อินเดียเตือนแฮ็กเกอร์ CRAFTY FALCON ใช้ AI โจมตีกระดานเทรดคริปโตและฟินเทค พบกุญแจกระเป๋าถูกขโมย เงินถูกดูด
CERT-In หน่วยรับมือเหตุฉุกเฉินคอมพิวเตอร์แห่งชาติของอินเดีย ออกอัปเดตเตือนกลุ่มแฮ็กเกอร์ชื่อ CRAFTY FALCON ที่ใช้ AI โจมตีธุรกิจการเงินด้วยความเร็วระดับเครื่องจักร เป้าหมายรวมถึงกระดานเทรดคริปโตและฟินเทค และมีรายงานว่ากุญแจกระเป๋าคริปโตถูกขโมย พร้อมเงินที่ถูกดูดออกจากกระเป๋า ตามรายงานของ Cointelegraph ลงวันที่ 5 พฤศจิกายน 2569
CERT-In ออกอัปเดตนี้เมื่อวันพุธ ต่อจากคำเตือนเรื่องเดียวกันที่ออกไปแล้วเมื่อเดือนตุลาคม หน่วยงานระบุว่าภัยคุกคามนี้ยังดำเนินอยู่ และมีหน่วย CSIRT-Fin ที่ยังรับรายงานการโจมตีที่สำเร็จเข้ามาต่อเนื่อง รวมถึงจากผู้ให้กู้ที่ไม่ใช่ธนาคารและบริษัทฟินเทค ซึ่งเคยได้รับคำเตือนแบบจำกัดวงไปก่อนหน้าและแก้ไขระบบตามแล้ว
กลุ่ม CRAFTY FALCON โจมตีใครบ้าง
ตามที่ CERT-In ระบุ กลุ่มนี้ไม่ได้เล็งแค่กระดานเทรดคริปโต แต่ครอบคลุมธุรกิจการเงินหลายกลุ่ม ได้แก่
- ผู้ให้กู้ที่ไม่ใช่ธนาคาร
- แพลตฟอร์มปล่อยกู้ดิจิทัล
- บริษัทฟินเทค
- ผู้รวบรวมการชำระเงิน (payment aggregator)
- ผู้ให้บริการด้านเทคโนโลยีการเงิน
- กระดานเทรดคริปโต
ข้อสังเกตคือกระดานเทรดคริปโตเป็นเพียงหนึ่งในกลุ่มเป้าหมาย ขอบเขตของคำเตือนนี้จึงกว้างกว่าเรื่องคริปโตอย่างเดียว
วิธีโจมตีที่ CERT-In ระบุ
CERT-In อธิบายว่ากลุ่มนี้ใช้ AI สำรวจเป้าหมายและลงมือโจมตีด้วยความเร็วที่คนตามไม่ทัน โดยเริ่มจากหาจุดอ่อนของระบบ แล้วใช้ช่องทางของเหยื่อเองในการสั่งโอนเงิน รายละเอียดที่หน่วยงานเปิดเผยมีดังนี้
- เจาะแอปพลิเคชันที่มีช่องโหว่ และสภาพแวดล้อมสำหรับทดสอบระบบที่เปิดทิ้งไว้ให้เข้าถึงได้
- ใช้ข้อมูลล็อกอินและโทเคนเข้าถึงที่ใช้ร่วมกันหลายระบบ เพื่อเลื่อนจากระบบทดสอบเข้าไปยังระบบจริง
- โจมตีโครงสร้างพื้นฐานบนคลาวด์ เพื่อวางไฟล์อันตราย
- เรียกใช้ API ด้านการจ่ายเงินและการโอนเงินของเหยื่อเองในการสั่งโอน (API คือช่องทางที่ให้ระบบหนึ่งสั่งงานอีกระบบแบบอัตโนมัติ)
- ใช้ AI ช่วยเขียนและปรับสคริปต์โจมตีอย่างรวดเร็ว รวมถึงย้อนรหัสของแอปเพื่อทำช่องโจมตีให้เข้ากับเป้าหมายแต่ละราย
- เลือกลงมือช่วงสุดสัปดาห์และวันหยุด เพื่อให้ตรวจพบช้าลง
- บางเหตุการณ์โอนเงินจำนวนน้อยก่อนเพื่อทดสอบว่าโอนได้จริง แล้วค่อยโอนยอดใหญ่
รูปแบบการโอนทดสอบก่อนยอดจริงเป็นสิ่งที่ทีมความปลอดภัยของกระดานเทรดและผู้ให้บริการชำระเงินใช้ตั้งเกณฑ์แจ้งเตือนได้ เพราะธุรกรรมเล็กที่ผิดปกติมักมาก่อนการโอนก้อนใหญ่
กุญแจกระเป๋าและเงินที่ถูกดูด ยังไม่รู้ว่าของใคร
CERT-In รายงานว่ามีกุญแจกระเป๋าคริปโตถูกขโมยและเงินถูกดูดออกจากกระเป๋า แต่ในข่าวไม่ได้ระบุว่าเป็นกระเป๋าของใคร และ CERT-In ไม่ได้เปิดเผยชื่อกระดานเทรดที่ถูกโจมตี ทั้งไม่ได้ประเมินมูลค่าความเสียหายด้วย
Cointelegraph ติดต่อ CERT-In และกระดานเทรดของอินเดีย 5 แห่ง ได้แก่ CoinDCX, CoinSwitch, WazirX, ZebPay และ Mudrex เพื่อขอความเห็น ข่าวไม่ได้ระบุว่ากระดานเหล่านี้เป็นรายที่ถูกโจมตี จึงยังตีความไม่ได้ว่ารายใดได้รับผลกระทบ
AI ในมือแฮ็กเกอร์ มีกรณีอื่นที่ผ่านมา
Cointelegraph รายงานเพิ่มว่า บริษัทความปลอดภัยไซเบอร์ CrowdStrike เคยรายงานเมื่อเดือนตุลาคมว่า ผู้โจมตีที่ยังไม่ทราบตัวตนรายหนึ่งใช้เครื่องมือชื่อ ARTEX ซึ่งเป็นเครื่องมือ AI สำหรับทดสอบเจาะระบบ และเป็นชื่อเดียวกับที่ปรากฏในคำเตือนของ CERT-In ร่วมกับ Claude Code และโมเดล AI อื่น เจาะบริษัทการเงินในเกาหลีใต้และขโมยข้อมูล ทั้งนี้ข่าวไม่ได้ระบุว่าเป็นกลุ่มเดียวกับ CRAFTY FALCON
ไมเคิล โคตส์ (Michael Coates) หัวหน้าฝ่ายความปลอดภัยข้อมูลของ Solana Foundation เคยให้ความเห็นกับ Cointelegraph ว่าทีมความปลอดภัยฝั่งป้องกันต้องเข้าถึงเครื่องมือ AI ที่ดีที่สุดได้ เพราะโมเดลที่เก่งที่สุดควรอยู่ในมือผู้ป้องกัน ส่วนอารี เรดบอร์ด (Ari Redbord) หัวหน้าฝ่ายนโยบายของ TRM Labs บอกกับ Cointelegraph เมื่อเดือนกรกฎาคมว่า เทคนิคการโจมตีเปลี่ยนเร็วกว่าที่การตรวจสอบความปลอดภัยครั้งเดียวตอนเปิดตัวจะครอบคลุมได้ จึงควรตรวจความปลอดภัยอย่างต่อเนื่อง
คำแนะนำของ CERT-In ถึงธุรกิจการเงิน
CERT-In ให้ถือว่าแคมเปญนี้ยังดำเนินอยู่และมีแนวโน้มรุนแรงขึ้น และแนะนำให้ธุรกิจเพิ่มการเฝ้าระวังด้านความปลอดภัยตลอด 24 ชั่วโมง เพิ่มกำลังคน และลดเกณฑ์การแจ้งเตือนลงในช่วงวันหยุด วันเสาร์อาทิตย์ และช่วงที่ทีมเฝ้าระบบน้อย
สิ่งที่ยังต้องรอดู
- CERT-In จะเปิดเผยชื่อกระดานเทรดหรือบริษัทที่ถูกโจมตี และมูลค่าความเสียหายหรือไม่
- กระดานเทรดของอินเดียที่ Cointelegraph ติดต่อไป จะตอบกลับหรือแถลงชี้แจงหรือไม่
- กลุ่มที่ CrowdStrike พบในเกาหลีใต้ มีความเกี่ยวข้องกับ CRAFTY FALCON หรือไม่
ภาพปก: ภาพประกอบสร้างด้วย AI
📎 ข่าวที่เกี่ยวข้องจาก Bitcoinaddict.com:
🔗 อ้างอิงต้นฉบับ: Cointelegraph (5 พฤศจิกายน 2569)
💬 ความเห็นบรรณาธิการ Bitcoinaddict
ข้อสังเกตคือคำเตือนของ CERT-In พุ่งเป้าไปที่ช่องทางที่ธุรกิจเปิดไว้ให้ระบบทำงานแทนคน อย่าง API โอนเงิน และข้อมูลเข้าระบบที่ใช้ร่วมกัน ซึ่งเป็นจุดที่กระดานเทรดและผู้ให้บริการชำระเงินทั่วโลกมีเหมือนกัน การโจมตีช่วงวันหยุดจึงเป็นเรื่องที่ผู้ใช้กระดานเทรดไทยควรรู้ไว้ แต่ข่าวนี้ไม่ได้ระบุกระดานเทรดหรือผู้เสียหายรายใดในไทย และยังไม่มีข้อมูลยืนยันว่ากระดานแห่งใดสูญเสียเงินจริง ผู้ใช้จึงควรติดตามประกาศของกระดานที่ใช้อยู่เป็นหลัก ส่วนข้อมูลทั้งหมดในข่าวนี้มาจากคำเตือนของ CERT-In ตามที่ Cointelegraph รายงาน
รายงานโดยทีมข่าว Bitcoinaddict.com