Secondo quanto riportato da Chainalysis, da quando sono arrivati i modelli di IA open source cinesi senza restrizioni, gli aggressori pubblicano istruzioni per il malware sulle blockchain con una frequenza superiore del 440%. Le scritture on-chain malevole giornaliere sono passate da 2,06 a 11,1 in meno di un anno.
Chainalysis definisce questa tecnica blockchain dead drops (BDD), ovvero depositi clandestini su blockchain. Secondo l’azienda, oggi la maggior parte di queste attività è opera di operatori legati a Stati come la Corea del Nord e l’Iran.
La resistenza alla censura diventa una risorsa per gli hacker
Nel suo ultimo rapporto, Chainalysis ha osservato che gli hacker archiviavano il codice malevolo su server centralizzati, che potevano essere sequestrati, bloccati o messi offline. Ora, invece, gli aggressori lo archiviano su blockchain pubbliche.
«Definiamo questa tecnica “blockchain dead drops” (BDD). Le BDD archiviano payload in transazioni on-chain e smart contract, da cui i dispositivi infetti possono recuperarli su richiesta. La permanenza delle blockchain conferisce longevità alle campagne informatiche degli attori delle minacce: possono comunicare con le macchine compromesse senza temere di perdere il proprio relay di comando e controllo (C2)», si legge nel rapporto.
L’azienda sottolinea che il pericolo sta nella durabilità, non nella potenza di fuoco. Le campagne resistono ai sequestri di domini, alla chiusura dei servizi di hosting e alla rimozione dei repository. La tecnica risale al 2013, quando una variante della botnet Necurs archiviò dei domini su Namecoin, una fork di Bitcoin (BTC).
Nel 2023 la tecnica è arrivata sulle chain della Ethereum Virtual Machine (EVM) con il nome di EtherHiding. In seguito Google ha scoperto che UNC5342, un gruppo nordcoreano, la utilizzava durante falsi colloqui di lavoro.
Chainalysis fa risalire la recente esplosione alla metà del 2025. È allora che sono stati lanciati potenti modelli cinesi open-weight, privi di protezioni contro la scrittura di codice dannoso. Secondo l’azienda, questo ha eliminato la barriera di competenze che un tempo rendeva rari i dead drop.
La diffusione ormai va ben oltre il mondo delle criptovalute. I ricercatori di Netskope affermano che l’attacco alla supply chain ChainDrop ha colpito oltre 440 pacchetti npm nell’agosto 2026.
Seguici su X per ricevere le ultime notizie in tempo reale
Pyongyang, Teheran e i forum russi scrivono i propri piani d’azione
Fino all’inizio del 2024, i criminali informatici erano responsabili di quasi tutte le attività legate ai dead drop. Nel secondo trimestre del 2026, i gruppi legati a governi hanno generato circa due terzi delle nuove attività ogni trimestre e la metà del totale.
Il gruppo nordcoreano UNC5342 utilizza ora un relay a tre blockchain. Gli indicatori su TRON (TRX) e Aptos (APT) indirizzano i dispositivi infetti verso dispositivi crittografati sulla BNB Smart Chain.
«L’autore dell’attacco ruota l’infrastruttura pubblicando nuove transazioni, e ogni dispositivo precedentemente infettato rileva automaticamente la modifica. Per interrompere l’operazione sarebbe necessario intervenire simultaneamente su tutte e tre le blockchain», ha osservato il team.
Operatori dei servizi segreti iraniani, sospettati di essere coinvolti, inviano minuscoli pagamenti in Bitcoin a un indirizzo noto collegato a Satoshi Nakamoto. Chainalysis ha affermato che il malware cerca dati all’interno di ogni transazione, poi li decodifica per recuperare l’infrastruttura dell’autore dell’attacco in uso.
Nel frattempo, i criminali russofoni vendono questa capacità come servizio. Un portafoglio dell’operatore su Polygon (POL) controlla una flotta di contratti resolver, ciascuno apparentemente al servizio di un diverso cliente pagante.
I difensori non possono semplicemente bloccare il traffico blockchain senza compromettere ogni wallet e app legittimi, osserva il rapporto. La stessa permanenza che protegge gli aggressori, tuttavia, lascia ogni aggiornamento su un registro pubblico.
Resta da vedere se gli investigatori riusciranno a trasformare quelle tracce in arresti più rapidamente di quanto gli strumenti di IA riescano a creare nuovi operatori.
Iscriviti al nostro canale YouTube per vedere leader e giornalisti fornire approfondimenti esperti
Fonte: BeInCrypto
