Malware em blockchain dispara 440% com a IA

As escritas de malware em blockchain passaram de 2,06 para 11,1 por dia após o surgimento de modelos chineses de IA de código aberto e elevada capacidade, um aumento de 440% em menos de um ano, segundo a Chainalysis. No segundo trimestre de 2026, grupos ligados à Coreia do Norte e ao Irão representaram aproximadamente dois terços da nova atividade de dead drop em blockchain observada em cada trimestre. Os operadores ligados a Estados representaram cerca de metade de toda a atividade acompanhada pela empresa, face a uma parcela insignificante no início de 2024.

Porque é importante

Um dead drop em blockchain armazena instruções de malware, endereços de comando e controlo ou referências para infraestruturas dentro de transações e contratos inteligentes. Os dispositivos infetados podem consultar esses registos públicos em busca de atualizações, permitindo aos atacantes alterar os servidores sem voltar a infetar as vítimas. A Chainalysis afirmou que as ferramentas de programação com IA reduziram o nível de conhecimento necessário para criar esta infraestrutura, mas salientou que os seus dados não identificam um único modelo nem provam que a IA, por si só, tenha causado o aumento.

O grupo UNC5342, ligado à Coreia do Norte, utilizou TRON e Aptos como rotas redundantes para chegar à BNB Smart Chain, com os dispositivos infetados a mudar de rota caso uma falhasse. Os operadores ligados ao Irão, por sua vez, incorporaram informação de encaminhamento em transações de Bitcoin enviadas para um endereço conhecido associado a Satoshi Nakamoto. O endereço não tem qualquer ligação aos atacantes e funciona como um ponto de referência público permanente.

Impacto no mercado

A técnica aumenta o risco operacional para empresas de criptomoedas, programadores e empresas, mas bloquear redes inteiras também perturbaria carteiras legítimas, plataformas DeFi e outras aplicações. Grupos criminosos de língua russa utilizaram contratos inteligentes da Polygon como resolvers de comandos, incluindo infraestruturas disponibilizadas através de um modelo de malware-as-a-service.

A mesma permanência que ajuda os atacantes também cria um rasto de monitorização. Os defensores podem mapear carteiras, contratos resolver e históricos de atualizações, enquanto as organizações podem analisar pedidos JSON-RPC de saída em busca de consultas suspeitas. Gateways RPC, fornecedores de API, exchanges e empresas de cibersegurança deverão enfrentar uma pressão crescente para bloquear atividades maliciosas sem prejudicar o acesso normal às blockchains.