كوريا الشمالية وإيران تتسببان في زيادة بنسبة 5.2 ضعف في البرامج الضارة المخفية على سلاسل الكتل العامة

أشارت شركة Chainalysis تحديداً إلى قراصنة ذوي صلات بكوريا الشمالية وإيران باعتبارهم مسؤولين عن معظم الزيادة البالغة 420% التي رصدتها في عدد الحالات التي كتب فيها المهاجمون تعليمات البرامج الضارة أو بيانات البنية التحتية على سلاسل الكتل العامة خلال العام الماضي. 

أثار التقرير الذي نشرته شركة تحليلات البلوك تشين يوم الخميس حالة من الذعر لدى منصات التداول ومقدمي المحافظ وفرق الأمن، حيث تستغل هذه الأنواع من البرامج الضارة طبيعة البلوك تشين للبقاء لفترة أطول من تلك الموجودة على الخوادم أو النطاقات التقليدية التي يمكن إيقافها عن طريق الاستيلاء على الموقع.

ما هو نظام "الإيداع السري" عبر تقنية البلوك تشين؟ 

بحسب شركة Chainalysis، فإن تقنية "التسليم الميت في سلسلة الكتل" أو BDD هي عملية يقوم فيها المهاجمون بتخزين حمولات خبيثة ومؤشرات للتحكم والسيطرة داخل معاملات سلسلة الكتلtracالذكية. وبهذه الطريقة، يمكن للأجهزة المصابة جلبها عند الحاجة إلى التنفيذ. 

اكتسبت هذه الطريقة شعبية بين المخترقين نظرًا لأن تقنية البلوك تشين، بطبيعتها، تزيد بشكل كبير من إمكانية حفظ البيانات. تتلاشى الحملات الإلكترونية تلقائيًا عند الاستيلاء على النطاق، أو قطع خدمة الاستضافة، أو إزالة مستودع الشفرة. ومع ذلك، تبقى التعليمات المخزنة في سجل عام محفوظة ومتاحة في جميع هذه الظروف.

بحسب شركة Chainalysis، يعود أول استخدام موثق لهذه التقنية إلى عام 2013، عندما قام أحد أنواع شبكة بوتات Necurs بوضع نطاقات التحكم والسيطرة الخاصة به على منصة Namecoin. وفي حالة منفصلة عام 2019، استخدم مشغلو شبكة بوتات التعدين Glupteba حقل OP_RETURN الخاص Bitcoinلإخفاء البيانات. 

انتشر هذا الاتجاه تحت مسمى EtherHiding إلى Ethereumفي منتصف عام 2023. حدث أول شيء من نوعه عندما قام مشغلو ClearFake بنقل رمز سرقة المعلومات الخاص بهم إلى BNB Smart Chain بعد أن قامت Cloudflare بإيقاف خوادمهم. 

في أوائل عام 2024، كان مجرمو الإنترنت العاديون مسؤولين عن معظم النشاط. ومع ذلك، وبحلول الربع الثاني من عام 2026، أفادت شركة Chainalysis أن جهات تابعة لدول تقوم الآن بكتابة ما يقرب من ثلثي عمليات التسليم السرية على سلاسل الكتل العامة. 

ينشط عملاء من كوريا الشمالية وإيران 

أكملت شركة Chainalysis حلقة التحقيق من خلال ربط مجموعة من المعاملات التي لم يتم تحديد مصدرها سابقًا عبر ثلاث شبكات بمجموعة مرتبطة بكوريا الشمالية على رادار Google Threat Intelligence، UNC5342. 

تلك الحملة، التي قامت بتوجيه الأجهزة المصابة عبر Tronو Aptos كنسخة احتياطية، وانتهت بنفس معاملة BNB Smart Chain، عكست حالة أخرى من عام 2025 عندما زرع قراصنة كوريون شماليون رمزًا لسرقة العملات المشفرة داخلtracذكية على غرار Ethereum(EtherHiding).

كما وجدت شركة Chainalysis روابط بوزارة الاستخبارات الإيرانية أثناء التحقيق في عملية قامت بتشفير بيانات توجيه C2 مباشرة على سلسلة كتل Bitcoin . 

الطريقة الإيرانية بصمة غير عادية تتمثل في إرسال دفعات صغيرة من محافظ المهاجمين إلى Bitcoin يُشاع أن له صلات بساتوشي ناكاموتو. 

ساعدت نماذج الذكاء الاصطناعي ذات الوزن المفتوح في العمليات

تزامن الارتفاع بنسبة 440% في عمليات تسليم البيانات الخبيثة منذ يوليو 2025 مع إطلاق نماذج الذكاء الاصطناعي الصينية مفتوحة المصدر الأكثر تطوراً القدرة على كتابة برمجيات عالية المستوى. وبالأرقام المطلقة، ارتفع معدل الكتابة من حوالي 2.06 إلى 11.1 كتابة يومياً.

قال إريك جاردين، رئيس قسم أبحاث الجرائم الإلكترونية في شركة Chainalysis، إن الشركة لم تتمكن من تأكيد أن الجهات التي نشرت المعاملات الخبيثة قد استخدمت بالفعل النماذج لتعزيز إنتاجها.

يأتي هذا التقرير في سياق سلسلة طويلة من أنشطة العملات المشفرة الكورية الشمالية. وقدّرت شركة CertiK في مايو أن جهات فاعلة مرتبطة بكوريا الشمالية سرقت حوالي 6.75 مليار دولار منذ عام 2016 عبر 263 حادثةdentمعتمدةً على الهندسة الاجتماعية بدلاً من استغلال الثغرات البرمجية البحتة، كما Cryptopolitan ذكر. 

أظهرت دراسة منفصلة عُرضت في مؤتمر بلاك هات هذا العام اتساع نطاق هذه العمليات، حيث وجد أحد الباحثين أن عملاء كوريين شماليين قد تسللوا إلى 1640 شركة في 57 دولة. وقد ذكرت الاستخبارات الأمريكية أن الأموال التي جُمعت من هذه العمليات تُستخدم لتمويل برامج النظام النووية والصاروخية، وهو اتهام نفته بيونغ يانغ.