Coreia do Norte e Irão impulsionam aumento de 5,2 vezes de malware oculto em blockchains públicas
- A Chainalysis informou na quinta-feira que as gravações de malware em blockchains públicas aumentaram 420% no último ano.
- A iniciativa atribuiu a escalada a hackers estatais ligados à Coreia do Norte e ao Irão.
- O código armazenado na blockchain sobrevive às desativações de servidores e domínios que normalmente interrompem uma campanha.
A Chainalysis apontou especificamente os hackers com ligações à Coreia do Norte e ao Irão como responsáveis pela maior parte do aumento de 420% que detetou no número de casos em que os atacantes escreveram instruções de malware ou dados de infraestrutura em blockchains públicas no último ano.
O relatório divulgado na quinta-feira pela empresa de análise de blockchain fez soar o alarme em corretoras, fornecedores de carteiras digitais e equipas de segurança, uma vez que este tipo de código malicioso explora a natureza da blockchain de persistir por mais tempo do que aqueles alojados em servidores ou domínios tradicionais que podem ser desativados com a apreensão do site.
O que é um dead drop em blockchain?
De acordo com a Chainalysis, a técnica de "blockchain dead drop" ou BDD é um processo no qual os atacantes inserem payloads e ponteiros de comando e controlo em transações etracinteligentes na blockchain. Desta forma, as máquinas infetadas podem aceder aos mesmos quando for a hora de agir.
O método tornou-se popular entre os hackers devido à forma como a tecnologia blockchain, pela sua natureza, aumenta exponencialmente a viabilidade dos dados armazenados. As campanhas morrem de morte natural quando o domínio é apreendido, o alojamento é interrompido ou o repositório de código é removido. No entanto, as instruções armazenadas num livro-razão público persistem e permanecem acessíveis em todas estas situações.
Segundo a Chainalysis, o primeiro registo desta tática data de 2013, quando uma variante da botnet Necurs estacionou os seus domínios de comando e controlo (C2) no Namecoin. Num caso separado, em 2019, os operadores da botnet de mineração Glupteba utilizaram o campo OP_RETURN da Bitcoinpara ocultar dados.
A tendência espalhou-se sob o rótulo EtherHiding para Ethereumem meados de 2023. O primeiro caso deste tipo ocorreu quando os operadores da ClearFake migraram o seu código de roubo de informação para BNB Smart Chain depois de a Cloudflare ter desativado os seus servidores.
No início de 2024, a maior parte da atividade era realizada por cibercriminosos comuns. No entanto, avançando para o segundo trimestre de 2026, a Chainalysis informa que os operadores estatais são agora responsáveis por aproximadamente dois terços dos envios de dados não registados em blockchains públicas.
Os operadores norte-coreanos e iranianos estão ativos
A Chainalysis concluiu o ciclo de uma investigação ao ligar um conjunto de transações anteriormente não atribuídas em três redes a um grupo ligado à Coreia do Norte que estava no radar da Google Threat Intelligence, o UNC5342.
Esta campanha, que encaminhou dispositivos infetados através da Tron, com a Aptos como backup, e terminou na mesma transação BNB Smart Chain, espelhou outro caso de 2025, quando hackers norte-coreanos implantaram código de roubo de criptomoedas dentro detracinteligentes ao estilo Ethereum(EtherHiding).
A Chainalysis também encontrou ligações com o Ministério da Inteligência do Irão durante a investigação de uma operação que codificava dados de encaminhamento de comando e controlo diretamente na blockchain Bitcoin .
O método iraniano apresentava a característica invulgar de enviar pequenos pagamentos de carteiras de atacantes para um Bitcoin que, segundo os rumores, tinha ligações a Satoshi Nakamoto.
Os modelos de IA de peso aberto auxiliaram as operações
O aumento de 440% de mensagens de código malicioso desde julho de 2025 coincidiu com os modelos de IA chineses de código aberto mais avançados, que desbloquearam a capacidade de escrever código de nível A.Em termos brutos, as gravações aumentaram de cerca de 2,06 para 11,1 por dia.
Eric Jardine, chefe de investigação de cibercrime da Chainalysis, afirmou que a empresa não conseguiu confirmar se os agentes que publicaram as transações maliciosas utilizaram realmente os modelos para aumentar a sua produção.
O relatório surge no meio de um longo histórico de atividades criptográficas norte-coreanas. A CertiK estimou em maio que os agentes ligados à Coreia do Norte roubaram cerca de 6,75 mil milhões de dólares desde 2016 em 263 incidentesdentutilizando engenharia social em vez de simples explorações de software, como Cryptopolitan relata.
Uma pesquisa independente apresentada na Black Hat deste ano revelou um alcance ainda maior, com um investigador a descobrir que operadores norte-coreanos se infiltraram em 1.640 empresas em 57 países. Os serviços de informação norte-americanos afirmaram que os fundos obtidos através destas operações ajudam a financiar os programas nucleares e de mísseis do regime, acusação que Pyongyang nega.
Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Assine nossa newsletter. É grátis.
Perguntas frequentes
O que é um dead drop em blockchain?
Trata-se de uma técnica, denominada pela Chainalysis, na qual os atacantes armazenam payloads de malware ou ponteiros de comando e controlo dentro de transações on-chain etracinteligentes, de forma que os dispositivos infectados possam recuperá-los e a configuração sobreviva a apreensões de domínio e desativações de servidores.
Que blockchains foram utilizadas pelos hackers norte-coreanos e iranianos?
Segundo a Chainalysis, o grupo UNC5342, ligado à Coreia do Norte, utilizou as blockchains Tron, Aptos e BNB Smart Chain, encaminhando os dispositivos primeiro através da Tron e, em caso de falha, através da Aptos. Já os suspeitos de ligação ao Irão incorporaram dados de encaminhamento de comando e controlo (C2) em transações Bitcoin , incluindo pagamentos para um endereço Bitcoin historicamente associado a Satoshi Nakamoto.
Porque é que houve um aumento repentino da atividade de malware on-chain no último ano?
A Chainalysis registou um aumento de 440% nas gravações maliciosas desde julho de 2025, quando os modelos de IA chineses de código aberto de alta capacidade se tornaram capazes de gerar código malicioso com salvaguardas limitadas, embora a empresa tenha afirmado que não conseguiu provar que os atacantes usaram estes modelos para aumentar a sua produção.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. CryptopolitanO não se responsabiliza por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamostrona realização de pesquisas independentesdent /ou a consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação para blogs e cobertura de eventos no universo das criptomoedas. No Cryptopolitan, Hannah contribui para a página de notícias, reportando e analisando os últimos desenvolvimentos em DeFi, RWA, regulamentação de criptomoedas, IA e tecnologias de ponta. Ela se formou em Administração de Empresas pela Universidade Arcadia.
