Corea del Norte e Irán impulsan un salto de 5,2 veces en malware oculto en blockchains públicas
- Chainalysis informó el jueves que la escritura de malware en blockchains públicas aumentó un 420% en el último año.
- Atribuyó este incremento a hackers estatales vinculados a Corea del Norte e Irán.
- El código almacenado en la cadena persiste tras los cierres de servidores y dominios que habitualmente detienen una campaña.
Chainalysis nombró específicamente a hackers con vínculos con Corea del Norte e Irán por la mayor parte del aumento del 420% que detectó en el número de instancias en las que los atacantes escribieron instrucciones de malware o datos de infraestructura en blockchains públicas durante el último año.
El informe del jueves publicado por la firma de análisis blockchain activó alarmas en exchanges, proveedores de billeteras y equipos de seguridad, ya que este tipo de códigos maliciosos explotan la naturaleza de la blockchain para persistir más tiempo que los almacenados en servidores tradicionales o dominios que pueden ser eliminados al incautar el sitio.
¿Qué es un punto muerto en la blockchain?
Según Chainalysis, la técnica de «punto muerto en la blockchain» o BDD es un proceso en el que los atacantes almacenan cargas útiles y punteros de comando y control dentro de transacciones on-chain y contratos inteligentes. De esa manera, las máquinas infectadas pueden obtenerlas cuando llegue el momento de actuar.
El método se hizo popular entre los hackers debido a cómo la tecnología blockchain, por su naturaleza, aumenta exponencialmente la viabilidad de los datos almacenados. Las campañas mueren una muerte natural cuando el dominio es incautado, se corta el alojamiento o se elimina el repositorio de código. Sin embargo, las instrucciones almacenadas en un libro mayor público persisten y permanecen accesibles a través de todas estas condiciones.
Según Chainalysis, el primer caso registrado de esta técnica se remonta a 2013, cuando una variante de la botnet Necurs almacenó sus dominios C2 en Namecoin. En un caso separado de 2019, los operadores de la botnet de minería Glupteba utilizaron el campo OP_RETURN de Bitcoin para ocultar datos.
La tendencia se extendió bajo la etiqueta EtherHiding a las cadenas de estilo Ethereum a mediados de 2023. El primero de su tipo ocurrió cuando los operadores de ClearFake migraron su código de infostea a BNB Smart Chain después de que Cloudflare desactivara sus servidores.
A principios de 2024, los cibercriminales comunes eran responsables de la mayor parte de la actividad. Sin embargo, avanzando rápidamente hasta el segundo trimestre de 2026, Chainalysis informa ahora que los operadores de estados-nación están escribiendo aproximadamente dos de cada tres puntos de entrega muerta en blockchains públicas.
Los operadores norcoreanos e iraníes están activos
Chainalysis completó el ciclo de una investigación conectando un conjunto de transacciones previamente no atribuidas en tres redes a un grupo vinculado a Corea del Norte en el radar de Google Threat Intelligence, UNC5342.
Esa campaña, que enrutaba dispositivos infectados a través de Tron, Aptos como respaldo, y terminaba en la misma transacción de BNB Smart Chain, reflejaba otro caso de 2025 cuando hackers norcoreanos plantaron código para robar criptomonedas dentro de contratos inteligentes de estilo Ethereum (EtherHiding).
Chainalysis también encontró vínculos con el Ministerio de Inteligencia de Irán mientras investigaba una operación que codificaba datos de enrutamiento de C2 directamente en la blockchain de Bitcoin.
El Método iraní llevaba la inusual firma de enviar pagos diminutos desde billeteras del atacante a una dirección de Bitcoin que se rumorea tiene vínculos con Satoshi Nakamoto.
Los modelos de IA de peso abierto han ayudado en las operaciones
El aumento del 440% en puntos de entrega muerta maliciosos desde julio de 2025 ha coincidido con los modelos de IA chinos de código abierto más avanzados desbloqueando la capacidad de escribir código de nivel A. En términos brutos, las escrituras aumentaron de aproximadamente 2.06 a 11.1 por día.
Eric Jardine, líder de investigación de cibercrimen de Chainalysis, dijo que la firma no pudo confirmar que los actores que publicaban las transacciones maliciosas hubieran utilizado realmente los modelos para aumentar su producción.
El informe se suma a una larga racha de actividad cripto norcoreana. CertiK estimó en mayo que los actores vinculados a la RPDC han robado unos 6.750 millones de dólares desde 2016 en 263 incidentes, dependiendo de la ingeniería social en lugar de exploits de software puro, ya que informó Cryptopolitan.
Una investigación separada presentada en Black Hat este año amplió aún más el alcance, con un investigador que encontró que los operadores norcoreanos habían infiltrado 1,640 empresas en 57 países. La inteligencia de EE. UU. ha dicho que los fondos tomados por estas operaciones ayudan a pagar los programas nucleares y de misiles del régimen, una acusación que Pyongyang ha negado.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es un punto muerto en la blockchain?
Es una técnica, denominada por Chainalysis, mediante la cual los atacantes almacenan cargas útiles de malware o punteros de comando y control dentro de transacciones on-chain y contratos inteligentes, para que los dispositivos infectados puedan recuperarlos y la configuración sobreviva a las incautaciones de dominios y cierres de servidores.
¿Qué blockchains utilizaron los hackers norcoreanos e iraníes?
Según Chainalysis, el grupo vinculado a Corea del Norte UNC5342 utilizó Tron, Aptos y BNB Smart Chain, enrutar primero los dispositivos a través de Tron y hacer una copia de seguridad en Aptos, mientras que presuntos actores vinculados a Irán incrustaron datos de enrutamiento C2 en transacciones de Bitcoin, incluidos pagos a una dirección de Bitcoin históricamente asociada con Satoshi Nakamoto.
¿Por qué aumentó la actividad de malware en cadena durante el último año?
Chainalysis registró un aumento del 440% en escrituras maliciosas desde julio de 2025, cuando modelos de inteligencia artificial chinos de código abierto de alta capacidad se volvieron capaces de generar código malicioso con salvaguardias limitadas, aunque la firma indicó que no pudo probar que los atacantes utilizaran esos modelos para aumentar su producción.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
