Instruções de malware escritas em blockchains públicas aumentaram 420 por cento em um ano, com operadores vinculados a estados impulsionando cerca de dois terços da nova atividade de dead drop. A imutabilidade, há muito descrita como uma virtude central da cripto, agora é um recurso estrutural da infraestrutura de malware.
Malware on-chain acabou de aumentar 420% — Cripto entregou a arma
Principais conclusões
- Instruções de malware escritas em blockchains públicas subiram de 2,06 escritas por dia para 11,1 escritas por dia, um aumento de 420% ano a ano, de acordo com a Chainalysis.
- Operadores ligados a estados associados à Coreia do Norte e ao Irã agora representam cerca de dois terços da nova atividade de dead drop em blockchain a cada trimestre.
- O aumento acompanha o lançamento de modelos de IA de peso aberto de alta capacidade em meados de 2025, um salto de 440% na atividade que a Chainalysis associa, mas não afirma que foi causado por, esses lançamentos.
- A imutabilidade, tratada por uma década como uma virtude central das blockchains públicas, agora é um recurso crítico da infraestrutura de malware de nações estatais.
- A resposta regulatória esperada é filtrar nas bordas da cadeia, o que centralizaria silenciosamente a infraestrutura que deveria permanecer descentralizada.
O que é um ponto morto de blockchain?
Um ponto morto de blockchain responde a uma pergunta específica: o que acontece com o malware quando seu servidor de comando e controle é apreendido? A resposta costumava ser que ele morria. Agora, não. O malware já presente em uma máquina vítima não precisa mais de um domínio para se comunicar. Ele só precisa ler o blockchain.
Os atacantes escrevem um ponteiro codificado, como um endereço de servidor, um arquivo de configuração ou um cronograma de rotação, em uma transação ou contrato inteligente. O dispositivo infectado o lê, atualiza-se e continua funcionando após as empresas de segurança removerem o domínio antigo ou apreenderem o servidor antigo. Um domínio pode ser derrubado. Um bloco confirmado não pode.
Operadores ligados ao Irã levaram essa lógica às suas conclusões, usando um endereço Bitcoin histórico notável como um quadro de avisos permanente e enviando pagamentos de poeira para ele, para que os dispositivos infectados soubessem onde procurar. Um artefato do período mais antigo da rede é agora um componente estrutural da infraestrutura de malware suspeita do Irã.
A imagem maior: a imutabilidade encontrou seu primeiro usuário em escala estatal
Por uma década, imutabilidade e resistência à censura foram as propriedades que a indústria descrevia como garantias. O código é a lei. A cadeia não pode ser editada. Ninguém pode remover uma transação confirmada. Essas propriedades eram a diferença declarada entre as criptomoedas e os bancos que congelam contas quando um governo liga.
A reportagem mostra o que acontece quando as mesmas propriedades servem a um propósito diferente. Atores vinculados a estados, ligados à Coreia do Norte e ao Irã, não estão apenas usando blockchains para mover valor. Eles os estão usando como hospedagem que não pode ser removida. No início de 2024, isso era em grande parte uma técnica comum de cibercriminosos. Dezoito meses depois, é uma disputa entre programas estatais.
Essa mudança é a história maior, maior do que o número de 420 por cento. Isso deixou de ser uma história sobre golpistas. Agora é uma história sobre estados sancionados roteando infraestrutura de espionagem por trilhos que foram projetados para que nenhuma autoridade externa pudesse remover qualquer coisa deles.
Quem ganha e quem perde?
Programas vinculados a estados ganham primeiro: eles ganharam hospedagem permanente que custa quase nada e não pode ser excluída. As empresas de forense de blockchain também ganham, porque cada novo ponto morto é outro relatório de atribuição e outro produto para vender. Os laboratórios de modelos de peso aberto ganham alcance como um acelerante, independentemente de ter sido intencional ou não.
O princípio da descentralização perde primeiro. Por anos, o argumento era que ninguém deveria poder tocar em nada na cadeia. Esse argumento agora precisa cobrir o sistema de arquivos preferido para malware da Coreia do Norte e spyware iraniano. Os usuários comuns perdem de uma maneira mais simples, porque esse malware, em última instância, visa suas carteiras, navegadores e credenciais.
A consequência de segunda ordem é a que mais importa para a estrutura de mercado. Se uma cadeia não consegue se autorregular, a resposta regulatória é controlar as bordas da cadeia. Isso significa que provedores de RPC, operadores de nós, indexadores e exchanges serão solicitados a filtrar, o que centraliza a infraestrutura que deveria permanecer aberta. Os argumentos que circularam em torno das sanções a ferramentas de privacidade em 2022 são modestos preâmbulos do que chegará quando o pedido for filtrar canais de comando de malware.
Isso já aconteceu antes?
Sim, mas nunca nessa escala ou com esses participantes. O primeiro caso documentado de depósito morto em blockchain data de 2013, quando uma variante do botnet Necurs estacionou domínios de comando e controle no Namecoin. Em 2019, o botnet de mineração Glupteba ocultou dados em um campo OP_RETURN do Bitcoin. Em 2023, sob o nome EtherHiding, o grupo ClearFake moveu código de infostealers para contratos da BNB Smart Chain após perder seus servidores convencionais.
Três coisas são diferentes agora. Escala: as escritas maliciosas passaram de 2,06 por dia para 11,1 por dia em menos de um ano. Participação: a técnica passou de um truque de cibercriminosos para uma ferramenta estatal padrão. Custo de entrada: a Chainalysis traça uma associação clara em um ponto específico no tempo entre o aumento e a chegada em meados de 2025 de modelos de IA de peso aberto de alta capacidade, capazes de gerar código malicioso competente com limitadas salvaguardas. O líder de pesquisa por trás do relatório evita afirmar causalidade, e o timing ainda é difícil de descartar.
A Coreia do Norte é o caso mais claramente documentado. O Google Threat Intelligence Group rastreia um cluster chamado UNC5342, que a Chainalysis vincula a uma campanha que roteia máquinas infectadas através da Tron como canal principal e Aptos como backup antes de pousar em uma transação da BNB Smart Chain carregando dados de configuração criptografados. A TRM Labs estima que atores ligados à Coreia do Norte roubaram cerca de 643 milhões de dólares em criptomoedas durante o primeiro semestre de 2026, cerca de dois terços de todos os roubos de criptomoedas nesse período.
Para onde isso caminha em um a três anos?
Assuma que o volume continue subindo. Modelos de código aberto não estão sendo reintegrados, e o custo marginal de configurar um ponto de entrega morto é de algumas centenas de bytes de dados codificados. A atribuição segue o caminho oposto: exige a junção de padrões entre cadeias, registros de servidores fora da cadeia e anos de histórico de campanhas. A economia está invertida, com atacantes pagando centavos e defensores pagando milhões.
O terreno contestado será a filtragem. Uma blockchain não pode distinguir um ponto de entrega de malware de uma transação legítima no nível do protocolo, porque ambos são apenas bytes. Ou as cadeias públicas são aceitas como infraestrutura de uso duplo permanente, ou a filtragem se desloca para as bordas nos provedores de RPC, carteiras e indexadores, junto com a centralização que isso implica.
O resultado provável é ambos, executados de forma imperfeita. A camada base permissiva permanece aberta e torna-se mais hostil, enquanto a atividade regulamentada se move para trilhas compatíveis, onde a filtragem é tratada como um recurso. Nesse caminho, este relatório acelera a divisão entre cripto como um projeto ideológico e cripto como infraestrutura financeira.
O que os participantes do mercado devem tirar disso
Nenhuma previsão de preço decorre disso. A leitura estrutural é mais restrita: o risco de segurança tornou-se risco de infraestrutura, em vez de uma questão de cautela individual. Quando o ator da ameaça é um programa estatal usando IA para iterar malwares mais rápido do que os usuários podem corrigi-los, a superfície de ataque não é mais apenas a frase semente. É todo o endpoint no qual uma carteira é executada.
Três implicações seguem. A higiene do endpoint agora importa tanto quanto a revisão de contratos inteligentes, porque uma máquina comprometida pode reescrever silenciosamente uma transação mesmo quando o contrato é sólido. As exchanges e carteiras provavelmente adicionarão fricção, como verificações de dispositivo, simulação de transações e co-assinantes obrigatórios, porque absorvem as perdas. E as cadeias nomeadas neste relatório merecem atenção: a Tron é simultaneamente a maior via de liquidação em dólares e um canal primário documentado de malware, e se os reguladores tratarem isso como um problema de conformidade em vez de uma coincidência, o cenário muda rapidamente.
O código é a lei, e o código também é uma arma
A questão desconfortável é como um sistema construído de modo que nada possa ser excluído lidou com a descoberta de que a propriedade é mais valiosa para os atores que mais querem que o conteúdo permaneça no lugar.
A resposta até agora não é a do dissidente ou do desenvolvedor. É a do autor de malware e do programa estatal, que agora detêm um quadro de avisos permanente e à prova de censura, construído pela indústria e elogiado por ela como uma virtude. A imutabilidade não deixou de ser uma característica. Ela adquiriu um segundo cliente.
FAQ
O que é um dead drop em blockchain? É o armazenamento de instruções de malware, como endereços de servidor, dados de configuração ou cronogramas de rotação, dentro de uma transação ou contrato inteligente em uma blockchain pública. Dispositivos infectados leem esses dados para continuar operando após servidores convencionais de comando e controle serem apreendidos ou colocados offline.
Por que o malware não pode ser removido da cadeia? Porque as blockchains são imutáveis por design. Uma vez que uma transação é confirmada, ela não pode ser excluída ou editada, e nenhum provedor de hospedagem ou tribunal pode forçar sua remoção. Essa permanência, há muito celebrada como uma propriedade central, é o que torna a cadeia útil como infraestrutura para malware.
Quem está por trás do aumento? Grupos ligados a estados impulsionam a maior parte disso. A Chainalysis atribui cerca de dois terços da nova atividade de dead drop a cada trimestre a operadores ligados à Coreia do Norte e ao Irã, com o cluster vinculado à Coreia do Norte UNC5342 e operadores suspeitos de inteligência iraniana identificados como os mais ativos.
A IA causou isso? A Chainalysis relata uma associação clara em um ponto específico no tempo entre o aumento e o lançamento de modelos de IA de peso aberto de alta capacidade em meados de 2025, e vai além de provar que os atores específicos usaram esses modelos. O efeito prático é o mesmo em qualquer caso: as barreiras de habilidade e custo para construir infraestrutura de malware baseada em blockchain desmoronaram.
O que os usuários realmente podem fazer? O risco imediato é a infecção off-chain, por meio de aplicativos falsos, downloads maliciosos e endpoints comprometidos, em vez da própria cadeia. Tratar downloads com mais ceticismo, manter as frases de recuperação offline, preferir carteiras auditadas e assumir que uma máquina comprometida pode reescrever uma transação mesmo quando o contrato inteligente é sólido são os controles práticos.