Corea del Nord e Iran guidano un aumento di 5,2 volte nei malware nascosti sulle blockchain pubbliche
- Chainalysis ha riferito giovedì che la scrittura di malware sulle blockchain pubbliche è aumentata del 420% nell'ultimo anno.
- Ha attribuito questa crescita ad hacker statali collegati alla Corea del Nord e all'Iran.
- Il codice memorizzato on-chain sopravvive ai sequestri di server e domini che solitamente bloccano una campagna.
Chainalysis ha specificamente nominato hacker con legami nordcoreani e iraniani per la maggior parte del aumento del 420% che ha rilevato nel numero di istanze in cui gli attaccanti hanno scritto istruzioni di malware o dati di infrastruttura sulle blockchain pubbliche nel corso dell'ultimo anno.
Il rapporto pubblicato giovedì dalla società di analisi blockchain ha fatto scattare le allarmi presso gli exchange, i fornitori di wallet e i team di sicurezza, poiché questi tipi di codici malevoli sfruttano la natura della blockchain per persistere più a lungo di quelli archiviati su server tradizionali o domini che possono essere rimossi sequestrando il sito.
Cos'è un dead drop sulla blockchain?
Secondo Chainalysis, la tecnica del "blockchain dead drop" (BDD) è un processo in cui gli attaccanti nascondono payload e puntatori di comando e controllo (C2) all'interno di transazioni on-chain e smart contract. In questo modo, le macchine infette possono recuperarle quando è il momento di agire.
Il metodo è diventato popolare tra gli hacker perché la tecnologia blockchain, per sua natura, aumenta esponenzialmente la vitalità dei dati memorizzati. Le campagne muoiono una morte naturale quando il dominio viene sequestrato, l'hosting viene interrotto o il repository del codice viene rimosso. Tuttavia, le istruzioni memorizzate su un registro pubblico persistono e rimangono accessibili attraverso tutte queste condizioni.
Secondo Chainalysis, il primo caso documentato di questa tattica risale al 2013, quando una variante del botnet Necurs ha parcheggiato i suoi domini C2 su Namecoin. In un caso separato del 2019, gli operatori del botnet minerario Glupteba hanno utilizzato il campo OP_RETURN di Bitcoin per nascondere dati.
La tendenza si è diffusa sotto il label EtherHiding alle catene di tipo Ethereum a metà 2023. Il primo caso di questo tipo si è verificato quando gli operatori di ClearFake hanno migrato il loro codice infostealer su BNB Smart Chain dopo che Cloudflare ha disattivato i loro server.
All'inizio del 2024, i criminali informatici comuni erano responsabili della maggior parte delle attività. Tuttavia, arrivando al secondo trimestre del 2026, Chainalysis segnala ora che gli operatori statali stanno scrivendo circa due dead drop su tre su blockchain pubbliche.
Gli operatori nordcoreani e iraniani sono attivi
Chainalysis ha completato il cerchio di un'indagine collegando un insieme di transizioni precedentemente non attribuite su tre reti a un gruppo legato alla Corea del Nord, sotto la lente di Google Threat Intelligence, UNC5342.
Questa campagna, che instradava i dispositivi infetti attraverso Tron, Aptos come backup, e terminava nella stessa transazione su BNB Smart Chain, rispecchiava un altro caso del 2025 in cui gli hacker nordcoreani hanno piantato codice per rubare criptovalute all'interno di smart contract di tipo Ethereum (EtherHiding).
Chainalysis ha anche trovato collegamenti con il Ministero dell'Intelligenza dell'Iran mentre indagava su un'operazione che codificava i dati di instradamento C2 direttamente sulla blockchain di Bitcoin.
Il Metodo iraniano portava la firma insolita di inviare micro-pagamenti da portafogli degli attaccanti a un indirizzo Bitcoin che si dice abbia legami con Satoshi Nakamoto.
I modelli AI open-weight hanno aiutato le operazioni
L'aumento del 440% nei dead drop malevoli da luglio 2025 è coinciso con i modelli AI open-source cinesi più avanzati sbloccando la capacità di scrivere codice di livello A. In termini grezzi, le scritture sono aumentate da circa 2.06 a 11.1 al giorno.
Eric Jardine, responsabile della ricerca sulla criminalità informatica di Chainalysis, ha dichiarato che l'azienda non poteva confermare che gli attori che pubblicavano le transazioni malevoli avessero effettivamente utilizzato i modelli per aumentare la loro produzione.
Il report si aggiunge a una lunga serie di attività crypto nordcoreane. CertiK ha stimato a maggio che gli attori legati alla RPCD hanno rubato circa 6,75 miliardi di dollari dal 2016 in 263 incidenti, facendo affidamento sull'ingegneria sociale piuttosto che su exploit software puri, come riportato da Cryptopolitan.
Ricerche separate presentate a Black Hat quest'anno hanno ampliato ulteriormente il raggio d'azione, con un investigatore che ha scoperto che gli operatori nordcoreani avevano infiltrato 1,640 aziende in 57 paesi. L'intelligence degli Stati Uniti ha affermato che i fondi presi da queste operazioni aiutano a pagare i programmi nucleari e missilistici del regime, accusa che Pyongyang ha negato.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Cos'è un dead drop sulla blockchain?
È una tecnica, battezzata da Chainalysis, in cui gli attaccanti memorizzano payload di malware o puntatori di comando e controllo all'interno di transazioni on-chain e smart contract, in modo che i dispositivi infetti possano recuperarli e l'infrastruttura sopravviva ai sequestri di dominio e ai sequestri di server.
Quali blockchain hanno utilizzato gli hacker legati alla Corea del Nord e all'Iran?
Secondo Chainalysis, il gruppo UNC5342 legato alla Corea del Nord ha utilizzato Tron, Aptos e BNB Smart Chain, instradando inizialmente i dispositivi attraverso Tron e passando a Aptos come fallback, mentre presunti attori legati all'Iran hanno incorporato dati di routing C2 nelle transazioni Bitcoin, inclusi pagamenti a un indirizzo Bitcoin storicamente associato a Satoshi Nakamoto.
Perché l'attività di malware on-chain è esplosa nell'ultimo anno?
Chainalysis ha registrato un aumento del 440% delle scritture dannose da luglio 2025, quando modelli di intelligenza artificiale open-source cinesi ad alta capacità sono diventati in grado di generare codice malevolo con limitate misure di sicurezza, sebbene l'azienda abbia precisato di non poter provare che gli attaccanti abbiano utilizzato tali modelli per incrementare la propria produzione.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
