Le istruzioni del malware scritte sulle blockchain pubbliche sono aumentate del 420 percento in un anno, con operatori collegati agli stati che hanno guidato circa due terzi della nuova attività di dead drop. L'immutabilità, a lungo descritta come una virtù fondamentale della crypto, è ora una caratteristica portante dell'infrastruttura del malware.
Il malware on-chain è appena aumentato del 420% — La crypto ha passato la pistola
Punti chiave
- Le istruzioni del malware scritte sulle blockchain pubbliche sono passate da 2,06 scritture al giorno a 11,1 scritture al giorno, un aumento del 420 percento su base annua, secondo Chainalysis.
- Gli operatori legati allo Stato, connessi alla Corea del Nord e all'Iran, rappresentano ora circa due terzi delle nuove attività di dead drop su blockchain ogni trimestre.
- L'aumento segue il rilascio di metà 2025 di modelli AI open-weight ad alta capacità, un salto del 440 percento nelle attività che Chainalysis associa, ma non afferma sia stato causato, da tali rilasci.
- L'immutabilità, trattata per un decennio come una virtù fondamentale delle blockchain pubbliche, è ora una caratteristica portante dell'infrastruttura malware degli stati-nazione.
- La risposta normativa attesa è quella di filtrare ai margini della catena, il che centralizzerebbe silenziosamente un'infrastruttura che doveva rimanere decentralizzata.
Cos'è un dead drop su blockchain?
Un dead drop su blockchain risponde a una domanda specifica: cosa succede al malware quando il suo server di comando e controllo viene sequestrato? La risposta un tempo era che moriva. Ora non è più così. Il malware già presente su una macchina vittima non ha più bisogno di un dominio per comunicare con il server. Ha solo bisogno di leggere la blockchain.
Gli attaccanti scrivono un puntatore codificato, come un indirizzo del server, un file di configurazione o un piano di rotazione, in una transazione o in uno smart contract. Il dispositivo infetto lo legge, si aggiorna e continua a funzionare anche dopo che le società di sicurezza hanno rimosso il vecchio dominio o sequestrato il vecchio server. Un dominio può essere disattivato. Un blocco confermato no.
Gli operatori collegati all'Iran hanno portato questa logica alle sue conclusioni, utilizzando un indirizzo Bitcoin iniziale storicamente significativo come bacheca permanente e inviando pagamenti di polvere (dust) ad esso, in modo che i dispositivi infetti sapessero dove cercare. Un artefatto del periodo più antico della rete è ora un componente portante dell'infrastruttura di malware sospettata di essere iraniana.
Il quadro più ampio: l'immutabilità incontra il suo primo utente su scala statale
Per un decennio, l'immutabilità e la resistenza alla censura sono state le proprietà che il settore ha descritto come garanzie. Il codice è legge. La catena non può essere modificata. Nessuno può rimuovere una transazione confermata. Quelle proprietà erano la differenza dichiarata tra le criptovalute e le banche che congelano i conti quando un governo lo richiede.
Il rapporto mostra cosa succede quando le stesse proprietà servono a uno scopo diverso. Gli attori collegati agli stati, legati alla Corea del Nord e all'Iran, non stanno solo utilizzando le blockchain per trasferire valore. Le stanno utilizzando come hosting che non può essere rimosso. All'inizio del 2024 si trattava in gran parte di una tecnica ordinaria dei criminali informatici. Diciotto mesi dopo, è una competizione tra programmi statali.
Questo cambiamento è la storia più ampia, più grande della cifra del 420 percento. Non si tratta più di una storia sui truffatori. È ora una storia su stati sanzionati che instradano infrastrutture di spionaggio attraverso binari progettati in modo che nessuna autorità esterna potesse rimuovere nulla da essi.
Chi vince e chi perde?
Vince prima i programmi legati allo Stato: hanno ottenuto un hosting permanente che costa quasi zero e non può essere eliminato. Vincono anche le società di forensics blockchain, perché ogni nuovo dead drop è un altro report di attribuzione e un altro prodotto da vendere. I laboratori di modelli open-weight guadagnano visibilità come accelerante, che sia stato intenzionale o meno.
Perde prima il principio di decentralizzazione. Per anni l'argomento era che nessuno dovesse poter toccare nulla on-chain. Questo argomento ora deve coprire il sistema di archiviazione preferito per malware nordcoreano e spyware iraniano. Gli utenti ordinari perdono in modo più semplice, perché questo malware alla fine prende di mira i loro wallet, browser e credenziali.
La conseguenza di secondo ordine è la più importante per la struttura del mercato. Se una catena non può fare da sé la polizia, la risposta normativa è di far fare la polizia ai bordi della catena. Questo significa che i provider RPC, gli operatori di nodi, gli indexer e gli scambi vengono richiesti di filtrare, il che centralizza l'infrastruttura che doveva rimanere aperta. Gli argomenti circolati attorno alle sanzioni per gli strumenti di privacy nel 2022 sono modesti anticipazioni di ciò che arriverà quando la richiesta sarà di filtrare i canali di comando del malware.
È già successo prima?
Sì, ma mai a questa scala o con questi partecipanti. Il primo dead drop blockchain documentato risale al 2013, quando una variante del botnet Necurs ha parcheggiato domini di comando e controllo su Namecoin. Nel 2019, il botnet minerario Glupteba ha nascosto dati in un campo OP_RETURN di Bitcoin. Nel 2023, sotto il nome EtherHiding, il gruppo ClearFake ha spostato codice infostealer nei contratti di BNB Smart Chain dopo aver perso i suoi server convenzionali.
Tre cose sono cambiate ora. Scala: le scritture malevole sono passate da 2,06 al giorno a 11,1 al giorno in meno di un anno. Partecipazione: la tecnica è passata da un trucco dei cybercriminali a uno strumento standard dello Stato. Costo di ingresso: Chainalysis traccia un'associazione chiara in un punto nel tempo tra l'impennata e l'arrivo a metà del 2025 di modelli AI open-weight ad alta capacità in grado di generare codice malevolo competente con limitate protezioni. Il responsabile della ricerca dietro il rapporto si astiene dall'affermare la causalità, e la tempistica è ancora difficile da ignorare.
La Corea del Nord è il caso più chiaramente documentato. Il Google Threat Intelligence Group monitora un cluster chiamato UNC5342, che Chainalysis collega a una campagna che instrada le macchine infette attraverso Tron come canale principale e Aptos come backup prima di approdare a una transazione sulla BNB Smart Chain che trasporta dati di configurazione crittografati. TRM Labs stima che gli attori legati alla Corea del Nord abbiano sottratto circa 643 milioni di dollari in criptovalute durante il primo semestre del 2026, circa due terzi di tutti i furti di criptovalute in quel periodo.
Dove porterà questo tra uno e tre anni?
Supponiamo che il volume continui a salire. I modelli open-weight non verranno ripristinati, e il costo marginale per allestire un relay per dead drop è di poche centinaia di byte di dati codificati. L'attribuzione funziona al contrario: richiede di collegare pattern cross-chain, registri di server off-chain e anni di storia delle campagne. L'economia è invertita, con gli attaccanti che pagano centesimi e i difensori che pagano milioni.
Il terreno conteso sarà il filtraggio. Una blockchain non può distinguere un dead drop per malware da una transazione legittima a livello di protocollo, perché entrambi sono solo byte. O le catene pubbliche sono accettate come infrastrutture dual-use permanenti, o il filtraggio si sposta ai bordi presso i provider RPC, i portafogli e gli indexer, insieme alla centralizzazione che ciò implica.
L'esito probabile è entrambi, eseguiti in modo imperfetto. Il livello base permissionless rimane aperto e diventa più ostile, mentre le attività regolamentate si spostano su binari conformi dove il filtraggio è trattato come una funzionalità. Su questo percorso, questa relazione accelera la separazione tra criptovaluta come progetto ideologico e criptovaluta come infrastruttura finanziaria.
Cosa dovrebbero trarre da questo i partecipanti al mercato
Da ciò non segue alcuna previsione di prezzo. La lettura strutturale è più ristretta: il rischio di sicurezza è diventato rischio infrastrutturale, piuttosto che una questione di cautela individuale. Quando l'attore della minaccia è un programma statale che utilizza l'IA per iterare il malware più velocemente di quanto gli utenti possano applicare le patch, la superficie di attacco non è più solo la frase seed. È l'intero endpoint su cui viene eseguita un wallet.
Ne derivano tre implicazioni. L'igiene dell'endpoint ora conta quanto la revisione del contratto intelligente, perché una macchina compromessa può riscrivere silenziosamente una transazione anche quando il contratto è solido. Gli exchange e i wallet sono probabilmente destinati ad aggiungere attriti come controlli del dispositivo, simulazione delle transazioni e co-firmatari obbligatori, perché assorbono le perdite. E le catene menzionate in questa segnalazione sono degne di attenzione: Tron è contemporaneamente il principale canale di regolamento in dollari e un canale documentato per il malware, e se i regolatori trattano ciò come un problema di conformità piuttosto che come una coincidenza, il quadro cambia rapidamente.
Il codice è legge, e il codice è anche un'arma
La domanda scomoda è come un sistema costruito in modo che nulla possa essere eliminato abbia gestito la scoperta che la proprietà è più preziosa per gli attori che vogliono più di ogni altra cosa che i contenuti rimangano fermi.
La risposta finora non è il dissidente o lo sviluppatore. È l'autore del malware e il programma statale, che ora detengono un tabellone pubblicitario permanente e immune alla censura, costruito dall'industria e lodato dall'industria come una virtù. L'immutabilità non ha smesso di essere una caratteristica. Ha acquisito un secondo cliente.
FAQ
Cos'è un dead drop su blockchain? È lo stoccaggio di istruzioni per malware, come indirizzi server, dati di configurazione o programmi di rotazione, all'interno di una transazione o di un contratto intelligente su una blockchain pubblica. I dispositivi infetti leggono questi dati per continuare a operare dopo che i server di comando e controllo convenzionali sono stati sequestrati o disattivati.
Perché il malware non può essere rimosso dalla catena? Perché le blockchain sono immutabili per progettazione. Una volta confermata, una transazione non può essere eliminata o modificata, e nessun provider di hosting o tribunale può imporne la rimozione. Questa permanenza, a lungo celebrata come proprietà fondamentale, è ciò che rende la catena utile come infrastruttura per malware.
Chi sta dietro all'aumento? I gruppi collegati agli Stati guidano la maggior parte di questi casi. Chainalysis attribuisce circa due terzi della nuova attività di dead drop ogni trimestre a operatori legati alla Corea del Nord e all'Iran, con il cluster UNC5342 legato alla Corea del Nord e gli operatori sospettati di essere dell'intelligence iraniana identificati come i più attivi.
L'AI ha causato questo? Chainalysis segnala una chiara associazione temporale tra l'aumento e il rilascio di modelli AI open-weight ad alta capacità a metà 2025, e si astiene dall'affermare che gli attori specifici abbiano utilizzato tali modelli. L'effetto pratico è lo stesso in entrambi i casi: le barriere di competenza e di costo per costruire infrastrutture per malware basate su blockchain sono crollate.
Cosa possono fare realmente gli utenti? Il rischio immediato è l'infezione off-chain, tramite applicazioni false, download malevoli e endpoint compromessi, piuttosto che la catena stessa. Trattare i download con maggiore scetticismo, mantenere le frasi di recupero offline, preferire portafogli verificati e assumere che una macchina compromessa possa riscrivere una transazione anche quando il contratto intelligente è solido sono i controlli pratici.