Especialistas en ciberseguridad emitieron una advertencia crítica sobre una campaña ofensiva a gran escala que utiliza herramientas de Inteligencia Artificial generativa y autónoma para sustraer claves privadas y drenar saldos en exchanges de criptomonedas y billeteras virtuales, de acuerdo con alertas técnicas de respuesta ante incidentes informáticos difundidas en noviembre de 2026.
La maniobra, atribuida al grupo identificado bajo el alias CRAFTY FALCON, amplió su radio de acción más allá del ecosistema cripto para golpear a entidades bancarias, compañías de seguros, plataformas de préstamos digitales y procesadores de pagos.
A diferencia de las filtraciones tradicionales, los agresores emplean software de IA capaz de adaptar los scripts maliciosos en tiempo real y ejecutar cada tramo de la intrusión a velocidad de máquina, evadiendo las barreras reactivas convencionales.
El modus operandi combina sofisticación tecnológica con una meticulosa planificación operativa. Antes de forzar extracciones de gran volumen, los atacantes realizan microtransferencias de prueba de valor insignificante -equivalentes a una moneda fraccionaria- para corroborar que los canales de egreso de capital respondan de manera fluida y sin levantar sospechas en los sistemas de monitoreo transaccional.
La penetración en la arquitectura de las plataformas financieras se apoya en descuidos comunes en la gestión de infraestructura digital.
Los reportes técnicos revelan que las bandas ingresan a través de entornos de prueba y desarrollo desprotegidos o conectados a la red pública sin firewalls restrictivos.
Una vez adentro, reutilizan credenciales administrativas y conexiones compartidas para escalar privilegios hacia los servidores centrales de producción, donde manipulan aplicaciones internas para lanzar peticiones no autorizadas a las interfaces de programación de aplicaciones (API) que procesan los cobros y transferencias.
Para ejecutar la campaña, los delincuentes recurren a plataformas de ataque impulsadas por IA como ARTEX, PentAGI, Cairn y CyberStrikeAI.
Estos sistemas permiten redactar instrucciones de penetración a medida según la respuesta del firewall objetivo, automatizar el análisis de vulnerabilidades y ejecutar las distintas fases de extracción sin necesidad de intervención humana continua, reduciendo al mínimo los tiempos de reacción de los equipos de ciberdefensa.
La sincronización de estos incidentes aprovecha los momentos de menor cobertura de guardias técnicas, como los fines de semana largos y los períodos de receso festivo.
Frente a la capacidad adaptativa de estas amenazas, los organismos de seguridad informática instan a los custodios de activos a abandonar el almacenamiento de claves en servidores calientes y migrar hacia módulos de seguridad de hardware (HSM) o sistemas de custodia en frío, complementados con esquemas de aprobación de firmas múltiples (multisig) para validar cualquier transferencia externa.
Asimismo, se aconseja segmentar de forma estricta los entornos de ensayo respecto de los sistemas productivos y configurar reglas de alerta que bloqueen automáticamente secuencias anómalas, particularmente cuando un envío minúsculo es seguido inmediatamente por un intento de retiro elevado. La proliferación de estos ataques confirma que las auditorías tradicionales resultan vulnerables frente a códigos maliciosos que aprenden de sus propios errores para vulnerar la última milla del dinero digital.