Nordkorea und Iran treiben 5,2-fachen Anstieg von Malware voran, die auf öffentlichen Blockchains versteckt ist
- Chainalysis berichtete am Donnerstag, dass die Einschreibung von Malware in öffentliche Blockchains im vergangenen Jahr um 420 % gestiegen ist.
- Der Anstieg wird staatlichen Hackern aus Nordkorea und Iran zugeschrieben.
- Code, der on-chain gespeichert wird, überlebt Server- und Domain-Sperren, die normalerweise eine Kampagne stoppen würden.
Chainalysis nannte speziell Hacker mit Verbindungen zu Nordkorea und Iran für den größten Teil des von ihr festgestellten 420-%-Anstiegs der Anzahl der Fälle, in denen Angreifer in den letzten Jahr Malware-Anweisungen oder Infrastrukturdaten auf öffentlichen Blockchains geschrieben haben.
Der am Donnerstag von der Blockchain-Analysefirma veröffentlichte Bericht löste Alarme bei Börsen, Wallet-Anbietern und Sicherheitsteams aus, da diese Art von bösartigem Code die Natur der Blockchain ausnutzt, um länger zu bestehen als solche, die auf traditionellen Servern oder Domains gespeichert sind, die durch die Beschlagnahmung der Website abgeschaltet werden können.
Was ist ein Blockchain-Dead-Drop?
Laut Chainalysis ist die „Blockchain Dead Drop“- oder BDD-Technik ein Prozess, bei dem Angreifer Payloads und Command-and-Control-Pointer in On-Chain-Transaktionen und Smart Contracts parken. Auf diese Weise können infizierte Maschinen sie abrufen, wenn es Zeit zum Handeln ist.
Die Methode wurde unter Hackern beliebt, weil die Blockchain-Technologie durch ihre Natur die Lebensfähigkeit gespeicherter Daten exponentiell erhöht. Kampagnen sterben einen natürlichen Tod, wenn die Domain beschlagnahmt wird, das Hosting gekündigt wird oder das Code-Repository entfernt wird. Anweisungen, die auf einem öffentlichen Ledger gespeichert sind, bestehen jedoch fort und bleiben unter all diesen Bedingungen zugänglich.
Per Chainalysis geht die erste dokumentierte Instanz dieser Taktik bis ins Jahr 2013 zurück, als eine Necurs-Botnet-Variante ihre C2-Domains auf Namecoin parkte. In einem separaten Fall von 2019 nutzten die Betreiber des Glupteba-Mining-Botnets das Bitcoin-OP_RETURN-Feld, um Daten zu verstecken.
Der Trend verbreitete sich unter der EtherHiding-Bezeichnung Mitte 2023 zu Ethereum-ähnlichen Chains. Das erste seiner Art geschah, als ClearFake-Betreiber ihren Infostealer-Code auf die BNB Smart Chain migrierten, nachdem Cloudflare ihre Server abgeschaltet hatte.
Anfang 2024 waren gewöhnliche Cyberkriminelle für den Großteil der Aktivitäten verantwortlich. Wenn man jedoch schnell zum zweiten Quartal 2026 voranschreitet, berichtet Chainalysis nun, dass Akteure von Nationalstaaten nun etwa zwei von drei Dead-Drops auf öffentlichen Blockchains schreiben.
Nordkoreanische und iranische Akteure sind aktiv
Chainalysis schloss den Kreis einer Untersuchung, indem es eine Reihe zuvor nicht zugeordneter Transaktionen über drei Netzwerke hinweg mit einer nordkoreanisch verbundenen Gruppe im Radar von Google Threat Intelligence, UNC5342, verband.
Diese Kampagne, die infizierte Geräte über Tron, Aptos als Backup und endend bei derselben BNB Smart Chain-Transaktion routete, spiegelte eine andere Instanz aus 2025 wider, als nordkoreanische Hacker krypto-stehlenden Code in Ethereum-ähnliche Smart Contracts (EtherHiding) pflanzten.
Chainalysis fand auch Verbindungen zum iranischen Geheimdienst, während es eine Operation untersuchte, die C2-Routingsdaten direkt auf der Bitcoin-Blockchain kodiert hatte.
Die Iranische Methode trug die ungewöhnliche Signatur, winzige Zahlungen von Angreifer-Wallets an eine Bitcoin-Adresse zu senden, von der Gerüchte besagen, dass sie mit Satoshi Nakamoto verbunden ist.
Open-Weight-KI-Modelle haben die Operationen unterstützt
Der Anstieg der bösartigen Dead Drops um 440 % seit Juli 2025 fiel mit den fortschrittlichsten chinesischen Open-Source-KI-Modellen zusammen die die Fähigkeit freisetzen, Code auf A-Niveau zu schreiben. In rohen Zahlen ausgedrückt stiegen die Schreibvorgänge von etwa 2.06 auf 11.1 pro Tag.
Eric Jardine, Leiter der Cybercrime-Forschung bei Chainalysis, sagte, das Unternehmen könne nicht bestätigen, dass die Akteure, die die bösartigen Transaktionen veröffentlichten, die Modelle tatsächlich genutzt hätten, um ihre Ausgabe zu steigern.
Der Bericht schließt sich an eine lange Reihe nordkoreanischer Krypto-Aktivitäten an. CertiK schätzte im Mai, dass mit der DPRK verbundene Akteure seit 2016 in 263 Vorfällen etwa 6,75 Milliarden US-Dollar gestohlen haben, wobei sie sich eher auf Social Engineering als auf reine Software-Exploits verlassen, da Cryptopolitan berichtete.
Separate Forschung, die auf der Black Hat dieses Jahres vorgestellt wurde, deutete noch weiterreichende Dimensionen an, wobei ein Ermittler feststellte, dass nordkoreanische Operateure in 1,640 Unternehmen in 57 Ländern eingedrungen waren. Der US-Geheimdienst hat erklärt, dass die mit diesen Operationen erbeuteten Mittel dazu dienen, die Atom- und Raketprogramme des Regimes zu finanzieren, eine Anschuldigung, die Pjöngjang bestritten hat.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist ein Blockchain-Dead-Drop?
Es handelt sich um eine von Chainalysis benannte Technik, bei der Angreifer Malware-Payloads oder Command-and-Control-Pointer in On-Chain-Transaktionen und Smart Contracts speichern, damit infizierte Geräte diese abrufen können; das Setup übersteht so Domänenbeschlagnahmungen und Server-Abschaltungen.
Welche Blockchains nutzten die nordkoreanischen und iranischen Hacker?
Laut Chainalysis nutzte die mit Nordkorea verbundene Gruppe UNC5342 Tron, Aptos und BNB Smart Chain, wobei Geräte zunächst über Tron geleitet und bei Ausfall auf Aptos zurückgegriffen wurde. Verdächtige, die mit Iran verbunden sind, eingebetteten C2-Routing-Daten in Bitcoin-Transaktionen, einschließlich Zahlungen an eine Bitcoin-Adresse, die historisch mit Satoshi Nakamoto in Verbindung steht.
Warum ist die Aktivität von On-Chain-Malware im vergangenen Jahr gestiegen?
Chainalysis verzeichnete seit Juli 2025 einen Anstieg bösartiger Schreibvorgänge um 440 %, als hochleistungsfähige Open-Source-KI-Modelle aus China in der Lage wurden, mit begrenzten Sicherheitsvorkehrungen schädlichen Code zu generieren. Das Unternehmen gab jedoch an, nicht nachweisen zu können, dass Angreifer diese Modelle zur Steigerung ihrer Aktivitäten genutzt haben.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
