Die auf öffentlichen Blockchains geschriebenen Malware-Anweisungen stiegen in einem Jahr um 420 Prozent, wobei staatsverbundene Betreiber etwa zwei Drittel der neuen Dead-Drop-Aktivitäten antrieben. Unveränderlichkeit, die lange als Kern-Tugend der Krypto beschrieben wurde, ist jetzt eine tragende Funktion der Malware-Infrastruktur.
On-Chain-Malware ist um 420 % gestiegen — Krypto hat die Waffe in die Hand gegeben
Wichtige Erkenntnisse
- Die auf öffentlichen Blockchains geschriebenen Malware-Anweisungen stiegen von 2,06 Schreibvorgängen pro Tag auf 11,1 Schreibvorgänge pro Tag, ein Anstieg von 420 Prozent im Jahresvergleich, laut Chainalysis.
- Staatsverbundene Betreiber, die mit Nordkorea und Iran in Verbindung stehen, machen nun etwa zwei Drittel der neuen Blockchain-Dead-Drop-Aktivitäten pro Quartal aus.
- Der Anstieg korreliert mit der Veröffentlichung von Open-Weight-KI-Modellen mit hoher Kapazität in der Mitte 2025, einem Aktivitätsanstieg um 440 Prozent, den Chainalysis mit diesen Veröffentlichungen in Verbindung bringt, aber nicht behauptet, dass sie durch diese verursacht wurden.
Immutabilität, die ein Jahrzehnt lang als Kernvirtuose öffentlicher Blockchains galt, ist nun eine tragende Funktion der Infrastruktur von Malware staatlicher Akteure.
Die erwartete regulatorische Reaktion besteht darin, am Rand der Chain zu filtern, was die Infrastruktur, die dezentral bleiben sollte, still und leise zentralisieren würde.
Was ist ein Blockchain-Dead-Drop?
Ein Blockchain-Dead-Drop beantwortet eine spezifische Frage: Was passiert mit Malware, wenn ihr Command-and-Control-Server beschlagnahmt wird? Die Antwort war früher, dass sie abstirbt. Jetzt nicht mehr. Malware, die sich bereits auf einem infizierten Rechner befindet, benötigt keine Domain mehr, um nach Hause zu telefonieren. Sie muss nur die Blockchain lesen.
Angreifer schreiben einen codierten Zeiger, wie zum Beispiel eine Serveradresse, eine Konfigurationsdatei oder einen Rotationsplan, in eine Transaktion oder einen Smart Contract. Das infizierte Gerät liest ihn aus, aktualisiert sich selbst und bleibt nach der Entfernung der alten Domain oder der Beschlagnahmung des alten Servers durch Sicherheitsfirmen weiterhin funktionsfähig. Eine Domain kann abgeschaltet werden. Ein bestätigter Block nicht.
Mit Iran verbundene Akteure führten diese Logik zu ihrem Ende, indem sie eine historisch bemerkenswerte frühe Bitcoin-Adresse als permanentes Bulletin Board nutzten und Dust-Zahlungen dorthin sendeten, damit infizierte Geräte wussten, wo sie suchen müssen. Ein Artefakt aus der frühesten Phase des Netzwerks ist nun eine tragende Komponente der verdächtigen iranischen Malware-Infrastruktur.
Das große Bild: Unveränderlichkeit traf auf ihren ersten Nutzer im staatlichen Maßstab
Ein Jahrzehnt lang waren Unveränderlichkeit und Zensurresistenz die Eigenschaften, die die Branche als Garantien beschrieb. Code ist Gesetz. Die Chain kann nicht bearbeitet werden. Niemand kann eine bestätigte Transaktion entfernen. Diese Eigenschaften waren der erklärte Unterschied zwischen Krypto und Banken, die Konten einfrieren, wenn eine Regierung anruft.
Der Bericht zeigt, was passiert, wenn dieselben Eigenschaften einem anderen Zweck dienen. Staatsverbundene Akteure, die mit Nordkorea und Iran verbunden sind, nutzen Blockchains nicht nur, um Werte zu bewegen. Sie nutzen sie als Hosting, das nicht entfernt werden kann. Anfang 2024 war dies weitgehend eine gewöhnliche Cyberkriminalitäts-Technik. Achtzehn Monate später ist es ein Wettstreit zwischen staatlichen Programmen.
Diese Verschiebung ist die größere Geschichte, größer als die 420-Prozent-Zahl. Dies hörte auf, eine Geschichte über Betrüger zu sein. Es ist jetzt eine Geschichte über sanktionierte Staaten, die Spionageinfrastruktur durch Schienen leiten, die so konzipiert wurden, dass keine externe Autorität etwas daraus entfernen kann.
Wer gewinnt, und wer verliert?
Staatlich verbundene Programme gewinnen zuerst: Sie erhielten ein dauerhaftes Hosting, das fast nichts kostet und nicht gelöscht werden kann. Blockchain-Forensik-Unternehmen gewinnen ebenfalls, da jeder neue tote Punkt einen weiteren Zuordnungsbericht und ein weiteres Produkt zum Verkauf bedeutet. Labore mit Open-Weight-Modellen gewinnen an Reichweite als Beschleuniger, ob beabsichtigt oder nicht.
Das Dezentralisierungsprinzip verliert zuerst. Seit Jahren lautete das Argument, dass niemand etwas On-Chain berühren sollte. Dieses Argument muss nun das bevorzugte Dateisystem für nordkoreanische Malware und iranische Spionagesoftware abdecken. Gewöhnliche Nutzer verlieren auf einfachere Weise, da diese Malware letztendlich ihre Wallets, Browser und Zugangsdaten angreift.
Die Folgewirkung ist für die Marktstruktur am wichtigsten. Wenn eine Chain sich nicht selbst regulieren kann, besteht die regulatorische Antwort darin, die Ränder der Chain zu regulieren. Das bedeutet, dass RPC-Anbieter, Node-Betreiber, Indexer und Börsen gebeten werden, zu filtern, was die Infrastruktur, die offen bleiben sollte, zentralisiert. Die Argumente, die 2022 im Zusammenhang mit Sanktionen gegen Privacy-Tools kursierten, sind bescheidene Vorschau auf das, was kommt, wenn die Anforderung lautet, Malware-Befehlskanäle zu filtern.
Ist das schon einmal passiert?
Ja, aber nie in diesem Ausmaß oder mit diesen Beteiligten. Der erste dokumentierte Blockchain-Tote-Punkt stammt aus dem Jahr 2013, als eine Necurs-Botnet-Variante Command-and-Control-Domains auf Namecoin parkte. 2019 versteckte der Glupteba-Mining-Botnet Daten in einem Bitcoin-OP_RETURN-Feld. 2023 verlagerte die ClearFake-Gruppe unter dem Namen EtherHiding Infostealer-Code in BNB-Smart-Chain-Verträge, nachdem sie ihre herkömmlichen Server verloren hatte.
Drei Dinge sind jetzt anders. Skalierung: Bösartige Schreibvorgänge stiegen von 2,06 pro Tag auf 11,1 pro Tag in weniger als einem Jahr. Beteiligung: Die Technik entwickelte sich von einem Trick von Cyberkriminellen zu einem Standard-Werkzeug des Staates. Eintrittsbarriere: Chainalysis zieht einen klaren zeitlichen Zusammenhang zwischen dem Anstieg und dem Mitte 2025 erfolgten Erscheinen von Open-Weight-KI-Modellen mit hoher Kapazität, die in der Lage sind, kompetenten bösartigen Code mit begrenzten Schutzvorkehrungen zu generieren. Der leitende Forscher hinter dem Bericht geht nicht so weit, Kausalität zu behaupten, und der Zeitpunkt ist weiterhin schwer zu entkräften.
Nordkorea ist der klarste dokumentierte Fall. Die Threat Intelligence Group von Google verfolgt einen Cluster namens UNC5342, den Chainalysis mit einer Kampagne in Verbindung bringt, die infizierte Maschinen über Tron als primären Kanal und Aptos als Backup leitet, bevor sie auf einer BNB Smart Chain-Transaktion landet, die verschlüsselte Konfigurationsdaten enthält. Schätzungen von TRM Labs zufolge haben mit Nordkorea verbundene Akteure in der ersten Hälfte von 2026 Kryptowährungen im Wert von rund 643 Millionen Dollar gestohlen, was etwa zwei Drittel aller Krypto-Diebstähle in diesem Zeitraum ausmacht.
Wohin führt das in ein bis drei Jahren?
Nehmen wir an, das Volumen steigt weiter an. Open-Weight-Modelle werden nicht wieder eingeführt, und die Grenzkosten für den Aufbau eines Dead-Drop-Relays betragen nur wenige hundert Bytes codierter Daten. Die Zuschreibung läuft in die andere Richtung: Sie erfordert das Zusammensetzen von Cross-Chain-Mustern, Off-Chain-Serverprotokollen und jahrelanger Kampagnengeschichte. Die Wirtschaftlichkeit ist umgekehrt, wobei Angreifer nur wenige Cent zahlen und Verteidiger Millionen.
Der umstrittene Bereich wird gefiltert. Eine Blockchain kann auf Protokollebene keinen bösartigen Dead Drop von einer legitimen Transaktion unterscheiden, da beide nur Bytes sind. Entweder werden öffentliche Chains als dauerhaft dual-use Infrastruktur akzeptiert, oder das Filtering verlagert sich an die Ränder zu RPC-Anbietern, Wallets und Indexern, zusammen mit der damit einhergehenden Zentralisierung.
Das wahrscheinliche Ergebnis ist beides, jedoch unvollkommen umgesetzt. Die permissionless-Basisschicht bleibt offen und wird feindseliger, während regulierte Aktivitäten auf konforme Infrastrukturen wechseln, bei denen Filterung als Feature betrachtet wird. Auf diesem Weg beschleunigt diese Meldepflicht die Spaltung zwischen Krypto als ideologisches Projekt und Krypto als finanzielle Infrastruktur.
Was Marktteilnehmer daraus mitnehmen sollten
Daraus folgt keine Kursprognose. Die strukturelle Einschätzung ist enger gefasst: Das Sicherheitsrisiko ist zum Infrastrukturrisiko geworden, anstatt eine Frage individueller Vorsicht zu sein. Wenn der Bedrohungsakteur ein staatliches Programm ist, das KI nutzt, um Malware schneller zu iterieren, als Nutzer Patches anwenden können, ist die Angriffsfläche nicht mehr nur die Seed-Phrase. Sie ist der gesamte Endpunkt, auf dem eine Wallet läuft.
Daraus ergeben sich drei Implikationen. Die Endpunkt-Hygiene ist jetzt genauso wichtig wie die Überprüfung von Smart Contracts, da eine kompromittierte Maschine eine Transaktion stillschweigend umschreiben kann, selbst wenn der Vertrag einwandfrei ist. Börsen und Wallets werden wahrscheinlich Reibungspunkte wie Geräteprüfungen, Transaktionssimulationen und obligatorische Co-Signer hinzufügen, da sie die Verluste tragen. Und die in diesem Bericht genannten Chains sind genau zu beobachten: Tron ist gleichzeitig die größte Dollar-Abwicklungsinfrastruktur und ein dokumentierter primärer Malware-Kanal, und wenn Regulierungsbehörden dies als Compliance-Problem und nicht als Zufall betrachten, ändert sich das Bild schnell.
Code ist Gesetz, und Code ist auch eine Waffe
Die unbequeme Frage ist, wie ein System, das so aufgebaut wurde, dass nichts gelöscht werden kann, mit der Entdeckung umgegangen ist, dass die Eigenschaft für die Akteure am wertvollsten ist, die am meisten daran interessiert sind, dass Inhalte an Ort und Stelle bleiben.
Die Antwort bisher ist nicht der Dissident oder der Entwickler. Es ist der Malware-Autor und das staatliche Programm, die nun ein permanentes, zensurresistentes Bulletin Board betreiben, das von der Branche gebaut und von der Branche als Tugend gelobt wurde. Unveränderlichkeit ist kein Feature mehr. Sie hat einen zweiten Kunden gewonnen.
FAQ
Was ist ein Blockchain-Dead-Drop? Es ist die Speicherung von Malware-Anweisungen, wie Server-Adressen, Konfigurationsdaten oder Rotationsplänen, innerhalb einer Transaktion oder eines Smart Contracts auf einer öffentlichen Blockchain. Infizierte Geräte lesen diese Daten, um nach der Beschlagnahmung oder Abschaltung herkömmlicher Command-and-Control-Server weiter zu funktionieren.
Warum kann die Malware nicht aus der Chain entfernt werden? Weil Blockchains von Grund auf unveränderlich sind. Sobald eine Transaktion bestätigt ist, kann sie nicht gelöscht oder bearbeitet werden, und kein Hosting-Anbieter oder Gericht kann ihre Entfernung erzwingen. Diese Beständigkeit, die lange als Kernmerkmal gefeiert wurde, macht die Chain als Infrastruktur für Malware erst nützlich.
Wer steckt hinter dem Anstieg? Staatlich verbundene Gruppen treiben den Großteil davon voran. Chainalysis führt etwa zwei Drittel der neuen Dead-Drop-Aktivitäten pro Quartal auf Betreiber zurück, die mit Nordkorea und dem Iran verbunden sind, wobei die mit Nordkorea verbundene Cluster UNC5342 und mutmaßliche iranische Geheimdienstoperatoren als die aktivsten identifiziert wurden.
Hat KI dies verursacht? Chainalysis meldet eine klare zeitliche Assoziation zwischen dem Anstieg und der Veröffentlichung von Open-Weight-KI-Modellen mit hoher Kapazität Mitte 2025 und geht nicht so weit, nachzuweisen, dass die spezifischen Akteure diese Modelle genutzt haben. Der praktische Effekt ist in jedem Fall derselbe: Die Kompetenz- und Kostenbarrieren für den Aufbau von auf Blockchain basierender Malware-Infrastruktur sind eingebrochen.
Was können Nutzer tatsächlich tun? Das unmittelbare Risiko liegt in der Infektion außerhalb der Chain, durch gefälschte Anwendungen, schädliche Downloads und kompromittierte Endgeräte, und nicht in der Chain selbst. Der Umgang mit Downloads mit mehr Skepsis, die Aufbewahrung von Wiederherstellungsphrasen offline, die Bevorzugung geprüfter Wallets und die Annahme, dass eine kompromittierte Maschine eine Transaktion neu schreiben kann, selbst wenn der Smart Contract einwandfrei ist, stellen die praktischen Kontrollen dar.