Инструкции вредоносного ПО, записанные в публичные блокчейны, выросли на 420 процентов за год, при этом операторы, связанные с государствами, обеспечивали примерно две трети новой активности «мёртвых почтовых ящиков». Невозможность изменения данных, ранее описывавшаяся как ключевое преимущество крипто, теперь является несущей функцией инфраструктуры вредоносного ПО.
Ончейн-вредоносное ПО только что выросло на 420% — Крипто передал пистолет
Ключевые выводы
- Инструкции по вредоносному программному обеспечению, записываемые в публичные блокчейны, выросли с 2,06 записей в день до 11,1 записей в день, что составляет рост на 420 процентов в годовом исчислении, согласно данным Chainalysis.
- Операторы, связанные с государствами, в частности с Северной Кореей и Ираном, теперь составляют примерно две трети всей новой активности по созданию «мёртвых точек» (dead drop) в блокчейнах каждый квартал.
- Этот рост совпадает с выпуском в середине 2025 года высокопроизводительных моделей искусственного интеллекта с открытым исходным кодом; активность выросла на 440 процентов, что Chainalysis связывает с этими выпусками, но не утверждает, что они были их причиной.
- Невозможность изменения данных, которая на протяжении десятилетия считалась ключевым преимуществом публичных блокчейнов, теперь стала критически важной функцией инфраструктуры вредоносного программного обеспечения, разрабатываемого государствами.
- Ожидаемая реакция регуляторов заключается в фильтрации на периферии цепочки, что приведёт к скрытой централизации инфраструктуры, которая изначально задумывалась как децентрализованная.
Что такое блокчейновый тайник?
Блокчейновый тайник отвечает на узкий вопрос: что происходит с вредоносным ПО, когда его сервер командования и управления захвачен? Раньше ответ был таким: оно умирает. Теперь — нет. Вредоносное ПО, уже установленное на компьютере жертвы, больше не нуждается в домене для связи с сервером. Ему нужно только прочитать блокчейн.
Атакующие записывают закодированный указатель, такой как адрес сервера, файл конфигурации или график ротации, в транзакцию или смарт-контракт. Зараженное устройство считывает его, обновляется и продолжает работать после того, как компании по кибербезопасности отключают старый домен или захватывают старый сервер. Домен можно отключить. Подтверждённый блок — нет.
Операторы, связанные с Ираном, довели эту логику до конца, используя исторически примечательный ранний адрес Bitcoin в качестве постоянного информационного стенда и отправляя на него пылевые платежи, чтобы заражённые устройства знали, куда смотреть. Артефакт из самых ранних периодов сети теперь является несущим компонентом предполагаемой инфраструктуры иранского вредоносного ПО.
Более широкий контекст: неизменяемость встретила своего первого пользователя государственного масштаба
На протяжении десятилетия неизменяемость и устойчивость к цензуре были свойствами, которые индустрия описывала как гарантии. Код — это закон. Цепочку нельзя редактировать. Никто не может отменить подтверждённую транзакцию. Эти свойства были заявленным отличием криптовалюты от банков, которые замораживают счета по звонку правительства.
Отчёт показывает, что происходит, когда одни и те же свойства служат разным целям. Связанные с государством акторы, связанные с Северной Кореей и Ираном, используют блокчейны не только для перемещения стоимости. Они используют их как хостинг, который нельзя удалить. В начале 2024 года это была в основном обычная техника киберпреступников. Спустя восемнадцать месяцев это стало соревнованием между государственными программами.
Этот сдвиг — более крупная история, чем цифра в 420 процентов. Это перестало быть историей о мошенниках. Теперь это история о санкционированных государствах, которые маршрутизируют шпионскую инфраструктуру через каналы, созданные так, чтобы никакая внешняя власть не могла ничего из них удалить.
Кто побеждает, а кто проигрывает?
Сначала побеждают связанные с государством программы: они получили постоянный хостинг, который стоит почти ничего и не может быть удалён. Выигрывают и компании по блокчейн-форензике, поскольку каждый новый мёртвый ящик — это ещё один отчёт об атрибуции и ещё один продукт для продажи. Лаборатории с открытыми весовыми моделями получают охват как ускоритель, независимо от того, было ли это намеренным или нет.
Сначала проигрывает принцип децентрализации. Годы аргументировали, что никто не должен иметь возможности трогать что-либо в блокчейне. Этот аргумент теперь должен охватывать предпочтительную систему регистрации для северокорейского вредоносного ПО и иранского шпионского ПО. Обычные пользователи проигрывают более простым способом, потому что это вредоносное ПО в конечном итоге нацелено на их кошельки, браузеры и учётные данные.
Вторичные последствия имеют наибольшее значение для структуры рынка. Если цепочка не может контролировать себя, регуляторный ответ заключается в контроле краёв цепочки. Это означает, что провайдерам RPC, операторам узлов, индексаторам и биржам предлагается фильтровать, что централизует инфраструктуру, которая должна была оставаться открытой. Аргументы, циркулировавшие вокруг санкций на инструменты конфиденциальности в 2022 году, являются скромными предвестниками того, что произойдёт, когда запрос будет касаться фильтрации каналов команд вредоносного ПО.
Это уже случалось раньше?
Да, но никогда в таких масштабах и с таким участием. Первый задокументированный случай скрытой передачи данных через блокчейн относится к 2013 году, когда вариант ботнета Necurs размещал домены управления и контроля в Namecoin. В 2019 году майнинговый ботнет Glupteba скрывал данные в поле OP_RETURN биткоина. В 2023 году группа ClearFake под именем EtherHiding перенесла код инфостилера в контракты BNB Smart Chain после потери своих обычных серверов.
Три вещи изменились. Масштаб: количество вредоносных записей выросло с 2,06 в день до 11,1 в день менее чем за год. Участие: эта техника перешла от трюка киберпреступников к стандартному инструменту государств. Стоимость входа: Chainalysis проводит четкую корреляцию во времени между всплеском и появлением в середине 2025 года высокопроизводительных открытых моделей ИИ, способных генерировать компетентный вредоносный код с ограниченными ограничениями. Ведущий исследователь, стоящий за отчетом, воздерживается от утверждения о причинно-следственной связи, и совпадение по времени все еще трудно игнорировать.
Северная Корея — самый очевидный задокументированный случай. Группа разведки угроз Google отслеживает кластер под названием UNC5342, который Chainalysis связывает с кампанией, маршрутизирующей зараженные машины через Tron как основной канал и Aptos в качестве резервного, прежде чем завершить транзакцию в BNB Smart Chain с зашифрованными конфигурационными данными. По оценкам TRM Labs, связанные с Северной Кореей акторы похитили около 643 миллионов долларов в криптовалюте в первой половине 2026 года, что составляет около двух третей всех краж криптовалюты за этот период.
Куда это движется в течение одного-трех лет?
Предположим, что объем продолжит расти. Открытые модели не будут возвращены, а маржинальная стоимость развертывания ретранслятора скрытой передачи данных составляет всего несколько сотен байт закодированных данных. Приписывание вины работает в обратную сторону: оно требует объединения кросс-чейн паттернов, записей внецепочечных серверов и многолетней истории кампаний. Экономика перевернута: злоумышленники платят копейки, а защитники — миллионы.
Оспариваемая территория будет подвергаться фильтрации. Блокчейн не может отличить вредоносный тайник от легитимной транзакции на уровне протокола, поскольку обе они представляют собой просто байты. Либо публичные блокчейны принимаются как постоянно двусторонние инфраструктурные объекты, либо фильтрация перемещается на периферию — к провайдерам RPC, кошелькам и индексаторам, вместе с присущей ей централизацией.
Вероятный исход — реализация обоих подходов, причем неидеально. Разрешительный базовый уровень остается открытым и становится более враждебным, тогда как регулируемая деятельность перемещается на соответствующие платформы, где фильтрация рассматривается как функция. На этом пути данное отчетное сообщение ускоряет раскол между крипто как идеологическим проектом и крипто как финансовой инфраструктурой.
Что участникам рынка следует извлечь из этого
Из этого не следует никаких прогнозов цен. Структурный вывод более узкий: риск безопасности стал риском инфраструктуры, а не вопросом индивидуальной осторожности. Когда злоумышленником является государственная программа, использующая ИИ для создания вредоносного ПО быстрее, чем пользователи могут установить патчи, поверхность атаки больше не ограничивается только seed-фразой. Это вся конечная точка, на которой работает кошелек.
Из этого следуют три вывода. Гигиена конечных точек теперь так же важна, как и проверка смарт-контрактов, поскольку скомпрометированная машина может незаметно переписать транзакцию, даже если контракт корректен. Биржи и кошельки, вероятно, добавят трение, такое как проверки устройств, симуляцию транзакций и обязательных со-подписантов, поскольку они поглощают убытки. И блокчейны, названные в этом отчете, заслуживают внимания: Tron одновременно является крупнейшим каналом расчетов в долларах и задокументированным основным каналом распространения вредоносного ПО, и если регуляторы будут рассматривать это как проблему соответствия, а не как совпадение, картина быстро изменится.
Код — это закон, и код — это также оружие
Неудобный вопрос заключается в том, как система, созданная так, что ничего нельзя удалить, справилась с открытием, что свойство наиболее ценно для тех, кто больше всего хочет, чтобы контент оставался на месте.
Ответ на данный момент — не диссидент и не разработчик. Это автор вредоносного ПО и государственная программа, которые теперь обладают постоянным, не поддающимся цензуре информационным стендом, созданным индустрией и восхваляемым ею как добродетель. Неизменяемость не перестала быть функцией. Она обрела второго клиента.
FAQ
Что такое блокчейн-мертвая точка? Это хранение инструкций вредоносного ПО, таких как адреса серверов, конфигурационные данные или графики ротации, внутри транзакции или смарт-контракта в публичном блокчейне. Зараженные устройства считывают эти данные, чтобы продолжать работать после того, как обычные серверы командования и управления будут захвачены или отключены.
Почему вредоносное ПО нельзя удалить из цепочки? Потому что блокчейны неизменяемы по своей природе. После подтверждения транзакции ее нельзя удалить или изменить, и ни один хостинг-провайдер, ни суд не могут принудительно удалить ее. Эта постоянная, давно прославляемая как основное свойство, делает цепочку полезной как инфраструктуру для вредоносного ПО.
Кто стоит за всплеском? Большинство из него обеспечивают группы, связанные с государствами. Chainalysis приписывает примерно две трети новой активности мертвых точек каждый квартал операторам, связанным с Северной Кореей и Ираном, при этом кластер UNC5342, связанный с Северной Кореей, и подозреваемые операторы иранской разведки были определены как самые активные.
Вызвал ли это ИИ? Chainalysis сообщает о четкой ассоциации во времени между всплеском и выпуском в середине 2025 года высокопроизводительных моделей ИИ с открытым весом, и не идет дальше, чтобы доказать, что конкретные акторы использовали эти модели. Практический эффект одинаков в любом случае: барьеры навыков и стоимости для создания инфраструктуры вредоносного ПО на основе блокчейна рухнули.
Что на самом деле могут делать пользователи? Непосредственный риск исходит от заражения вне цепи: через поддельные приложения, вредоносные загрузки и скомпрометированные конечные точки, а не от самой цепи. Практические меры контроля включают более скептическое отношение к загрузкам, хранение фраз восстановления офлайн, предпочтение кошельков, прошедших аудит, и понимание того, что скомпрометированная машина может переписать транзакцию, даже если смарт-контракт корректен.