Blockchain-Malware steigt durch KI um 440 Prozent

Die Zahl der Blockchain-Schreibvorgänge durch Malware stieg laut Chainalysis von 2,06 auf 11,1 pro Tag. Das entspricht einem Anstieg von 440 % in weniger als einem Jahr, nachdem leistungsfähige chinesische KI-Modelle mit offenen Gewichten aufkamen. Bis zum zweiten Quartal 2026 waren mit Nordkorea und Iran verbundene Gruppen in jedem Quartal für etwa zwei Drittel der neu beobachteten Blockchain-Dead-Drop-Aktivitäten verantwortlich. Staatlich verbundene Akteure machten rund die Hälfte der vom Unternehmen erfassten Aktivitäten aus, nach einem vernachlässigbaren Anteil Anfang 2024.

Warum das wichtig ist

Ein Blockchain-Dead-Drop speichert Malware-Anweisungen, Command-and-Control-Adressen oder Hinweise auf Infrastruktur in Transaktionen und Smart Contracts. Infizierte Geräte können diese öffentlichen Datensätze nach Updates abfragen. So können Angreifer Server wechseln, ohne die Opfer erneut zu infizieren. Chainalysis erklärte, KI-Programmierwerkzeuge hätten die erforderlichen Fachkenntnisse für den Aufbau dieser Infrastruktur gesenkt. Zugleich wies das Unternehmen darauf hin, dass seine Daten kein einzelnes Modell identifizieren und nicht belegen, dass allein KI den Anstieg verursacht hat.

Die mit Nordkorea verbundene Gruppe UNC5342 nutzte TRON und Aptos als redundante Wege in die BNB Smart Chain. Infizierte Geräte wechselten den Weg, wenn einer davon ausfiel. Mit Iran verbundene Akteure betteten dagegen Routing-Informationen in Bitcoin-Transaktionen ein, die an eine bekannte Adresse mit Verbindung zu Satoshi Nakamoto gesendet wurden. Die Adresse steht in keiner Verbindung zu den Angreifern und dient als dauerhafter öffentlicher Referenzpunkt.

Auswirkungen auf den Markt

Die Technik erhöht das Betriebsrisiko für Kryptounternehmen, Entwickler und andere Unternehmen. Eine Sperrung ganzer Netzwerke würde jedoch auch legitime Wallets, DeFi-Plattformen und andere Anwendungen beeinträchtigen. Russischsprachige kriminelle Gruppen nutzten Polygon-Smart-Contracts als Command-Resolver, darunter Infrastruktur, die über ein Malware-as-a-Service-Modell angeboten wurde.

Dieselbe Beständigkeit, die Angreifern hilft, schafft auch eine Überwachungsspur. Verteidiger können Wallets, Resolver-Contracts und Update-Verläufe erfassen. Organisationen können außerdem ausgehende JSON-RPC-Anfragen auf verdächtige Abfragen prüfen. RPC-Gateways, API-Anbieter, Börsen und Cybersicherheitsunternehmen dürften zunehmend unter Druck geraten, schädliche Aktivitäten zu blockieren, ohne den normalen Blockchain-Zugriff zu beeinträchtigen.