Chainalysis afirmó que las escrituras de malware en blockchain pasaron de 2,06 al día a 11,1 tras la aparición de modelos chinos de IA de código abierto y gran capacidad, un aumento del 440% en menos de un año. En el segundo trimestre de 2026, los grupos vinculados a Corea del Norte e Irán representaron aproximadamente dos tercios de la actividad de blockchain dead drop observada por primera vez cada trimestre. Los operadores vinculados a Estados representaron cerca de la mitad de toda la actividad rastreada por la firma, frente a una proporción insignificante a comienzos de 2024.
Por qué es importante
Un blockchain dead drop almacena instrucciones de malware, direcciones de comando y control o referencias a infraestructuras dentro de transacciones y contratos inteligentes. Los dispositivos infectados pueden consultar esos registros públicos para obtener actualizaciones, lo que permite a los atacantes cambiar de servidor sin volver a infectar a las víctimas. Chainalysis señaló que las herramientas de programación con IA redujeron los conocimientos necesarios para construir esta infraestructura, aunque precisó que sus datos no identifican un único modelo ni demuestran que la IA por sí sola causara el aumento.
El grupo UNC5342, vinculado a Corea del Norte, utilizó TRON y Aptos como rutas redundantes hacia BNB Smart Chain, de modo que los dispositivos infectados podían cambiar de ruta si una fallaba. Los operadores vinculados a Irán, en cambio, insertaron información de enrutamiento en transacciones de Bitcoin enviadas a una dirección conocida asociada a Satoshi Nakamoto. La dirección no tiene ninguna relación con los atacantes y sirve como referencia pública permanente.
Impacto en el mercado
La técnica eleva el riesgo operativo para empresas de criptomonedas, desarrolladores y compañías, pero bloquear redes enteras también interrumpiría wallets legítimas, plataformas DeFi y otras aplicaciones. Grupos criminales de habla rusa han utilizado contratos inteligentes de Polygon como resolutores de comandos, incluso mediante infraestructuras ofrecidas bajo un modelo de malware-as-a-service.
La misma permanencia que ayuda a los atacantes también crea un rastro que puede supervisarse. Los defensores pueden mapear wallets, contratos resolutores e historiales de actualizaciones, mientras que las organizaciones pueden inspeccionar las solicitudes JSON-RPC salientes en busca de consultas sospechosas. Es probable que las pasarelas RPC, los proveedores de API, los exchanges y las empresas de ciberseguridad afronten una presión creciente para bloquear la actividad maliciosa sin perjudicar el acceso normal a blockchain.
Preguntas frecuentes
-
¿Para qué se utiliza un blockchain dead drop en las campañas de malware?
Almacena instrucciones de malware, direcciones de comando y control o referencias a infraestructuras en transacciones y contratos inteligentes. Los dispositivos infectados consultan esos registros públicos para obtener actualizaciones.
-
¿Cuánto aumentaron las escrituras maliciosas en blockchain?
Chainalysis afirmó que las escrituras maliciosas pasaron de 2,06 al día a 11,1, un aumento del 440% en menos de un año.
-
¿Qué redes utilizó UNC5342 para el enrutamiento redundante del malware?
El grupo UNC5342, vinculado a Corea del Norte, utilizó TRON y Aptos como rutas redundantes hacia BNB Smart Chain. Los dispositivos infectados podían cambiar de ruta cuando una fallaba.
-
¿Por qué los defensores no pueden simplemente bloquear las blockchains afectadas?
El bloqueo de redes enteras también interrumpiría las wallets legítimas, las plataformas DeFi y otras aplicaciones que dependen de la misma infraestructura.
-
¿Qué pueden supervisar los defensores para detectar actividad de malware basada en blockchain?
Los defensores pueden rastrear wallets, contratos resolutores, relaciones de financiación e historiales de actualizaciones. Las organizaciones también pueden inspeccionar las solicitudes JSON-RPC salientes en busca de consultas sospechosas.
WatcherGuru
CoinTelegraph
WuBlockchain
Crypto News
CoinDesk