Angripere publiserer nå skadevareinstruksjoner på blokkjeder 440 % oftere siden kinesiske åpne AI-modeller uten restriksjoner ble introdusert, rapporterer Chainalysis. Daglige on-chain angrep steg fra 2,06 til 11,1 på under ett år.
Chainalysis kaller teknikken blockchain dead drops (BDDs). Selskapet har funnet ut at statsknyttede aktører fra Nord-Korea og Iran nå står for mesteparten av aktiviteten.
Sensurmotstand blir et verktøy for hackere
I sin nyeste rapport påpeker Chainalysis at hackere tidligere lagret ondsinnet kode på sentraliserte servere som kunne beslaglegges, blokkeres eller tas offline. Nå lagrer angripere dem på offentlige blokkjeder.
“Vi kaller denne teknikken ‘blockchain dead drops’ (BDD). BDD lagrer skadevare inn i on-chain-transaksjoner og smartkontrakter der infiserte enheter kan hente dem ved behov. Permanensen til blokkjeder gir ondsinnede aktører varighet; de kan kommunisere med kompromitterte maskiner uten frykt for å miste sin command-and-control (C2)-relé,” står det i rapporten.
Selskapet understreker at faren ligger i varigheten, ikke styrken. Disse kampanjene overlever beslagleggelse av domener, stengning av vertskapstjenester og sletting av kodebaser. Teknikken skriver seg tilbake til 2013, da en variant av Necurs-botnettet lagret domener på en Bitcoin (BTC)-fork kalt Namecoin.
Dette nådde Ethereum Virtual Machine (EVM)-kjeder i 2023 som EtherHiding. Google oppdaget senere at Nord-Koreas UNC5342 brukte dette i falske jobbintervjuer.
Chainalysis peker på at eksplosjonen startet rundt midten av 2025. Da ble kraftige kinesiske open weight-modeller lansert uten sperrer mot å skrive ondsinnet kode. Dette fjernet ferdighetsbarrieren som tidligere holdt bruken av dead drops sjelden, hevder selskapet.
Spredningen går nå langt utover krypto. Netskope-forskere sier at ChainDrop supply chain-angrepet rammet over 440 npm-pakker i august 2026.
Følg oss på X for de siste nyhetene når de skjer
Pyongyang, Teheran og russiske forum lager sine egne strategier
Nesten all dead drop-aktivitet frem til tidlig 2024 ble utført av nettkriminelle. Ved andre kvartal 2026 stod statsknyttede grupper for omtrent to tredjedeler av ny aktivitet hvert kvartal og halvparten av totalen.
Nord-Koreas UNC5342 kjører nå et tre-kjeder-relé. Pekere på TRON (TRX) og Aptos (APT) leder infiserte enheter til krypterte enheter på BNB Smart Chain.
“Angriperen bytter infrastruktur ved å publisere nye transaksjoner, og alle tidligere infiserte enheter plukker opp endringen automatisk. Å forstyrre operasjonen vil kreve tiltak på alle tre kjeder samtidig,” bemerket teamet.
Det antas at iranske etterretningsaktører sender små Bitcoin-betalinger til en kjent adresse knyttet til Satoshi Nakamoto. Chainalysis opplyser at skadevaren leter etter data i hver transaksjon, og deretter dekoder det for å finne oppdatert angriper-infrastruktur.
Russiskspråklige kriminelle selger derimot denne funksjonaliteten som en tjeneste. En operatørlommebok på Polygon (POL) kontrollerer en rekke ‘resolver’-kontrakter, hvor hver tilsynelatende betjener en forskjellig betalende kunde.
Forsvarere kan ikke bare blokkere blokkjedetrafikk uten å ødelegge alle legitime lommebøker og apper, ifølge rapporten. Den samme varigheten som beskytter angriperne, gjør imidlertid at hver oppdatering forblir på en offentlig hovedbok.
Om etterforskere klarer å gjøre dette sporet om til pågripelser raskere enn AI-verktøy skaper nye operatører er det åpne spørsmålet.
Abonner på vår YouTube-kanal for å se ledere og journalister gi ekspertinnsikt
