Malware blockchain : l’IA provoque une hausse de 440 %

Les écritures liées aux logiciels malveillants sur blockchain sont passées de 2,06 à 11,1 par jour après l’émergence de modèles d’IA chinois open-weight à forte capacité, soit une hausse de 440 % en moins d’un an, selon Chainalysis. Au deuxième trimestre 2026, les groupes liés à la Corée du Nord et à l’Iran représentaient environ les deux tiers de l’activité nouvellement observée de type blockchain-dead-drop chaque trimestre. Les opérateurs liés à des États représentaient environ la moitié de toute l’activité suivie par l’entreprise, contre une part négligeable début 2024.

Pourquoi c’est important

Un dead drop sur blockchain stocke des instructions de logiciel malveillant, des adresses de commande et contrôle ou des pointeurs vers une infrastructure dans des transactions et des smart contracts. Les appareils infectés peuvent interroger ces registres publics pour obtenir des mises à jour, ce qui permet aux attaquants de changer de serveurs sans réinfecter leurs victimes. Chainalysis a indiqué que les outils de programmation fondés sur l’IA avaient réduit le niveau d’expertise nécessaire pour construire cette infrastructure, tout en précisant que ses données n’identifiaient pas un modèle unique et ne prouvaient pas que l’IA était la seule cause de cette hausse.

Le groupe lié à la Corée du Nord UNC5342 a utilisé TRON et Aptos comme routes redondantes vers BNB Smart Chain, les appareils infectés changeant de route en cas de panne. Les opérateurs liés à l’Iran ont, eux, intégré des informations de routage dans des transactions Bitcoin envoyées à une adresse bien connue associée à Satoshi Nakamoto. Cette adresse n’a aucun lien avec les attaquants et sert de point de référence public permanent.

Impact sur le marché

Cette technique accroît le risque opérationnel pour les entreprises crypto, les développeurs et les grandes entreprises, mais bloquer des réseaux entiers perturberait aussi les portefeuilles légitimes, les plateformes DeFi et d’autres applications. Des groupes criminels russophones ont utilisé des smart contracts Polygon comme résolveurs de commandes, notamment via une infrastructure proposée selon un modèle de malware-as-a-service.

La même permanence qui aide les attaquants crée aussi une trace exploitable pour la surveillance. Les défenseurs peuvent cartographier les portefeuilles, les contrats résolveurs et l’historique des mises à jour, tandis que les organisations peuvent examiner les requêtes JSON-RPC sortantes à la recherche de demandes suspectes. Les passerelles RPC, les fournisseurs d’API, les exchanges et les entreprises de cybersécurité devraient subir une pression croissante pour bloquer les activités malveillantes sans entraver l’accès normal aux blockchains.