Coreia do Norte e Irã impulsionam aumento de 5,2 vezes em malware oculto em blockchains públicas
- A Chainalysis informou na quinta-feira que a escrita de malware em blockchains públicos aumentou 420% no último ano.
- A empresa atribuiu esse aumento a hackers estatais ligados à Coreia do Norte e ao Irã.
- O código armazenado on-chain sobrevive às tomadas de servidores e domínios que normalmente encerram uma campanha.
A Chainalysis nomeou especificamente hackers com ligações à Coreia do Norte e ao Irã pela maior parte do aumento de 420% que detectou no número de instâncias em que atacantes escreveram instruções de malware ou dados de infraestrutura em blockchains públicas ao longo do último ano.
O relatório de quinta-feira publicado pela empresa de análise de blockchain disparou alarmes em bolsas, provedores de carteiras e equipes de segurança, pois esse tipo de código malicioso explora a natureza da blockchain para persistir por mais tempo do que aqueles armazenados em servidores tradicionais ou domínios que podem ser derrubados apreendendo o site.
O que é um depósito morto em blockchain?
De acordo com a Chainalysis, a técnica de “depósito morto em blockchain” ou BDD é um processo em que os atacantes estocam payloads e ponteiros de comando e controle dentro de transações on-chain e contratos inteligentes. Dessa forma, as máquinas infectadas podem buscá-los quando for hora de agir.
O método tornou-se popular entre hackers porque a tecnologia blockchain, por sua natureza, aumenta exponencialmente a viabilidade dos dados armazenados. Campanhas morrem uma morte natural quando o domínio é apreendido, a hospedagem é cortada ou o repositório de código é removido. No entanto, as instruções armazenadas em um livro-razão público persistem e permanecem acessíveis através de todas essas condições.
Segundo a Chainalysis, o primeiro caso registrado dessa técnica remonta a 2013, quando uma variante da botnet Necurs estocou seus domínios C2 no Namecoin. Em um caso separado de 2019, os operadores da botnet de mineração Glupteba usaram o campo OP_RETURN do Bitcoin para ocultar dados.
A tendência se espalhou sob o rótulo EtherHiding para as cadeias estilo Ethereum em meados de 2023. O primeiro de seu tipo ocorreu quando os operadores da ClearFake migraram seu código de infostealer para a BNB Smart Chain após a Cloudflare derrubar seus servidores.
No início de 2024, cibercriminosos comuns eram responsáveis pela maior parte da atividade. No entanto, avançando para o segundo trimestre de 2026, a Chainalysis agora relata que operadores de estados-nação estão escrevendo aproximadamente dois de cada três depósitos mortos em blockchains públicas.
Operadores da Coreia do Norte e do Irã estão ativos
A Chainalysis completou o ciclo de uma investigação conectando um conjunto de transações anteriormente não atribuídas em três redes a um grupo ligado à Coreia do Norte no radar da Google Threat Intelligence, o UNC5342.
Essa campanha, que roteou dispositivos infectados através da Tron, Aptos como backup, e terminou na mesma transação da BNB Smart Chain, espelhou outro caso de 2025 quando hackers da Coreia do Norte plantaram código de roubo de criptomoedas dentro de contratos inteligentes estilo Ethereum (EtherHiding).
A Chainalysis também encontrou ligações com o Ministério de Inteligência do Irã ao investigar uma operação que codificou dados de roteamento C2 diretamente na blockchain do Bitcoin.
O Método iraniano carregava a assinatura incomum de enviar pagamentos minúsculos de carteiras do atacante para um endereço do Bitcoin supostamente ligado a Satoshi Nakamoto.
Modelos de IA de peso aberto ajudaram nas operações
O aumento de 440% nos depósitos mortos maliciosos desde julho de 2025 coincidiu com os modelos de IA chineses de código aberto mais avançados desbloqueando a capacidade de escrever código de nível A. Em termos brutos, as escritas aumentaram de cerca de 2.06 para 11.1 por dia.
Eric Jardine, líder de pesquisa em crimes cibernéticos da Chainalysis, disse que a empresa não pôde confirmar se os atores que publicam as transações maliciosas realmente usaram os modelos para aumentar sua produção.
O relatório surge no topo de uma longa sequência de atividades de criptomoedas da Coreia do Norte. A CertiK estimou em maio que atores ligados à RPDC roubaram cerca de US$ 6,75 bilhões desde 2016 em 263 incidentes, dependendo mais de engenharia social do que de exploits de software puros, já que reportou o Cryptopolitan.
Pesquisas separadas apresentadas neste ano na Black Hat ampliaram ainda mais o alcance, com um investigador descobrindo que operadores da Coreia do Norte haviam infiltrado 1,640 empresas em 57 países. A inteligência dos EUA afirmou que os fundos obtidos por essas operações ajudam a pagar pelos programas nucleares e de mísseis do regime, uma acusação que Pyongyang negou.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
O que é um depósito morto em blockchain?
É uma técnica, nomeada pela Chainalysis, na qual os atacantes armazenam payloads de malware ou ponteiros de comando e controle dentro de transações on-chain e contratos inteligentes, permitindo que dispositivos infectados os recuperem e garantindo que a infraestrutura sobreviva a apreensões de domínio e tomadas de servidor.
Quais blockchains os hackers norte-coreanos e iranianos utilizaram?
De acordo com a Chainalysis, o grupo vinculado à Coreia do Norte UNC5342 utilizou Tron, Aptos e BNB Smart Chain, roteando dispositivos primeiro através da Tron e caindo para o Aptos como fallback, enquanto supostos atores vinculados ao Irã incorporaram dados de roteamento C2 em transações Bitcoin, incluindo pagamentos a um endereço Bitcoin historicamente ligado a Satoshi Nakamoto.
Por que a atividade de malware on-chain aumentou no último ano?
A Chainalysis registrou um aumento de 440% em escritas maliciosas desde julho de 2025, quando modelos de IA chineses de código aberto de alta capacidade passaram a ser capazes de gerar código malicioso com salvaguardas limitadas, embora a empresa tenha dito que não pôde provar que os atacantes usaram esses modelos para aumentar sua produção.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
