La Corée du Nord et l’Iran provoquent une multiplication par 5,2 des malwares cachés sur les blockchains publiques
- Chainalysis a rapporté jeudi que l'écriture de malwares sur les blockchains publiques a bondi de 420 % au cours de la dernière année.
- L'institution attribue cette hausse à des pirates informatiques liés à des États, notamment la Corée du Nord et l'Iran.
- Le code stocké directement dans la blockchain survit aux fermetures de serveurs et de domaines qui stoppent habituellement une campagne.
Chainalysis a spécifiquement nommé des hackers liés à la Corée du Nord et à l’Iran pour la majeure partie de la hausse de 420 % qu’elle a observée dans le nombre d’instances où les attaquants ont écrit des instructions de malware ou des données d’infrastructure sur les blockchains publiques au cours de l’année écoulée.
Le rapport publié jeudi par la firme d’analyse blockchain a déclenché des alarmes chez les échanges, les fournisseurs de portefeuilles et les équipes de sécurité, car ces types de codes malveillants exploitent la nature de la blockchain pour persister plus longtemps que ceux stockés sur des serveurs traditionnels ou des domaines qui peuvent être supprimés en saisissant le site.
Qu’est-ce qu’un point mort (dead drop) sur une blockchain ?
Selon Chainalysis, la technique du « point mort blockchain » ou BDD est un processus où les attaquants stationnent des charges utiles et des pointeurs de commande et de contrôle (C2) dans des transactions on-chain et des contrats intelligents. De cette façon, les machines infectées peuvent les récupérer au moment opportun.
Cette méthode est devenue populaire parmi les hackers en raison de la façon dont la technologie blockchain, par sa nature, augmente exponentiellement la viabilité des données stockées. Les campagnes meurent une mort naturelle lorsque le domaine est saisi, l’hébergement est coupé ou le dépôt de code est supprimé. Cependant, les instructions stockées sur un registre public persistent et restent accessibles malgré toutes ces conditions.
Selon Chainalysis, le premier cas enregistré de cette tactique remonte à 2013, lorsqu’une variante du botnet Necurs a stationné ses domaines C2 sur Namecoin. Dans une affaire distincte de 2019, les opérateurs du botnet minier Glupteba ont utilisé le champ OP_RETURN de Bitcoin pour masquer des données.
La tendance s’est répandue sous le label EtherHiding vers les chaînes de style Ethereum au milieu de 2023. Le premier du genre s’est produit lorsque les opérateurs de ClearFake ont migré leur code d’infostealer vers BNB Smart Chain après que Cloudflare ait pris la décision de supprimer leurs serveurs.
Au début de 2024, les cybercriminels ordinaires étaient responsables de la majeure partie de l’activité. Cependant, en avançant rapidement vers le deuxième trimestre de 2026, Chainalysis signale désormais que les opérateurs d’État écrivent environ deux dead-drops sur trois sur les blockchains publiques.
Les opérateurs nord-coréens et iraniens sont actifs
Chainalysis a bouclé la boucle d’une enquête en reliant un ensemble de transactions précédemment non attribuées sur trois réseaux à un groupe lié à la Corée du Nord sur le radar de Google Threat Intelligence, UNC5342.
Cette campagne, qui acheminait les appareils infectés via Tron, Aptos en tant que sauvegarde, et se terminant par la même transaction sur BNB Smart Chain, faisait écho à un autre cas de 2025 où des hackers nord-coréens ont planté du code de vol de crypto dans des contrats intelligents de style Ethereum (EtherHiding).
Chainalysis a également trouvé des liens avec le ministère iranien du Renseignement lors de l’enquête sur une opération qui codait directement les données de routage C2 sur la blockchain Bitcoin.
Le Méthode iranienne portait la signature inhabituelle d'envois de micro-paiements depuis des portefeuilles d'attaquants vers une adresse Bitcoin soupçonnée d'avoir des liens avec Satoshi Nakamoto.
Les modèles d'IA à poids ouverts ont facilité les opérations
La hausse de 440 % des dépôts malveillants depuis juillet 2025 coïncide avec l'émergence des modèles d'IA open-source chinois les plus avancés débloquant la capacité à rédiger du code de niveau A. En termes bruts, les écritures sont passées d'environ 2.06 à 11.1 par jour.
Eric Jardine, responsable de la recherche sur la cybercriminalité chez Chainalysis, a déclaré que l'entreprise ne pouvait pas confirmer que les acteurs publiant les transactions malveillantes avaient effectivement utilisé ces modèles pour augmenter leur production.
Le rapport s'ajoute à une longue série d'activités crypto nord-coréennes. CertiK a estimé en mai que des acteurs liés à la RPDC avaient volé environ 6,75 milliards de dollars depuis 2016 au cours de 263 incidents, en s'appuyant sur l'ingénierie sociale plutôt que sur des exploits logiciels purs, comme Cryptopolitan l'a rapporté.
Des recherches distinctes présentées lors de la conférence Black Hat cette année ont élargi encore le spectre, un enquêteur ayant découvert que les opérateurs nord-coréens avaient infiltré 1,640 entreprises dans 57 pays. Le renseignement américain a indiqué que les fonds pris par ces opérations aident à payer les programmes nucléaires et de missiles du régime, une accusation que Pyongyang a niée.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qu’est-ce qu’un point mort (dead drop) sur une blockchain ?
Il s'agit d'une technique baptisée par Chainalysis, où les attaquants stockent des charges utiles de malware ou des pointeurs de commande et contrôle (C2) au sein de transactions on-chain et de contrats intelligents, permettant ainsi aux appareils infectés de les récupérer et assurant la pérennité du dispositif malgré les saisies de domaines et les fermetures de serveurs.
Quelles blockchains ont utilisées les pirates coréens du Nord et iraniens ?
Selon Chainalysis, le groupe lié à la Corée du Nord UNC5342 a utilisé Tron, Aptos et BNB Smart Chain, en acheminant d'abord les appareils via Tron avant de basculer vers Aptos en cas d'échec, tandis que des acteurs soupçonnés d'être liés à l'Iran ont intégré des données de routage C2 dans des transactions Bitcoin, y compris des paiements adressés à une adresse Bitcoin historiquement associée à Satoshi Nakamoto.
Pourquoi l'activité de malware on-chain a-t-elle explosé au cours de la dernière année ?
Chainalysis a enregistré une hausse de 440 % des écritures malveillantes depuis juillet 2025, date à laquelle des modèles d'IA open-source chinois à haute capacité sont devenus capables de générer du code malveillant avec des garde-fous limités, bien que la firme ait indiqué ne pas pouvoir prouver que les attaquants ont utilisé ces modèles pour augmenter leur production.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
