朝鲜和伊朗导致公共区块链上隐藏的恶意软件激增5.2倍

Chainalysis特别点名了与朝鲜和伊朗有关的黑客，称他们导致了过去一年中攻击者在公共区块链上编写恶意软件指令或基础设施数据实例数量激增420%的大部分增长。 

区块链分析公司周四发布的报告在交易所、钱包提供商和安全团队中引发了警报，因为这类恶意代码利用了区块链的特性，使其比停放在传统服务器或域名上的代码存在时间更长，而后者可以通过查封网站来移除。

什么是区块链死投（dead drop）？ 

据Chainalysis称，“区块链死投”或BDD技术是一种过程，攻击者将有效载荷和命令与控制指针停放在链上交易和智能合约中。这样，受感染的机器可以在需要行动时获取它们。 

这种方法在黑客中变得流行，因为区块链技术本身呈指数级增加了存储数据的可行性。当域名被查封、主机服务被切断或代码库被移除时，活动会自然消亡。然而，存储在公共分类账上的指令会持续存在，并在所有这些条件下保持可访问。

据Chainalysis称，有记录以来这种战术的第一个实例可以追溯到2013年，当时Necurs僵尸网络变体将其C2域名停放在Namecoin上。在另一起2019年的案件中，Glupteba挖矿僵尸网络的操作者使用比特币的OP_RETURN字段来隐藏数据。 

这一趋势在 EtherHiding标签 下于2023年中期扩展到以太坊式链。首例发生在ClearFake操作者将信息窃取代码迁移到BNB智能链，当时Cloudflare查封了他们的服务器。 

截至2024年初，普通网络罪犯负责了大部分活动。然而，快进到2026年第二季度，Chainalysis现在报告称，国家行为体正在编写公共区块链上大约三分之二的死投。 

朝鲜和伊朗的操作者活跃 

Chainalysis通过将一组此前未归因的交易连接到Google威胁情报雷达上的与朝鲜有关的组织UNC5342，完成了一项调查的闭环。 

该活动将受感染设备通过Tron路由，以Aptos作为备份，最终到达同一笔BNB智能链交易，这与2025年的另一实例相似，当时朝鲜黑客在以太坊式智能合约中植入了窃取加密货币的代码（EtherHiding）。

Chainalysis在调查一起将C2路由数据直接编码在比特币区块链上的行动时，还发现了与伊朗情报部的联系。 

The 伊朗方法 带有不寻常的特征，即从攻击者钱包向据称与Satoshi Nakamoto有联系的比特币地址发送微小支付。 

开源AI模型助长了这些行动

自2025年7月以来，恶意死投增加了440%，这与最先进的中文开源AI模型 解锁了编写A级代码的能力相吻合。从绝对数值来看，每日写入量从约2.06增加到11.1。

Chainalysis网络犯罪研究主管Eric Jardine表示，该公司无法确认发布恶意交易的参与者是否真的使用了这些模型来提高其产出。

该报告出现在朝鲜加密货币活动长期持续的背景之下。CertiK在5月估计，自2016年以来，与朝鲜有关的行动者在263起事件中窃取了约67.5亿美元，主要依靠社会工程而非纯软件漏洞，因为 Cryptopolitan 报道. 

今年黑帽大会上提出的另一项研究将范围扩大得更多，一名调查员发现朝鲜操作者已经 渗透了1,640家公司的57个国家。美国情报部门表示，这些行动获取的资金用于资助该政权的核计划和导弹计划，平壤否认了这一指控。