Malware-instructies geschreven op openbare blockchains stegen met 420 procent in een jaar, waarbij staatsgelieerde operators verantwoordelijk waren voor ongeveer twee derde van de nieuwe dead drop-activiteit. Onveranderlijkheid, lang beschreven als een kerndeugd van crypto, is nu een dragend onderdeel van malware-infrastructuur.
Onchain malware is net met 420% gestegen — crypto heeft het wapen in handen gegeven
Belangrijkste punten
- Malware-instructies geschreven op openbare blockchains stegen van 2,06 schrijvingen per dag naar 11,1 schrijvingen per dag, een jaar-op-jaar stijging van 420 procent, volgens Chainalysis.
- Staatsondersteunde operatoren, gelieerd aan Noord-Korea en Iran, zijn nu goed voor ongeveer twee derde van de nieuwe blockchain dead drop-activiteit per kwartaal.
- Deze stijging hangt samen met de release van open-weight AI-modellen met hoge capaciteit in het midden van 2025, een activiteitsstijging van 440 procent die Chainalysis associeert met, maar niet stelt dat deze is veroorzaakt door, die releases.
Immutabiliteit, decennia lang beschouwd als een kerndeugd van publieke blockchains, is nu een dragend onderdeel van malware-infrastructuur van natie-staten.
- De verwachte regelgevende reactie is om aan de randen van de chain te filteren, wat de infrastructuur die gedecentraliseerd moest blijven, stilletjes zou centraliseren.
Wat is een blockchain dead drop?
Een blockchain dead drop beantwoordt een specifieke vraag: wat gebeurt er met malware wanneer de command-and-control-server in beslag wordt genomen? Het antwoord was vroeger dat het afsterft. Nu niet meer. Malware die al op een slachtoffercomputer staat, heeft geen domein meer nodig om contact op te nemen met de command-and-control-server. Het hoeft alleen maar de blockchain te lezen.
Aanvallers schrijven een gecodeerde pointer, zoals een serveradres, een configuratiebestand of een rotatieschema, weg in een transactie of slimme contract. Het geïnfecteerde apparaat leest het, update zichzelf en blijft werken nadat beveiligingsbedrijven het oude domein hebben laten afsluiten of de oude server in beslag hebben genomen. Een domein kan worden afgesloten. Een bevestigd blok kan dat niet.
Operatoren gelinkt aan Iran hebben die logica tot het einde doorgevoerd, door een historisch opmerkelijk vroeg Bitcoin-adres te gebruiken als een permanent bulletin board en stofbetalingen ernaartoe te sturen zodat geïnfecteerde apparaten wisten waar ze moesten zoeken. Een artefact uit de vroegste periode van het netwerk is nu een dragend onderdeel van de vermoedelijke Iraanse malware-infrastructuur.
Het grotere plaatje: onveranderlijkheid ontmoette zijn eerste gebruiker op staatschaal
Tien jaar lang waren onveranderlijkheid en censuurbestendigheid de eigenschappen die de industrie beschreef als garanties. Code is wet. De keten kan niet worden bewerkt. Niemand kan een bevestigde transactie laten afsluiten. Die eigenschappen waren het opgegeven verschil tussen crypto en de banken die rekeningen bevriezen wanneer een overheid belt.
Het rapportage toont wat er gebeurt wanneer dezelfde eigenschappen een ander doel dienen. Actoren gelinkt aan staten, verbonden aan Noord-Korea en Iran, gebruiken blockchains niet alleen om waarde te verplaatsen. Ze gebruiken ze als hosting die niet kan worden verwijderd. Begin 2024 was dit grotendeels een gewone cybercriminaliteitsmethode. Achttien maanden later is het een strijd tussen staatsprogramma's.
Die verschuiving is het grotere verhaal, groter dan de 420-procentfiguur. Dit is niet langer een verhaal over oplichters. Het is nu een verhaal over gesanctioneerde staten die spionage-infrastructuur door rails leiden die zo zijn ontworpen dat geen enkele externe autoriteit er iets uit kan verwijderen.
Wie wint, en wie verliest?
Staatsgekoppelde programma's winnen als eerste: zij kregen permanente hosting die bijna niets kost en niet kan worden verwijderd. Blockchain-forensica-bedrijven winnen ook, omdat elke nieuwe dode drop een andere toewijzingsrapportage en een ander product is om te verkopen. Labs met open-weight-modellen winnen aan bereik als versneller, of dat nu de bedoeling was of niet.
Het decentralisatieprincipe verliest als eerste. Jarenlang was het argument dat niemand iets on-chain kon aanraken. Dat argument moet nu ook de voorkeursindelingssysteem voor Noord-Koreaanse malware en Iraanse spionagemalware dekken. Gewone gebruikers verliezen op een eenvoudigere manier, omdat deze malware uiteindelijk hun portefeuilles, browsers en inloggegevens targett.
De tweede-orde gevolgen zijn het meest belangrijk voor de markstructuur. Als een keten zichzelf niet kan handhaven, is het regelgevende antwoord om de randen van de keten te handhaven. Dat betekent dat RPC-aanbieders, node-operatoren, indexers en beurzen worden gevraagd om te filteren, wat de infrastructuur die open zou moeten blijven, centraliseert. De argumenten die in 2022 circuleerden rond sancties op privacy-tools zijn bescheiden voorproefjes van wat er komt wanneer het verzoek is om malware-commandokanalen te filteren.
Is dit eerder gebeurd?
Ja, maar nooit op deze schaal of met deze deelnemers. De eerste gedocumenteerde blockchain-dode drop dateert uit 2013, toen een Necurs-botnetvariant command-and-control-domeinen op Namecoin parkeerde. In 2019 verborg de Glupteba-mining-botnetgegevens in een Bitcoin OP_RETURN-veld. In 2023 verplaatste de ClearFake-groep, onder de naam EtherHiding, infostealer-code naar BNB Smart Chain-contracten nadat hun conventionele servers verloren waren gegaan.
Drie dingen zijn nu anders. Schaal: kwaadaardige schrijfbewergingen stegen van 2,06 per dag naar 11,1 per dag in minder dan een jaar. Deelname: de techniek is geëvolueerd van een truc van cybercriminelen tot een standaard hulpmiddel van de staat. Toetredingskosten: Chainalysis trekt een duidelijke punt-in-tijd-associatie tussen de stijging en de komst in medio 2025 van open-weight AI-modellen met hoge capaciteit, die bekwaam kwaadaardige code kunnen genereren met beperkte veiligheidsmaatregelen. De onderzoekleider achter het rapport gaat niet zover om causaliteit te beweren, en de timing is nog steeds moeilijk te ontkennen.
Noord-Korea is het duidelijkst gedocumenteerde geval. De Threat Intelligence Group van Google houdt een cluster bij genaamd UNC5342, dat Chainalysis koppelt aan een campagne die besmette machines via Tron als primair kanaal en Aptos als back-up routeert, voordat deze uitkomt op een BNB Smart Chain-transactie met versleutelde configuratiegegevens. TRM Labs schat dat Noord-Korea-gekoppelde actoren ongeveer 643 miljoen dollar aan crypto namen tijdens de eerste helft van 2026, ongeveer twee derde van alle cryptodiefstallen in die periode.
Waar gaat dit naartoe over een tot drie jaar?
Stel dat het volume blijft stijgen. Open-weight-modellen worden niet teruggeplaatst, en de marginale kosten om een dode drop-relay op te zetten, zijn een paar honderd bytes aan gecodeerde data. Toeschrijving werkt andersom: het vereist het aan elkaar knopen van cross-chain patronen, off-chain serverrecords en jarenlange campagnegeschiedenis. De economie is omgekeerd, waarbij aanvallers centen betalen en verdedigers miljoenen.
Het betwiste terrein zal gefilterd worden. Een blockchain kan op protocolniveau geen onderscheid maken tussen een malware-dooddepot en een legitieme transactie, omdat beide slechts bytes zijn. Ofwel worden publieke ketens geaccepteerd als permanent dubbelgebruik-infrastructuur, ofwel verplaatst filtering zich naar de randen bij RPC-aanbieders, portefeuilles en indexers, samen met de centralisering die dit impliceert.
Het waarschijnlijke resultaat is beide, maar imperfect uitgevoerd. De permissionless basislaag blijft open en wordt vijandiger, terwijl gereguleerde activiteiten verhuizen naar compliant rails waar filtering wordt beschouwd als een feature. Op dat pad versnelt deze rapportage de kloof tussen crypto als ideologisch project en crypto als financiële infrastructuur.
Wat marktdeelnemers hieruit moeten halen
Hieruit volgt geen prijsvoorspelling. De structurele lezing is smaller: beveiligingsrisico is infrastructureel risico geworden, in plaats van een kwestie van individuele voorzichtigheid. Wanneer de bedreigingsacteur een staatsprogramma is dat AI gebruikt om malware sneller te itereren dan gebruikers kunnen patchen, is het aanvalsoppervlak niet langer alleen de seed phrase. Het is het volledige eindpunt waarop een wallet draait.
Drie implicaties volgen. Endpoint-hygiëne is nu even belangrijk als het beoordelen van slimme contracten, omdat een gecompromitteerde machine een transactie stil kan herschrijven, zelfs wanneer het contract deugdelijk is. Beursen en portefeuilles zullen waarschijnlijk wrijving toevoegen, zoals apparaatcontroles, transactiesimulatie en verplichte coondertekenaars, omdat zij de verliezen op zich nemen. En de chains die in dit rapport worden genoemd, zijn de moeite waard om te volgen: Tron is tegelijkertijd de grootste dollar-settlementrail en een gedocumenteerde primaire malwarekanaal, en als regelgevers dat zien als een compliance-probleem in plaats van een toeval, verandert het beeld snel.
Code is law, en code is ook een wapen
De ongemakkelijke vraag is hoe een systeem dat zo is gebouwd dat niets kan worden verwijderd, omging met de ontdekking dat de eigenschap het meest waardevol is voor de actoren die het meest willen dat de inhoud op zijn plaats blijft.
Het antwoord tot nu toe is niet de dissident of de ontwikkelaar. Het is de malware-auteur en het staatsprogramma, die nu een permanente, censuurbestendige bulletinboard hebben die door de industrie is gebouwd en door de industrie wordt geprezen als een deugd. Onveranderlijkheid is niet ophouden een functie te zijn. Het heeft een tweede klant gekregen.
FAQ
Wat is een blockchain dead drop? Het is het opslaan van malware-instructies, zoals serveradressen, configuratiegegevens of rotatieschema's, in een transactie of slimme contract op een openbare blockchain. Besmette apparaten lezen deze gegevens om te blijven functioneren nadat conventionele command-and-control-servers zijn in beslag genomen of offline zijn gehaald.
Waarom kan de malware niet van de blockchain worden verwijderd? Omdat blockchains per ontwerp onveranderlijk zijn. Eenmaal bevestigd kan een transactie niet worden verwijderd of bewerkt, en geen enkele hostingprovider of rechter kan de verwijdering afdwingen. Die permanentie, die lang werd gevierd als een kern eigenschap, is precies wat de blockchain nuttig maakt als malware-infrastructuur.
Wie staat achter de toename? Staat-gekoppelde groepen drijven het merendeel ervan. Chainalysis wijt ongeveer twee derde van de nieuwe dead drop-activiteit elk kwartaal aan operatoren die zijn gekoppeld aan Noord-Korea en Iran, waarbij de met Noord-Korea verbonden cluster UNC5342 en vermoedelijke operatoren van de Iraanse inlichtingendiensten als de meest actief worden geïdentificeerd.
Heeft AI dit veroorzaakt? Chainalysis rapporteert een duidelijke associatie op een specifiek moment in de tijd tussen de piek en de release van open-weight AI-modellen met hoge capaciteit in het midden van 2025, en gaat niet zover te bewijzen dat de specifieke actoren die modellen gebruikten. Het praktische effect is in beide gevallen hetzelfde: de vaardigheids- en kostenbarrières voor het opbouwen van blockchain-gebaseerde malware-infrastructuur zijn ingestort.
Wat kunnen gebruikers eigenlijk doen? Het directe risico is off-chain infectie, via nep-applicaties, schadelijke downloads en gecompromitteerde eindpunten, in plaats van de keten zelf. Downloads met meer scepsis behandelen, recovery phrases offline houden, de voorkeur geven aan geauditeerde wallets, en ervan uitgaan dat een gecompromitteerde machine een transactie kan herschrijven, zelfs wanneer de smart contract deugdelijk is, zijn de praktische maatregelen.