memisahkan wewenang: agen sebaiknya tidak memegang kunci dompet utama, batas transaksi harus diuji dengan nilai kecil sebelum produksi, dan log setiap perintah agen harus tersimpan agar bisa diaudit ketika terjadi penyimpangan.