Corea del Nord e Iran determinano un aumento di 5,2 volte dei malware nascosti sulle blockchain pubbliche

Chainalysis ha indicato specificamente hacker con legami con la Corea del Nord e l'Iran come responsabili della maggior parte dell'aumento del 420% registrato nell'ultimo anno nel numero di casi in cui gli aggressori hanno scritto istruzioni malware o dati infrastrutturali su blockchain pubbliche. 

Il rapporto pubblicato giovedì dalla società di analisi blockchain ha destato allarme tra exchange, fornitori di wallet e team di sicurezza, poiché questo tipo di codici dannosi sfrutta la natura stessa della blockchain, che permette loro di persistere più a lungo rispetto a quelli ospitati su server o domini tradizionali, che possono essere disattivati ​​sequestrando il sito.

Che cos'è un dead drop su blockchain? 

Secondo Chainalysis, la tecnica "blockchain dead drop" o BDD è un processo in cui gli aggressori inseriscono payload e puntatori di comando e controllo all'interno di transazioni on-chain e smarttrac. In questo modo, le macchine infette possono recuperarli quando è il momento di agire. 

Il metodo è diventato popolare tra gli hacker perché la tecnologia blockchain, per sua natura, aumenta esponenzialmente la durata dei dati memorizzati. Le campagne si estinguono naturalmente quando il dominio viene sequestrato, l'hosting interrotto o il repository del codice rimosso. Tuttavia, le istruzioni memorizzate su un registro pubblico persistono e rimangono accessibili in tutte queste circostanze.

Secondo Chainalysis, il primo caso documentato di questa tattica risale al 2013, quando una variante della botnet Necurs ha posizionato i suoi domini C2 su Namecoin. In un caso separato del 2019, gli operatori della botnet di mining Glupteba hanno utilizzato il campo OP_RETURN di Bitcoinper nascondere i dati. 

La tendenza si è diffusa con l' etichetta EtherHiding sulle Ethereuma metà del 2023. Il primo caso di questo tipo si è verificato quando gli operatori di ClearFake hanno migrato il loro codice di furto di informazioni sulla BNB Smart Chain dopo che Cloudflare ha disattivato i loro server. 

All'inizio del 2024, la maggior parte delle attività era riconducibile a criminali informatici comuni. Tuttavia, nel secondo trimestre del 2026, Chainalysis ha riportato che gli operatori statali stavano scrivendo circa due terzi dei deaddrop su blockchain pubbliche. 

operatori nordcoreani e iraniani sono attivi 

Chainalysis ha completato l'indagine collegando una serie di transazioni precedentemente non attribuite, effettuate su tre reti, a un gruppo legato alla Corea del Nord, identificato come UNC5342 da Google Threat Intelligence. 

Quella campagna, che instradava i dispositivi infetti attraverso Tron, Aptos come backup e terminava con la stessa transazione BNB Smart Chain, ricalcava un altro caso del 2025 in cui hacker nordcoreani avevano inserito codice per il furto di criptovalute all'interno di smarttracin stile Ethereum(EtherHiding).

Chainalysis ha inoltre riscontrato collegamenti con il Ministero dell'Intelligence iraniano durante le indagini su un'operazione che codificava i dati di routing del comando e controllo (C2) direttamente sulla blockchain Bitcoin . 

Il metodo iraniano presentava la caratteristica insolita di inviare piccoli pagamenti dai portafogli degli hacker a un Bitcoin che, secondo alcune indiscrezioni, avrebbe legami con Satoshi Nakamoto. 

I modelli di IA a peso aperto hanno aiutato le operazioni

L'aumento del 440% dei dead drop malevoli da luglio 2025 ha coinciso con lo sblocco, da parte dei modelli di intelligenza artificiale open-source cinesi più avanzati, della capacità di scrivere codice di livello A.In termini assoluti, le scritture sono passate da circa 2,06 a 11,1 al giorno.

Eric Jardine, responsabile della ricerca sui crimini informatici presso Chainalysis, ha affermato che l'azienda non è in grado di confermare che gli autori che pubblicavano le transazioni illecite avessero effettivamente utilizzato i modelli per aumentare la propria produzione.

Il rapporto si inserisce in un quadro di lunga data di attività legate alle criptovalute in Corea del Nord. A maggio, CertiK ha stimato che soggetti legati alla RPDC abbiano rubato circa 6,75 miliardi di dollari dal 2016 in 263 episodidentricorrendo più all'ingegneria sociale che a semplici exploit software, come Cryptopolitan riportato. 

Una ricerca separata presentata quest'anno al Black Hat ha ulteriormente ampliato la portata dell'operazione, con un investigatore che ha scoperto come agenti nordcoreani si siano infiltrati in 1.640 aziende in 57 paesi. L'intelligence statunitense ha affermato che i fondi raccolti tramite queste operazioni contribuiscono a finanziare i programmi nucleari e missilistici del regime, un'accusa che Pyongyang ha sempre respinto.