Corea del Norte e Irán impulsan un aumento de 5,2 veces en el malware oculto en cadenas de bloques públicas
- Chainalysis informó el jueves que los intentos de escribir malware en cadenas de bloques públicas aumentaron un 420% durante el último año.
- Atribuyó el aumento a piratas informáticos estatales vinculados a Corea del Norte e Irán.
- El código almacenado en la cadena de bloques sobrevive a los cierres de servidores y dominios que normalmente detienen una campaña.
Chainalysis señaló específicamente a hackers con vínculos con Corea del Norte e Irán como responsables de la mayor parte del aumento del 420% que detectó en el número de casos en los que los atacantes escribieron instrucciones de malware o datos de infraestructura en cadenas de bloques públicas durante el último año.
El informe publicado el jueves por la firma de análisis de blockchain hizo saltar las alarmas en las plataformas de intercambio, los proveedores de monederos y los equipos de seguridad, ya que este tipo de códigos maliciosos explotan la naturaleza de blockchain para persistir durante más tiempo que aquellos alojados en servidores o dominios tradicionales que pueden ser desactivados mediante la incautación del sitio.
¿Qué es un punto de entrega seguro en blockchain?
Según Chainalysis, la técnica de "punto muerto en la cadena de bloques" o BDD (Blockchain Dead Drop) consiste en que los atacantes colocan cargas útiles y punteros de comando y control dentro de transacciones en la cadena ytracinteligentes. De esta forma, las máquinas infectadas pueden recuperarlos cuando sea necesario.
Este método se popularizó entre los hackers debido a que la tecnología blockchain, por su propia naturaleza, aumenta exponencialmente la viabilidad de los datos almacenados. Las campañas mueren naturalmente cuando se confisca el dominio, se interrumpe el alojamiento o se elimina el repositorio de código. Sin embargo, las instrucciones almacenadas en un registro público persisten y permanecen accesibles en todas estas circunstancias.
Según Chainalysis, el primer caso registrado de esta táctica se remonta a 2013, cuando una variante de la botnet Necurs alojó sus dominios C2 en Namecoin. En un caso aparte de 2019, los operadores de la botnet minera Glupteba utilizaron el campo OP_RETURN de Bitcoinpara ocultar datos.
Esta tendencia se extendió bajo la etiqueta EtherHiding a Ethereuma mediados de 2023. El primer caso de este tipo ocurrió cuando los operadores de ClearFake migraron su código de robo de información a BNB Smart Chain después de que Cloudflare desactivara sus servidores.
A principios de 2024, los ciberdelincuentes comunes eran responsables de la mayor parte de la actividad. Sin embargo, en el segundo trimestre de 2026, Chainalysis informa que los operadores estatales ahora registran aproximadamente dos de cada tres puntos de entrega fallidos en las cadenas de bloques públicas.
Operadores norcoreanos e iraníes están activos
Chainalysis completó el ciclo de una investigación al conectar un conjunto de transacciones previamente no atribuidas a través de tres redes con un grupo vinculado a Corea del Norte que figuraba en el radar de Google Threat Intelligence, UNC5342.
Esa campaña, que enrutaba los dispositivos infectados a través de Tron, Aptos como respaldo y que terminaba en la misma transacción BNB Smart Chain, reflejó otro caso de 2025 en el que piratas informáticos norcoreanos implantaron código de robo de criptomonedas dentro detracinteligentes al estilo Ethereum(EtherHiding).
Chainalysis también encontró vínculos con el Ministerio de Inteligencia de Irán mientras investigaba una operación que codificaba datos de enrutamiento C2 directamente en la cadena de bloques Bitcoin .
El método iraní tenía la peculiaridad de enviar pequeños pagos desde las carteras de los atacantes a una Bitcoin que, según los rumores, tenía vínculos con Satoshi Nakamoto.
Los modelos de IA de peso abierto han ayudado a las operaciones
El aumento del 440 % en los buzones de correo maliciosos desde julio de 2025 ha coincidido con el momento en que los modelos de IA chinos de código abierto más avanzados han desbloqueado la capacidad de escribir código de nivel A.En términos absolutos, las escrituras aumentaron de aproximadamente 2,06 a 11,1 por día.
Eric Jardine, responsable de la investigación sobre ciberdelitos de Chainalysis, afirmó que la empresa no podía confirmar que los responsables de publicar las transacciones maliciosas hubieran utilizado realmente los modelos para aumentar su producción.
El informe se suma a una larga trayectoria de actividad criptográfica norcoreana. CertiK estimó en mayo que actores vinculados a la RPDC han robado alrededor de 6750 millones de dólares desde 2016 en 263 incidentesdentrecurriendo a la ingeniería social en lugar de a simples exploits de software, como Cryptopolitan informó.
Una investigación independiente presentada en Black Hat este año amplió aún más el alcance de la operación, ya que un investigador descubrió que operadores norcoreanos se habían infiltrado en 1640 empresas de 57 países. La inteligencia estadounidense ha afirmado que los fondos obtenidos mediante estas operaciones ayudan a financiar los programas nucleares y de misiles del régimen, una acusación que Pyongyang ha negado.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es un punto de entrega seguro en blockchain?
Se trata de una técnica, denominada así por Chainalysis, en la que los atacantes almacenan cargas útiles de malware o punteros de comando y control dentro de transacciones en la cadena de bloques ytracinteligentes, de modo que los dispositivos infectados puedan recuperarlos y la configuración sobreviva a las incautaciones de dominios y las caídas de servidores.
¿Qué cadenas de bloques utilizaron los hackers norcoreanos e iraníes?
Según Chainalysis, el grupo UNC5342, vinculado a Corea del Norte, utilizó Tron, Aptos y BNB Smart Chain, enrutando los dispositivos primero a través de Tron y luego recurriendo a Aptos, mientras que presuntos actores vinculados a Irán incrustaron datos de enrutamiento C2 en transacciones Bitcoin , incluidos pagos a una dirección Bitcoin históricamente vinculada a Satoshi Nakamoto.
¿Por qué se disparó la actividad de malware en la cadena de bloques durante el último año?
Chainalysis registró un aumento del 440 % en las escrituras maliciosas desde julio de 2025, cuando los modelos de IA chinos de código abierto de alta capacidad se volvieron capaces de generar código malicioso con salvaguardas limitadas, aunque la empresa dijo que no podía probar que los atacantes usaran esos modelos para aumentar su producción.
Aviso legal. La información proporcionada no constituye asesoramiento comercial. Cryptopolitanconsultar no se responsabiliza de las inversiones realizadas con base en la información proporcionada en esta página. Recomendamostronencarecidamente realizar una investigación independientedent un profesional cualificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en redacción de blogs y reportajes sobre eventos en el ámbito de las criptomonedas. En Cryptopolitan, colabora en la sección de noticias, informando y analizando las últimas novedades en DeFi, RWA, regulación de criptomonedas, IA y tecnologías de vanguardia. Se graduó en Administración de Empresas por la Universidad de Arcadia.
