Северная Корея и Иран обеспечивают рост вредоносного ПО, скрытого в публичных блокчейнах, в 5,2 раза

Chainalysis конкретно назвала хакеров с северо-корейскими и иранскими связями в качестве основных виновников 420-процентного скачка, который она обнаружила в количестве случаев, когда злоумышленники записывали инструкции вредоносного ПО или данные инфраструктуры в публичные блокчейны за последний год. 

Отчет, опубликованный в четверг аналитической фирмой Blockchain, вызвал тревогу на биржах, в провайдерах кошельков и командах по безопасности, поскольку такие виды вредоносного кода используют природу блокчейна для более длительного сохранения, чем те, которые размещены на традиционных серверах или доменах, которые могут быть удалены путем захвата сайта.

Что такое блокчейновый тайник (dead drop)? 

Согласно Chainalysis, техника «блокчейнового тайника» или BDD — это процесс, при котором злоумышленники размещают полезную нагрузку и указатели командно-контрольных серверов внутри ончейн-транзакций и смарт-контрактов. Таким образом, зараженные машины могут получать их, когда придет время действовать. 

Этот метод стал популярным среди хакеров из-за того, как технология блокчейна по своей природе экспоненциально увеличивает жизнеспособность хранимых данных. Кампании естественным образом умирают, когда домен изымается, хостинг отключается или репозиторий кода удаляется. Однако инструкции, хранящиеся в публичном реестре, сохраняются и остаются доступными при всех этих условиях.

По данным Chainalysis, первый задокументированный случай этой тактики относится еще к 2013 году, когда вариант ботнета Necurs разместил свои домены C2 в Namecoin. В отдельном случае 2019 года операторы майнингового ботнета Glupteba использовали поле OP_RETURN в Bitcoin для сокрытия данных. 

Тренд распространился под названием EtherHiding на блокчейны, похожие на Ethereum, в середине 2023 года. Первый случай произошел, когда операторы ClearFake перенесли свой код инфостилера в BNB Smart Chain после того, как Cloudflare отключила их серверы. 

По состоянию на начало 2024 года обычные киберпреступники были ответственны за большую часть активности. Однако, перенесясь во второй квартал 2026 года, Chainalysis теперь сообщает, что операторы государственных структур теперь создают примерно два из каждых трех тайников в публичных блокчейнах. 

Операторы из Северной Кореи и Ирана активны 

Chainalysis завершила цикл расследования, связав набор ранее неатрибутированных транзакций в трех сетях с группой, связанной с Северной Кореей, UNC5342, находящейся в поле зрения Google Threat Intelligence. 

Эта кампания, которая направляла зараженные устройства через Tron, Aptos в качестве резервного варианта и заканчивалась той же транзакцией в BNB Smart Chain, зеркально отражала другой случай 2025 года, когда северо-корейские хакеры разместили код для кражи криптовалюты внутри смарт-контрактов, похожих на Ethereum (EtherHiding).

Chainalysis также обнаружила связи с Министерством разведки Ирана при расследовании операции, в которой данные маршрутизации C2 были закодированы непосредственно в блокчейне Bitcoin. 

Корпоративные Иранский метод имел необычную подпись в виде отправки крошечных платежей с кошельков злоумышленников на биткоин-адрес, с которым, по слухам, связаны связи Сатоши Накамото. 

Модели искусственного интеллекта с открытым исходным кодом способствовали проведению операций

Рост числа вредоносных «мертвых зон» на 440% с июля 2025 года совпал с появлением самых продвинутых китайских моделей искусственного интеллекта с открытым исходным кодом что дало возможность писать код уровня A. В абсолютных значениях количество записей выросло примерно с 2.06 до 11.1 в день.

Эрик Джардин, руководитель отдела исследований киберпреступности в Chainalysis, заявил, что компания не может подтвердить, что лица, публикующие вредоносные транзакции, действительно использовали эти модели для увеличения объема своей деятельности.

Отчет дополняет длинную череду криптоактивности северокорейских акторов. По оценкам CertiK, сделанным в мае, лица, связанные с КНДР, украли около 6,75 млрд долларов с 2016 года в рамках 263 инцидентов, полагаясь на социальную инженерию, а не на чистые программные уязвимости, поскольку сообщил Cryptopolitan. 

Отдельное исследование, представленное на конференции Black Hat в этом году, показало еще более широкий охват: один из исследователей обнаружил, что северокорейские операторы проникли в 1,640 компаний в 57 странах. Разведывательные службы США заявили, что средства, полученные в ходе этих операций, помогают финансировать ядерные и ракетные программы режима, что Пхеньян отрицает.