Las instrucciones de malware escritas en blockchains públicas aumentaron un 420 por ciento en un año, con operadores vinculados a estados que impulsaron aproximadamente dos tercios de la nueva actividad de puntos muertos. La inmutabilidad, descrita durante mucho tiempo como una virtud central de las criptomonedas, es ahora una característica fundamental de la infraestructura de malware.
El malware onchain acaba de aumentar un 420% — Las criptomonedas entregaron el arma
Puntos clave
- Las instrucciones de malware escritas en blockchains públicas pasaron de 2,06 escrituras por día a 11,1 escrituras por día, un aumento del 420 por ciento interanual, según Chainalysis.
- Los operadores vinculados a estados relacionados con Corea del Norte e Irán ahora representan aproximadamente dos tercios de la nueva actividad de depósito muerto en blockchain cada trimestre.
- El aumento coincide con el lanzamiento de modelos de IA de peso abierto de alta capacidad a mediados de 2025, un salto del 440 por ciento en la actividad que Chainalysis asocia con, pero no afirma que fue causado por, esos lanzamientos.
- La inmutabilidad, tratada durante una década como una virtud central de las blockchains públicas, es ahora una característica fundamental de la infraestructura de malware de los estados-nación.
- La respuesta regulatoria esperada es filtrar en los bordes de la cadena, lo que centralizaría silenciosamente la infraestructura que debía permanecer descentralizada.
¿Qué es un punto muerto de blockchain?
Un punto muerto de blockchain responde a una pregunta concreta: ¿qué le sucede al malware cuando su servidor de comando y control es incautado? Antes, la respuesta era que moría. Ahora no. El malware ya presente en una máquina víctima ya no necesita un dominio para comunicarse con su servidor. Solo necesita leer la blockchain.
Los atacantes escriben un puntero codificado, como una dirección de servidor, un archivo de configuración o un horario de rotación, en una transacción o contrato inteligente. El dispositivo infectado lo lee, se actualiza y sigue funcionando después de que las empresas de seguridad eliminen el dominio antiguo o incauten el servidor antiguo. Un dominio puede ser eliminado. Un bloque confirmado no.
Operadores vinculados a Irán llevaron esta lógica a su conclusión, utilizando una dirección de Bitcoin temprana históricamente notable como un tablón de anuncios permanente y enviando pagos de polvo a ella para que los dispositivos infectados supieran dónde buscar. Un artefacto del período más temprano de la red es ahora un componente estructural de la infraestructura de malware sospechosa de Irán.
El panorama general: la inmutabilidad conoció a su primer usuario a escala estatal
Durante una década, la inmutabilidad y la resistencia a la censura eran las propiedades que la industria describía como garantías. El código es la ley. La cadena no puede ser editada. Nadie puede eliminar una transacción confirmada. Esas propiedades eran la diferencia declarada entre las criptomonedas y los bancos que congelan cuentas cuando un gobierno lo solicita.
El informe muestra lo que sucede cuando las mismas propiedades sirven a un propósito diferente. Los actores vinculados al Estado, relacionados con Corea del Norte e Irán, no solo utilizan blockchains para mover valor. Las están utilizando como alojamiento que no puede ser eliminado. A principios de 2024, esto era en gran medida una técnica común de cibercriminales. Dieciocho meses después, se ha convertido en una competencia entre programas estatales.
Ese cambio es la historia más amplia, más grande que la cifra del 420 por ciento. Esto dejó de ser una historia sobre estafadores. Ahora es una historia sobre estados sancionados que enrutan infraestructura de espionaje a través de canales diseñados para que ninguna autoridad externa pueda eliminar nada de ellos.
¿Quién gana y quién pierde?
Los programas vinculados al Estado ganan primero: obtuvieron alojamiento permanente que cuesta casi nada y no puede ser eliminado. Las empresas de forense de blockchain también ganan, porque cada nuevo punto muerto es otro informe de atribución y otro producto para vender. Los laboratorios de modelos de peso abierto ganan alcance como acelerante, ya sea que esto haya sido intencionado o no.
El principio de descentralización pierde primero. Durante años, el argumento fue que nadie debería poder tocar nada en la cadena. Ese argumento ahora debe cubrir el sistema de archivo preferido para el malware norcoreano y el spyware iraní. Los usuarios ordinarios pierden de una manera más simple, porque este malware finalmente apunta a sus billeteras, navegadores y credenciales.
La consecuencia de segundo orden es la que más importa para la estructura del mercado. Si una cadena no puede policiarse a sí misma, la respuesta regulatoria es policiar los bordes de la cadena. Eso significa que se pedirá a los proveedores de RPC, operadores de nodos, indexadores y exchanges que filtren, lo que centraliza la infraestructura que se suponía que debía permanecer abierta. Los argumentos que circularon en torno a las sanciones a herramientas de privacidad en 2022 son modestas anticipaciones de lo que llegará cuando la solicitud sea filtrar canales de comando de malware.
¿Ha ocurrido esto antes?
Sí, pero nunca a esta escala o con estos participantes. El primer depósito muerto documentado en blockchain se remonta a 2013, cuando una variante de la botnet Necurs estacionó dominios de comando y control en Namecoin. En 2019, la botnet de minería Glupteba ocultó datos en un campo OP_RETURN de Bitcoin. En 2023, bajo el nombre de EtherHiding, el grupo ClearFake trasladó código de infostealers a contratos de BNB Smart Chain después de perder sus servidores convencionales.
Hay tres cosas diferentes ahora. Escala: las escrituras maliciosas pasaron de 2,06 por día a 11,1 por día en menos de un año. Participación: la técnica pasó de ser un truco de cibercriminales a una herramienta estatal estándar. Costo de entrada: Chainalysis traza una asociación clara en un punto en el tiempo entre el aumento y la llegada a mediados de 2025 de modelos de IA de peso abierto de alta capacidad capaces de generar código malicioso competente con limitadas salvaguardas. El líder de investigación detrás del informe se abstiene de afirmar causalidad, y la cronología sigue siendo difícil de descartar.
Corea del Norte es el caso documentado más claro. El Grupo de Inteligencia de Amenazas de Google rastrea un clúster llamado UNC5342, que Chainalysis vincula a una campaña que enruta máquinas infectadas a través de Tron como canal principal y Aptos como respaldo antes de aterrizar en una transacción de BNB Smart Chain que lleva datos de configuración encriptados. TRM Labs estima que los actores vinculados a Corea del Norte robaron aproximadamente 643 millones de dólares en criptomonedas durante la primera mitad de 2026, alrededor de dos tercios de todos los robos de criptomonedas en ese período.
¿Hacia dónde se dirige esto en uno a tres años?
Asumamos que el volumen sigue aumentando. Los modelos de peso abierto no se están reintroduciendo, y el costo marginal de establecer un punto de entrega muerto es de unos pocos cientos de bytes de datos codificados. La atribución funciona en la dirección opuesta: requiere unir patrones entre cadenas, registros de servidores fuera de la cadena y años de historial de campañas. La economía está invertida, con atacantes que pagan centavos y defensores que pagan millones.
El terreno disputado será el filtrado. Una blockchain no puede distinguir un punto de entrega muerto de malware de una transacción legítima a nivel de protocolo, porque ambos son solo bytes. O bien se acepta que las cadenas públicas son infraestructuras de uso dual permanentes, o el filtrado se traslada a los bordes en proveedores de RPC, billeteras e indexadores, junto con la centralización que esto implica.
El resultado probable es ambos, ejecutados de manera imperfecta. La capa base sin permisos permanece abierta y se vuelve más hostil, mientras que la actividad regulada se traslada a canales compatibles donde el filtrado se trata como una característica. En ese camino, este informe acelera la división entre las criptomonedas como un proyecto ideológico y las criptomonedas como infraestructura financiera.
Lo que los participantes del mercado deberían extraer de esto
No se sigue ninguna predicción de precio de esto. La lectura estructural es más estrecha: el riesgo de seguridad se ha convertido en riesgo de infraestructura en lugar de ser una cuestión de precaución individual. Cuando el actor de la amenaza es un programa estatal que utiliza IA para iterar malware más rápido de lo que los usuarios pueden parchear, la superficie de ataque ya no es solo la frase semilla. Es todo el punto final en el que se ejecuta una billetera.
Se derivan tres implicaciones. La higiene del punto final ahora importa tanto como la revisión de contratos inteligentes, porque una máquina comprometida puede reescribir silenciosamente una transacción incluso cuando el contrato es sólido. Es probable que los intercambios y las billeteras agreguen fricción, como verificaciones de dispositivo, simulación de transacciones y co-firmantes obligatorios, porque absorben las pérdidas. Y las cadenas mencionadas en este informe valen la pena vigilar: Tron es simultáneamente el mayor canal de liquidación en dólares y un canal de malware documentado, y si los reguladores tratan eso como un problema de cumplimiento en lugar de una coincidencia, el panorama cambia rápidamente.
El código es ley, y el código también es un arma
La pregunta incómoda es cómo un sistema construido de tal manera que nada puede ser eliminado manejó el descubrimiento de que la propiedad es más valiosa para los actores que más quieren que el contenido permanezca en su lugar.
La respuesta hasta ahora no es la del disidente ni la del desarrollador. Es la del autor de malware y el programa estatal, que ahora poseen un tablón de anuncios permanente y a prueba de censura construido por la industria y elogiado por la industria como una virtud. La inmutabilidad no ha dejado de ser una característica. Ha adquirido un segundo cliente.
FAQ
¿Qué es un punto muerto de blockchain? Es el almacenamiento de instrucciones de malware, como direcciones de servidor, datos de configuración o horarios de rotación, dentro de una transacción o contrato inteligente en una blockchain pública. Los dispositivos infectados leen esos datos para seguir operando después de que los servidores convencionales de comando y control sean incautados o desconectados.
¿Por qué no se puede eliminar el malware de la cadena? Porque las blockchains son inmutables por diseño. Una vez que una transacción es confirmada, no puede ser eliminada ni editada, y ningún proveedor de alojamiento ni tribunal puede forzar su eliminación. Esa permanencia, largamente celebrada como una propiedad fundamental, es lo que hace que la cadena sea útil como infraestructura de malware.
¿Quién está detrás del aumento? Los grupos vinculados al estado impulsan la mayor parte. Chainalysis atribuye aproximadamente dos tercios de la nueva actividad de puntos muertos cada trimestre a operadores vinculados a Corea del Norte e Irán, con el clúster vinculado a Corea del Norte UNC5342 y los operadores sospechosos de inteligencia iraní identificados como los más activos.
¿Causó esto la IA? Chainalysis informa una asociación clara en un punto específico del tiempo entre el aumento y el lanzamiento a mediados de 2025 de modelos de IA de peso abierto de alta capacidad, y se abstiene de probar que los actores específicos utilizaron esos modelos. El efecto práctico es el mismo en cualquier caso: las barreras de habilidad y costo para construir infraestructura de malware basada en blockchain se han derrumbado.
¿Qué pueden hacer realmente los usuarios? El riesgo inmediato es la infección fuera de la cadena, a través de aplicaciones falsas, descargas maliciosas y puntos finales comprometidos, en lugar de la propia cadena. Tratar las descargas con más escepticismo, mantener las frases de recuperación fuera de línea, preferir billeteras auditadas y asumir que una máquina comprometida puede reescribir una transacción incluso cuando el contrato inteligente es sólido son los controles prácticos.