La Corée du Nord et l'Iran sont à l'origine d'une augmentation de 5,2 fois des logiciels malveillants dissimulés sur les blockchains publiques
- Chainalysis a rapporté jeudi que les écritures de logiciels malveillants sur les blockchains publiques ont bondi de 420 % au cours de l'année écoulée.
- Elle a attribué cette ascension à des pirates informatiques étatiques liés à la Corée du Nord et à l'Iran.
- Le code stocké sur la blockchain survit aux suppressions de serveurs et de domaines qui mettent généralement fin à une campagne.
Chainalysis a spécifiquement cité des pirates informatiques ayant des liens avec la Corée du Nord et l'Iran comme responsables de la majeure partie de l'augmentation de 420 % qu'elle a constatée dans le nombre de cas où des attaquants ont écrit des instructions de logiciels malveillants ou des données d'infrastructure sur des blockchains publiques au cours de l'année écoulée.
Le rapport publié jeudi par la société d'analyse Blockchain a semé l'inquiétude chez les plateformes d'échange, les fournisseurs de portefeuilles numériques et les équipes de sécurité, car ce type de codes malveillants exploite la nature de la blockchain pour persister plus longtemps que ceux hébergés sur des serveurs ou des domaines traditionnels qui peuvent être neutralisés par la saisie du site.
Qu'est-ce qu'une boîte de dépôt morte blockchain ?
Selon Chainalysis, la technique du « blockchain dead drop » ou BDD consiste pour les attaquants à dissimuler des charges utiles et des pointeurs de commande et de contrôle dans les transactions et lestracintelligents de la blockchain. Ainsi, les machines infectées peuvent les récupérer au moment opportun.
Cette méthode a gagné en popularité auprès des pirates informatiques car la technologie blockchain, par sa nature même, accroît de façon exponentielle la viabilité des données stockées. Les campagnes s'essoufflent naturellement lorsque le domaine est saisi, l'hébergement interrompu ou le dépôt de code supprimé. En revanche, les instructions enregistrées sur un registre public persistent et restent accessibles quelles que soient ces circonstances.
D'après Chainalysis, la première occurrence de cette tactique remonte à 2013, lorsqu'une variante du botnet Necurs a hébergé ses domaines C2 sur Namecoin. Dans un autre cas survenu en 2019, les opérateurs du botnet de minage Glupteba ont utilisé le champ OP_RETURN de Bitcoinpour dissimuler des données.
Cette tendance s'est propagée sous le nom d'EtherHiding aux Ethereumau milieu de l'année 2023. Le premier cas de ce type s'est produit lorsque les opérateurs de ClearFake ont migré leur code de vol d'informations vers BNB Smart Chain après la fermeture de leurs serveurs par Cloudflare.
Début 2024, la plupart des activités étaient le fait de cybercriminels ordinaires. Cependant, au deuxième trimestre 2026, Chainalysis indique que des opérateurs étatiques sont désormais responsables d'environ deux tiers des messages envoyés via des plateformes de dépôt public.
Des opérateurs nord-coréens et iraniens sont actifs
Chainalysis a bouclé la boucle d'une enquête en reliant un ensemble de transactions auparavant non attribuées sur trois réseaux à un groupe lié à la Corée du Nord figurant sur le radar de Google Threat Intelligence, UNC5342.
Cette campagne, qui acheminait les appareils infectés via Tron, Aptos en tant que solution de secours, et se terminait par la même transaction BNB Smart Chain, était similaire à un autre cas survenu en 2025 lorsque des pirates informatiques nord-coréens avaient implanté un code de vol de cryptomonnaie dans destracintelligents de type Ethereum(EtherHiding).
Chainalysis a également découvert des liens avec le ministère iranien du Renseignement lors d'une enquête sur une opération qui encodait directement des données de routage C2 sur la blockchain Bitcoin .
La méthode iranienne présentait la particularité inhabituelle d'envoyer de minuscules paiements depuis les portefeuilles des attaquants vers une Bitcoin qui serait liée à Satoshi Nakamoto.
Les modèles d'IA à poids ouvert ont facilité les opérations
L'augmentation de 440 % des adresses IP malveillantes depuis juillet 2025 coïncide avec le développement des modèles d'IA open source chinois les plus avancés, capables de générer du code de niveau A.Concrètement, le nombre d'écritures est passé d'environ 2,06 à 11,1 par jour.
Eric Jardine, responsable de la recherche sur la cybercriminalité chez Chainalysis, a déclaré que l'entreprise ne pouvait pas confirmer que les acteurs ayant publié les transactions malveillantes avaient effectivement utilisé les modèles pour augmenter leurs résultats.
Ce rapport intervient après une longue période d'activité liée aux cryptomonnaies en Corée du Nord. CertiK estimait en mai que des acteurs liés à la RPDC avaient dérobé environ 6.75$ milliards de dollars depuis 2016 à travers 263 incidentsdentprivilégiant l'ingénierie sociale plutôt que l'exploitation pure de failles logicielles, comme Cryptopolitan l'a rapporté.
Des recherches distinctes présentées cette année lors de la conférence Black Hat ont révélé une ampleur encore plus grande de ces opérations : un enquêteur a découvert que des agents nord-coréens avaient infiltré 1 640 entreprises dans 57 pays. Les services de renseignement américains affirment que les fonds détournés par ces opérations contribuent au financement des programmes nucléaires et balistiques du régime, une accusation que Pyongyang réfute.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce qu'une boîte de dépôt morte blockchain ?
Il s'agit d'une technique, nommée par Chainalysis, dans laquelle les attaquants stockent des charges utiles de logiciels malveillants ou des pointeurs de commande et de contrôle à l'intérieur de transactions sur la chaîne et detracintelligents, afin que les appareils infectés puissent les récupérer et que la configuration survive aux saisies de domaine et aux arrêts de serveur.
Quelles blockchains les pirates informatiques nord-coréens et iraniens ont-ils utilisées ?
Selon Chainalysis, le groupe UNC5342, lié à la Corée du Nord, a utilisé Tron, Aptos et BNB Smart Chain, acheminant les appareils d'abord via Tron et en cas de repli vers Aptos, tandis que des acteurs présumés liés à l'Iran ont intégré des données de routage C2 dans des transactions Bitcoin , y compris des paiements à une adresse Bitcoin historiquement liée à Satoshi Nakamoto.
Pourquoi l'activité des logiciels malveillants sur la blockchain a-t-elle connu une forte augmentation au cours de l'année écoulée ?
Chainalysis a enregistré une augmentation de 440 % des écritures malveillantes depuis juillet 2025, date à laquelle des modèles d'IA chinois open source à haute capacité sont devenus capables de générer du code malveillant avec des protections limitées, bien que la société ait déclaré ne pas pouvoir prouver que les attaquants avaient utilisé ces modèles pour augmenter leur production.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Hannah Collymore
Hannah est rédactrice et éditrice, forte d'une expérience de près de dix ans dans la rédaction de blogs et la couverture d'événements liés aux cryptomonnaies. Chez Cryptopolitan, elle contribue à la page d'actualités en rédigeant des articles et en analysant les dernières évolutions de la finance décentralisée DeFi, des comptes gérés par les utilisateurs (RWA), de la réglementation des cryptomonnaies, de l'intelligence artificielle (IA) et des technologies de pointe. Elle est diplômée en administration des affaires de l'université Arcadia.
