Nordkorea und Iran verursachen 5,2-fachen Anstieg von Malware, die auf öffentlichen Blockchains versteckt ist
- Chainalysis berichtete am Donnerstag, dass die Anzahl der Malware-Schreibvorgänge in öffentlichen Blockchains im vergangenen Jahr um 420 % gestiegen sei.
- Der Aufstieg wurde staatlichen Hackern zugeschrieben, die Verbindungen zu Nordkorea und dem Iran haben.
- On-Chain gespeicherter Code übersteht Server- und Domain-Abschaltungen, die normalerweise eine Kampagne stoppen.
Chainalysis nannte insbesondere Hacker mit Verbindungen nach Nordkorea und in den Iran für den Großteil des 420-prozentigen Anstiegs, den sie bei der Anzahl der Fälle feststellten, in denen Angreifer Malware-Anweisungen oder Infrastrukturdaten auf öffentlichen Blockchains geschrieben hatten.
Der am Donnerstag von dem Blockchain-Analyseunternehmen veröffentlichte Bericht löste bei Börsen, Wallet-Anbietern und Sicherheitsteams Alarm aus, da diese Art von Schadcode die Eigenschaften der Blockchain ausnutzt, um länger bestehen zu können als jener, der auf herkömmlichen Servern oder Domains geparkt ist und durch die Übernahme der Website abgeschaltet werden kann.
Was ist ein Blockchain-Deaddrop?
Laut Chainalysis handelt es sich bei der „Blockchain Dead Drop“- oder BDD-Technik um ein Verfahren, bei dem Angreifer Schadsoftware und Befehls- und Kontrollinformationen in On-Chain-Transaktionen und Smarttracverstecken. Infizierte Rechner können diese dann abrufen, wenn es Zeit zum Handeln ist.
Die Methode erfreute sich unter Hackern großer Beliebtheit, da die Blockchain-Technologie naturgemäß die Haltbarkeit gespeicherter Daten exponentiell erhöht. Kampagnen scheitern, sobald die Domain beschlagnahmt, das Hosting eingestellt oder das Code-Repository entfernt wird. Anweisungen, die in einem öffentlichen Register gespeichert sind, bleiben jedoch unter all diesen Umständen erhalten und zugänglich.
Laut Chainalysis geht der erste dokumentierte Fall dieser Taktik auf das Jahr 2013 zurück, als eine Variante des Necurs-Botnetzes ihre C2-Domains auf Namecoin parkte. In einem anderen Fall aus dem Jahr 2019 nutzten die Betreiber des Glupteba-Mining-Botnetzes das OP_RETURN-Feld von Bitcoin, um Daten zu verbergen.
Der Trend verbreitete sich Mitte 2023 unter dem Namen EtherHiding auf Ethereum-Stil. Der erste derartige Fall ereignete sich, als die Betreiber von ClearFake ihren Infostealer-Code auf BNB Smart Chain migrierten, nachdem Cloudflare ihre Server abgeschaltet hatte.
Anfang 2024 waren gewöhnliche Cyberkriminelle für den Großteil der Aktivitäten verantwortlich. Doch im zweiten Quartal 2026 berichtet Chainalysis, dass staatliche Akteure mittlerweile etwa zwei von drei Dead-Drop-Angriffen auf öffentlichen Blockchains durchführen.
Nordkoreanische und iranische Betreiber sind aktiv
Chainalysis schloss den Kreis einer Untersuchung, indem es eine Reihe zuvor nicht zugeordneter Transaktionen in drei Netzwerken mit einer nordkoreanisch verbundenen Gruppe auf dem Radar von Google Threat Intelligence, UNC5342, in Verbindung brachte.
Diese Kampagne, bei der infizierte Geräte über Tronund Aptos als Backup geleitet wurden und die mit derselben BNB Smart Chain-Transaktion endete, spiegelte einen anderen Fall aus dem Jahr 2025 wider, als nordkoreanische Hacker Krypto-Diebstahlcode in Smarttracim Ethereum-Stil einfügten (EtherHiding).
Chainalysis entdeckte außerdem Verbindungen zum iranischen Geheimdienstministerium bei der Untersuchung einer Operation, bei der C2-Routing-Daten direkt in die Bitcoin -Blockchain kodiert wurden.
Die iranische Methode zeichnete sich dadurch aus, dass sie winzige Zahlungen aus den Wallets der Angreifer an eine Bitcoin -Adresse sendete, die Gerüchten zufolge Verbindungen zu Satoshi Nakamoto hatte.
Offengewichtete KI-Modelle haben die Operationen unterstützt
Der Anstieg bösartiger toter Briefkästen um 440 % seit Juli 2025 fällt zeitlich mit der Entwicklung hochentwickelter chinesischer Open-Source-KI-Modelle zusammen, die nun in der Lage sind, Code auf A-Niveau zu schreiben. Konkret stieg die Anzahl der Schreibvorgänge von etwa 2,06 auf 11,1 pro Tag.
Eric Jardine, Leiter der Cyberkriminalitätsforschung bei Chainalysis, sagte, das Unternehmen könne nicht bestätigen, dass die Akteure, die die schädlichen Transaktionen veröffentlichten, die Modelle tatsächlich zur Steigerung ihrer Produktivität genutzt hätten.
Der Bericht erscheint inmitten einer langen Phase nordkoreanischer Kryptoaktivitäten. CertiK schätzte im Mai, dass Akteure mit Verbindungen zur DVRK seit 2016 in 263 Vorfällen rund 6,75 Milliarden US-Dollar erbeutet habendentsie sich eher auf Social Engineering als auf reine Software-Schwachstellen stützten, wie Cryptopolitan berichtete.
Weitere Forschungsergebnisse, die dieses Jahr auf der Black Hat Konferenz vorgestellt wurden, zeigen ein noch größeres Ausmaß: Ein Forscher fand heraus, dass nordkoreanische Agenten 1.640 Unternehmen in 57 Ländern infiltriert. US-Geheimdienste gaben an, dass die durch diese Operationen erbeuteten Gelder zur Finanzierung der Atom- und Raketenprogramme des Regimes beitragen – ein Vorwurf, den Pjöngjang zurückweist.
Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.
Häufig gestellte Fragen
Was ist ein Blockchain-Deaddrop?
Es handelt sich um eine von Chainalysis so genannte Technik, bei der Angreifer Malware-Payloads oder Command-and-Control-Pointer in On-Chain-Transaktionen und Smarttracspeichern, sodass infizierte Geräte diese abrufen können und die Konfiguration auch nach Domain-Beschlagnahmungen und Serverabschaltungen erhalten bleibt.
Welche Blockchains nutzten die nordkoreanischen und iranischen Hacker?
Laut Chainalysis nutzte die mit Nordkorea verbundene Gruppe UNC5342 Tron, Aptos und BNB Smart Chain, wobei die Geräte zunächst über Tron geleitet und bei Bedarf auf Aptos zurückgegriffen wurde. Gleichzeitig betteten mutmaßliche Akteure mit Verbindungen zum Iran C2-Routing-Daten in Bitcoin Transaktionen ein, darunter Zahlungen an eine Bitcoin Adresse, die historisch mit Satoshi Nakamoto in Verbindung gebracht wurde.
Warum hat die Aktivität von On-Chain-Malware im vergangenen Jahr sprunghaft zugenommen?
Chainalysis verzeichnete einen Anstieg der bösartigen Schreibvorgänge um 440 % seit Juli 2025, als leistungsstarke Open-Source-KI-Modelle aus China in der Lage waren, mit begrenzten Sicherheitsvorkehrungen bösartigen Code zu generieren. Das Unternehmen gab jedoch an, nicht beweisen zu können, dass die Angreifer diese Modelle nutzten, um ihre Produktivität zu steigern.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
