Les instructions de logiciels malveillants écrites sur les blockchains publiques ont augmenté de 420 % en un an, les opérateurs liés à des États étant à l'origine d'environ les deux tiers de la nouvelle activité de dead drop. L'immuabilité, longtemps décrite comme une vertu fondamentale de la crypto, est désormais une fonctionnalité porteuse de l'infrastructure des logiciels malveillants.
Les logiciels malveillants on-chain ont juste bondi de 420 % — La crypto a tendu le pistolet
Points clés
- Les instructions de logiciels malveillants écrites sur les blockchains publiques sont passées de 2,06 écritures par jour à 11,1 écritures par jour, soit une augmentation de 420 % en glissement annuel, selon Chainalysis.
- Les opérateurs liés à des États, associés à la Corée du Nord et à l'Iran, représentent désormais environ les deux tiers de l'activité de dépôt mort sur la blockchain chaque trimestre.
- Cette augmentation suit la sortie au milieu de l'année 2025 de modèles d'IA à poids ouverts à haute capacité, une augmentation de 440 % de l'activité que Chainalysis associe, mais n'affirme pas être causée par, ces sorties.
- L'immuabilité, considérée pendant une décennie comme une vertu fondamentale des blockchains publiques, est désormais une fonctionnalité porteuse de l'infrastructure de logiciels malveillants des États-nations.
- La réponse réglementaire attendue consiste à filtrer aux extrémités de la chaîne, ce qui centraliserait discrètement une infrastructure censée rester décentralisée.
Qu'est-ce qu'un dépôt mort sur la blockchain ?
Un dépôt mort sur une blockchain répond à une question précise : que devient le logiciel malveillant lorsque son serveur de commande et de contrôle est saisi ? La réponse était autrefois qu'il mourait. Maintenant, non. Le logiciel malveillant déjà présent sur la machine d'une victime n'a plus besoin d'un domaine pour se connecter à son serveur. Il lui suffit de lire la blockchain.
Les attaquants écrivent un pointeur encodé, tel qu'une adresse de serveur, un fichier de configuration ou un calendrier de rotation, dans une transaction ou un contrat intelligent. L'appareil infecté le lit, se met à jour et continue de fonctionner après que les sociétés de sécurité aient supprimé l'ancien domaine ou saisi l'ancien serveur. Un domaine peut être déréférencé. Un bloc confirmé ne peut pas l'être.
Des opérateurs liés à l'Iran ont poussé cette logique jusqu'à son terme, en utilisant une adresse Bitcoin précoce historiquement notable comme tableau d'affichage permanent et en y envoyant des paiements de poussière afin que les appareils infectés sachent où chercher. Un artefact de la période la plus ancienne du réseau est désormais un composant porteur de l'infrastructure de logiciels malveillants suspectée d'être liée à l'Iran.
Le tableau plus large : l'immuabilité rencontre son premier utilisateur à l'échelle de l'État
Pendant une décennie, l'immuabilité et la résistance à la censure étaient les propriétés que l'industrie décrivait comme des garanties. Le code est la loi. La chaîne ne peut pas être modifiée. Personne ne peut supprimer une transaction confirmée. Ces propriétés constituaient la différence déclarée entre la crypto et les banques qui gèlent les comptes lorsqu'un gouvernement appelle.
Le rapport montre ce qui se passe lorsque les mêmes propriétés servent un objectif différent. Des acteurs liés à des États, associés à la Corée du Nord et à l'Iran, n'utilisent pas seulement les blockchains pour transférer de la valeur. Ils les utilisent comme un hébergement qui ne peut pas être supprimé. Au début de 2024, il s'agissait largement d'une technique criminelle informatique ordinaire. Dix-huit mois plus tard, c'est une compétition entre programmes étatiques.
Ce changement constitue l'histoire plus large, plus importante que le chiffre de 420 %. Il ne s'agit plus d'une histoire sur des escrocs. C'est désormais une histoire sur des États sanctionnés qui acheminent leur infrastructure d'espionnage via des rails conçus pour qu'aucune autorité externe ne puisse rien en retirer.
Qui gagne, et qui perd ?
Les programmes liés aux États gagnent en premier : ils ont obtenu un hébergement permanent qui coûte presque rien et ne peut pas être supprimé. Les entreprises de forensique blockchain gagnent aussi, car chaque nouveau point de chute mort est un nouveau rapport d'attribution et un nouveau produit à vendre. Les laboratoires de modèles à poids ouvert gagnent en portée en tant qu'accélérateur, que cela ait été intentionnel ou non.
Le principe de décentralisation perd en premier. Pendant des années, l'argument était que personne ne devrait pouvoir toucher à quoi que ce soit sur la chaîne. Cet argument doit maintenant couvrir le système de dépôt préféré pour les malwares nord-coréens et les logiciels espions iraniens. Les utilisateurs ordinaires perdent de manière plus simple, car ces malwares ciblent finalement leurs portefeuilles, navigateurs et identifiants.
La conséquence du second ordre est la plus importante pour la structure du marché. Si une chaîne ne peut pas se policer elle-même, la réponse réglementaire consiste à policer les bords de la chaîne. Cela signifie que les fournisseurs RPC, les opérateurs de nœuds, les indexeurs et les échanges sont invités à filtrer, ce qui centralise l'infrastructure qui était censée rester ouverte. Les arguments qui circulaient autour des sanctions aux outils de confidentialité en 2022 sont de modestes avant-goûts de ce qui arrive lorsque la demande est de filtrer les canaux de commande de malwares.
Cela s'est-il déjà produit ?
Oui, mais jamais à cette échelle ou avec ces participants. Le premier cas documenté de dépôt mort blockchain remonte à 2013, lorsqu'une variante du botnet Necurs a parké des domaines de commande et de contrôle sur Namecoin. En 2019, le botnet minier Glupteba a caché des données dans un champ OP_RETURN de Bitcoin. En 2023, sous le nom EtherHiding, le groupe ClearFake a déplacé du code d'infostealer dans des contrats de la BNB Smart Chain après avoir perdu ses serveurs conventionnels.
Trois choses sont différentes maintenant. Échelle : les écritures malveillantes sont passées de 2,06 par jour à 11,1 par jour en moins d'un an. Participation : la technique est passée d'une astuce de cybercriminel à un outil standard d'État. Coût d'entrée : Chainalysis établit une association claire à un instant donné entre la hausse et l'arrivée au milieu de 2025 de modèles d'IA open-weight à haute capacité capables de générer du code malveillant compétent avec des garde-fous limités. Le responsable de la recherche derrière le rapport s'abstient d'affirmer la causalité, et le timing reste difficile à écarter.
La Corée du Nord est le cas le plus clairement documenté. Le groupe d'intelligence des menaces de Google suit un cluster appelé UNC5342, que Chainalysis relie à une campagne acheminant les machines infectées via Tron comme canal principal et Aptos comme sauvegarde avant d'aboutir à une transaction sur la BNB Smart Chain transportant des données de configuration chiffrées. TRM Labs estime que les acteurs liés à la Corée du Nord ont pris environ 643 millions de dollars en crypto au cours du premier semestre 2026, soit environ les deux tiers de tous les vols de crypto sur cette période.
Où cela va-t-il dans un à trois ans ?
Supposons que le volume continue d'augmenter. Les modèles open-weight ne sont pas remis en cause, et le coût marginal de la mise en place d'un relais de dépôt mort est de quelques centaines d'octets de données encodées. L'attribution fonctionne à l'inverse : elle nécessite de reconstituer des modèles transfrontaliers, des enregistrements de serveurs hors chaîne et des années d'historique de campagne. L'économie est inversée, les attaquants payant des centimes et les défenseurs payant des millions.
Le terrain contesté sera le filtrage. Une blockchain ne peut pas distinguer un dépôt mort de malware d'une transaction légitime au niveau du protocole, car les deux ne sont que des octets. Soit les chaînes publiques sont acceptées comme une infrastructure à double usage permanente, soit le filtrage se déplace vers les bords chez les fournisseurs RPC, les portefeuilles et les indexeurs, ainsi que la centralisation que cela implique.
Le résultat probable est les deux, exécutés de manière imparfaite. La couche de base sans permission reste ouverte et devient plus hostile, tandis que les activités régulées migrent vers des rails conformes où le filtrage est traité comme une fonctionnalité. Sur cette voie, ce rapport accélère la scission entre la crypto en tant que projet idéologique et la crypto en tant qu'infrastructure financière.
Ce que les participants au marché devraient retenir de cela
Aucune prédiction de prix ne découle de cela. L'analyse structurelle est plus étroite : le risque de sécurité est devenu un risque d'infrastructure plutôt qu'une question de prudence individuelle. Lorsque l'acteur de la menace est un programme étatique utilisant l'IA pour itérer des logiciels malveillants plus rapidement que les utilisateurs ne peuvent appliquer des correctifs, la surface d'attaque n'est plus seulement la phrase graine. C'est l'ensemble du point de terminaison sur lequel fonctionne un portefeuille.
Trois implications en découlent. L'hygiène des points de terminaison importe désormais autant que la révision des contrats intelligents, car une machine compromise peut réécrire silencieusement une transaction même lorsque le contrat est sain. Les échanges et les portefeuilles sont susceptibles d'ajouter des frictions telles que des vérifications d'appareil, la simulation de transactions et des cosignataires obligatoires, car ils absorbent les pertes. Et les chaînes nommées dans ce rapport valent la peine d'être surveillées : Tron est simultanément le plus grand rail de règlement en dollars et un canal principal de logiciels malveillants documenté, et si les régulateurs traitent cela comme un problème de conformité plutôt que comme une coïncidence, la situation change rapidement.
Le code est la loi, et le code est aussi une arme
La question inconfortable est de savoir comment un système conçu de telle sorte que rien ne puisse être supprimé a géré la découverte que la propriété est la plus précieuse pour les acteurs qui veulent le plus que le contenu reste en place.
La réponse jusqu'à présent n'est pas le dissident ni le développeur. Ce sont l'auteur du logiciel malveillant et le programme d'État, qui détiennent désormais un tableau d'affichage permanent, à l'épreuve de la censure, construit par l'industrie et salué par celle-ci comme une vertu. L'immuabilité n'a pas cessé d'être une fonctionnalité. Elle a acquis un deuxième client.
FAQ
Qu'est-ce qu'un dead drop sur une blockchain ? Il s'agit du stockage d'instructions de logiciels malveillants, telles que des adresses de serveur, des données de configuration ou des calendriers de rotation, à l'intérieur d'une transaction ou d'un contrat intelligent sur une blockchain publique. Les appareils infectés lisent ces données pour continuer à fonctionner une fois que les serveurs de commande et de contrôle conventionnels sont saisis ou mis hors ligne.
Pourquoi le logiciel malveillant ne peut-il pas être supprimé de la chaîne ? Parce que les blockchains sont immuables par conception. Une fois qu'une transaction est confirmée, elle ne peut ni être supprimée ni modifiée, et aucun fournisseur d'hébergement ni tribunal ne peut en forcer la suppression. Cette permanence, longtemps célébrée comme une propriété fondamentale, est ce qui rend la chaîne utile en tant qu'infrastructure pour les logiciels malveillants.
Qui est à l'origine de cette augmentation ? Des groupes liés à des États en sont la cause principale. Chainalysis attribue environ les deux tiers de l'activité de dead drop nouvelle chaque trimestre à des opérateurs liés à la Corée du Nord et à l'Iran, le cluster UNC5342 lié à la Corée du Nord et les opérateurs soupçonnés d'être liés au renseignement iranien étant identifiés comme les plus actifs.
L'IA en est-elle la cause ? Chainalysis signale une association claire à un moment donné entre l'augmentation et la sortie au milieu de l'année 2025 de modèles d'IA à poids ouverts à haute capacité, et s'abstient de prouver que les acteurs spécifiques ont utilisé ces modèles. L'effet pratique est le même dans les deux cas : les barrières de compétence et de coût pour construire une infrastructure de logiciels malveillants basée sur la blockchain se sont effondrées.
Que peuvent réellement faire les utilisateurs ? Le risque immédiat est une infection hors chaîne, via de fausses applications, des téléchargements malveillants et des points de terminaison compromis, plutôt que la chaîne elle-même. Traiter les téléchargements avec plus de scepticisme, conserver les phrases de récupération hors ligne, privilégier les portefeuilles audités et supposer qu'une machine compromise peut réécrire une transaction même lorsque le contrat intelligent est sain constituent les contrôles pratiques.