Egy év alatt 420%-kal nőtt a blokkláncos malware-bejegyzések száma

A Chainalysis minden vizsgált negyedévben nagyjából kétharmados állami részesedést mért az új blokkláncos malware-aktivitásban. Az elemzőcég több műveletet is állami kötődésű csoportokhoz kapcsolt a tranzakciókban elhelyezett kódolt információk alapján.

A módszer tartósabbá teszi a támadások infrastruktúráját. A nyilvános blokkláncon tárolt utasítások akkor is elérhetők maradnak, ha a hatóságok vagy szolgáltatók lekapcsolják a kapcsolódó domaineket, szervereket és kódtárolókat.

A Chainalysis 2026. szeptember 17-én közölt elemzése 420%-os emelkedést mért abban, hányszor helyeztek el a támadók malware-utasításokat vagy infrastruktúrára mutató információkat nyilvános blokkláncokon. Külön mérésében a rosszindulatú blokklánc-bejegyzések száma 2025 júliusa óta 440%-kal nőtt.

Az időzítés egybeesett azzal, hogy nagy kapacitású, nyílt forráskódú kínai AI-modellek már kevés biztonsági korlátozás mellett is képesek voltak rosszindulatú kódot előállítani. Eric Jardine, a Chainalysis kiberbűnözési kutatási vezetője egyértelmű időbeli együttjárásról beszélt, de a vállalat nem tudta bizonyítani, hogy a támadók ezekkel a modellekkel növelték a kibocsátásukat.

Az UNC5342 nevű, Észak-Koreához kötött és a Google Threat Intelligence által követett csoport kódolt hivatkozásokat helyezett el Tron- és Aptos-tranzakciókban. Mindkét útvonal a BNB Smart Chain ugyanazon tranzakciójához vezette a fertőzött eszközöket. A Tron szolgált elsődleges útvonalként, az Aptos pedig tartalékként.

A céltranzakció titkosított szervercímeket és konfigurációs adatokat tartalmazott. Ezek kapcsolták a feltört eszközöket a távoli hozzáféréshez és adatlopáshoz használt, láncon kívüli infrastruktúrához. Észak-koreai hekkerek 2025-ben az EtherHiding nevű hasonló módszerrel okos szerződésekben helyeztek el kriptót lopó kódot.

A Chainalysis szerint feltehetően az iráni hírszerzési minisztériumhoz kötődő szereplők írtak kódolt vezérlési és útválasztási adatokat a Bitcoin blokkláncára. Az értékelést a kártevőcsalád, a dekódolási módszer, az időzítés és a korábbi iráni műveletekhez kapcsolt szerver-infrastruktúra támasztotta alá, nem önmagában a blokkláncos aktivitás.

A támadók tárcái kis összegű utalásokat küldtek egy közismert Bitcoin-címre, amelyet korábban Satoshi Nakamotóhoz kötöttek. A cím nem kapcsolódott a támadókhoz. Állandó nyilvános ellenőrzési pontként szolgált a fertőzött eszközök számára. Új tranzakció közzétételével módosíthatták a szerver-infrastruktúrát, majd a kártevő automatikusan lekérte az új utasításokat. Ezután a támadók távoli hozzáférést szerezhettek, belépési adatokat lophattak el vagy további kártevőket telepíthettek.