Według Chainalysis od czasu pojawienia się nieograniczonych chińskich modeli AI typu open source napastnicy publikują instrukcje dotyczące złośliwego oprogramowania w blockchainach o 440% częściej. W ciągu niespełna roku liczba złośliwych zapisów on-chain wzrosła z 2,06 do 11,1 dziennie.
Chainalysis nazywa tę technikę „martwymi skrzynkami w blockchainie” (BDD). Jak ustaliła firma, obecnie większość tej aktywności generują powiązani z państwami operatorzy z Korei Północnej i Iranu.
Odporność na cenzurę staje się atutem hakerów
W swoim najnowszym raporcie Chainalysis zauważyło, że hakerzy przechowywali złośliwy kod na scentralizowanych serwerach, które można było przejąć, zablokować lub wyłączyć. Teraz jednak napastnicy przechowują go w publicznych blockchainach.
„Tę technikę nazywamy «martwymi skrzynkami w blockchainie» (BDD). BDD przechowują ładunki w transakcjach on-chain i smart kontraktach, skąd zainfekowane urządzenia mogą je pobierać na żądanie. Niezmienność blockchainów zapewnia długowieczność cyberkampaniom prowadzonym przez sprawców zagrożeń; mogą oni komunikować się ze skompromitowanymi maszynami bez obawy, że utracą przekaźnik dowodzenia i kontroli (C2)” — czytamy w raporcie.
Firma podkreśla, że zagrożenie wynika z trwałości, a nie siły rażenia. Kampanie przetrwają przejęcie domen, wyłączenie hostingu i usunięcie repozytoriów. Technika ta sięga 2013 roku, kiedy wariant botnetu Necurs przechowywał domeny w Namecoin — odgałęzieniu Bitcoina (BTC).
W 2023 roku technika dotarła do łańcuchów Ethereum Virtual Machine (EVM) pod nazwą EtherHiding. Później Google wykryło, że północnokoreańska grupa UNC5342 wykorzystuje ją podczas fałszywych rozmów kwalifikacyjnych.
Chainalysis wiąże niedawny gwałtowny wzrost z połową 2025 roku. Właśnie wtedy pojawiły się zaawansowane chińskie modele z otwartymi wagami, pozbawione zabezpieczeń przed generowaniem złośliwego kodu. Według firmy zlikwidowało to barierę umiejętności, która wcześniej sprawiała, że martwe skrzynki były rzadkością.
Zjawisko to wykracza już daleko poza świat kryptowalut. Badacze z Netskope twierdzą, że atak na łańcuch dostaw ChainDrop w sierpniu 2026 roku dotknął ponad 440 pakietów npm.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Pjongjang, Teheran i rosyjskie fora tworzą własne poradniki
Do początku 2024 roku za niemal całą aktywność związaną z martwymi skrzynkami odpowiadali cyberprzestępcy. W drugim kwartale 2026 roku grupy powiązane z państwami generowały mniej więcej dwie trzecie nowej aktywności w każdym kwartale i połowę całości.
Północnokoreańska grupa UNC5342 korzysta teraz z przekaźnika działającego w trzech łańcuchach. Wskaźniki w sieciach TRON (TRX) i Aptos (APT) kierują zainfekowane urządzenia do zaszyfrowanych urządzeń w sieci BNB Smart Chain.
„Atakujący zmienia infrastrukturę, publikując nowe transakcje, a każde wcześniej zainfekowane urządzenie automatycznie wykrywa tę zmianę. Zakłócenie operacji wymagałoby jednoczesnego działania w trzech łańcuchach” — zauważył zespół.
Podejrzewani o współpracę z irańskim wywiadem operatorzy wysyłają niewielkie płatności w bitcoinach na dobrze znany adres powiązany z Satoshim Nakamoto. Chainalysis poinformowało, że złośliwe oprogramowanie wyszukuje dane w każdej transakcji, a następnie je dekoduje, by ustalić aktualną infrastrukturę atakujących.
Tymczasem rosyjskojęzyczni przestępcy oferują tę usługę jako usługę. Jeden portfel operatora w sieci Polygon (POL) kontroluje flotę kontraktów resolverów, z których każdy najwyraźniej obsługuje innego płacącego klienta.
Jak zauważono w raporcie, obrońcy nie mogą po prostu blokować ruchu blockchainowego, nie unieruchamiając przy tym wszystkich legalnych portfeli i aplikacji. Ta sama niezmienność, która chroni atakujących, sprawia jednak, że każda aktualizacja pozostaje w publicznym rejestrze.
Otwartym pytaniem pozostaje, czy śledczy zdołają doprowadzić do aresztowań, zanim narzędzia AI utworzą nowych operatorów.
Subskrybuj nasz kanał YouTube, aby oglądać liderów i dziennikarzy, którzy dostarczają fachowych spostrzeżeń
Źródło: BeInCrypto
