Các hướng dẫn mã độc được ghi lên các blockchain công khai đã tăng 420% trong một năm, với các nhà khai thác liên kết nhà nước chịu trách nhiệm cho khoảng hai phần ba hoạt động dead drop mới. Tính bất biến, vốn được mô tả là một đức tính cốt lõi của crypto, giờ đây đã trở thành một tính năng chịu lực của cơ sở hạ tầng mã độc.
Mã độc onchain vừa tăng vọt 420% — Crypto đã trao khẩu súng
Điểm chính
- Các hướng dẫn mã độc được ghi lên các blockchain công khai đã tăng từ 2,06 lần ghi mỗi ngày lên 11,1 lần ghi mỗi ngày, mức tăng 420% so với cùng kỳ năm trước, theo Chainalysis.
- Các nhà khai thác liên kết nhà nước có liên quan đến Bắc Triều Tiên và Iran hiện chiếm khoảng hai phần ba hoạt động dead drop blockchain mới mỗi quý.
- Sự tăng vọt này gắn liền với việc phát hành các mô hình AI trọng lượng mở dung lượng cao vào giữa năm 2025, một mức tăng 440 phần trăm trong hoạt động mà Chainalysis liên kết với, nhưng không khẳng định là do những bản phát hành đó gây ra.
- Tính bất biến, vốn được coi là một đức tính cốt lõi của các blockchain công khai trong suốt một thập kỷ, giờ đây đã trở thành một tính năng chịu lực của cơ sở hạ tầng phần mềm độc hại do quốc gia thực hiện.
- Phản ứng quy định dự kiến là lọc ở các cạnh của chuỗi, điều này sẽ âm thầm tập trung hóa cơ sở hạ tầng vốn được thiết kế để duy trì phi tập trung.
Điểm ẩn trên blockchain là gì?
Điểm ẩn trên blockchain trả lời một câu hỏi hẹp: điều gì xảy ra với phần mềm độc hại khi máy chủ chỉ huy và điều khiển của nó bị tịch thu? Câu trả lời trước đây là nó sẽ chết. Bây giờ thì không. Phần mềm độc hại đã có trên máy của nạn nhân không còn cần tên miền để liên lạc về máy chủ chủ. Nó chỉ cần đọc blockchain.
Kẻ tấn công ghi một con trỏ được mã hóa, chẳng hạn như địa chỉ máy chủ, tệp cấu hình hoặc lịch trình xoay vòng, vào một giao dịch hoặc hợp đồng thông minh. Thiết bị bị nhiễm đọc nó, cập nhật chính nó và tiếp tục hoạt động sau khi các công ty bảo mật gỡ bỏ tên miền cũ hoặc tịch thu máy chủ cũ. Một tên miền có thể bị vô hiệu hóa. Một khối đã được xác nhận thì không.
Các tác nhân liên kết với Iran đã đẩy logic đó đến kết luận của nó, sử dụng một địa chỉ Bitcoin sớm có tầm quan trọng lịch sử làm bảng thông báo vĩnh viễn và gửi các khoản thanh toán dust đến đó để các thiết bị bị nhiễm biết phải tìm ở đâu. Một di tích từ giai đoạn đầu tiên của mạng lưới hiện là một thành phần chịu lực trong cơ sở hạ tầng phần mềm độc hại bị tình nghi của Iran.
Bức tranh lớn hơn: tính bất biến gặp phải người dùng đầu tiên ở quy mô nhà nước
Trong một thập kỷ, tính bất biến và khả năng kháng kiểm duyệt là những thuộc tính mà ngành công nghiệp mô tả như những bảo đảm. Mã là luật. Chuỗi không thể bị chỉnh sửa. Không ai có thể xóa một giao dịch đã được xác nhận. Những thuộc tính đó là sự khác biệt được tuyên bố giữa tiền điện tử và các ngân hàng đóng băng tài khoản khi chính phủ gọi điện.
Báo cáo cho thấy điều gì xảy ra khi cùng những thuộc tính đó phục vụ một mục đích khác. Các tác nhân liên kết với nhà nước, gắn với Bắc Triều Tiên và Iran, không chỉ sử dụng blockchain để di chuyển giá trị. Họ đang sử dụng chúng như một nền tảng lưu trữ không thể bị xóa bỏ. Đầu năm 2024, đây chủ yếu là một kỹ thuật tội phạm mạng thông thường. Mười tám tháng sau, đó là một cuộc cạnh tranh giữa các chương trình nhà nước.
Sự chuyển dịch đó là câu chuyện lớn hơn, lớn hơn cả con số 420 phần trăm. Đây không còn là câu chuyện về những kẻ lừa đảo nữa. Bây giờ đó là câu chuyện về các quốc gia bị trừng phạt định tuyến cơ sở hạ tầng gián điệp qua các đường ray được thiết kế sao cho không cơ quan bên ngoài nào có thể xóa bất cứ thứ gì khỏi chúng.
Ai thắng, và ai thua?
Các chương trình liên kết nhà nước thắng đầu tiên: chúng có được khả năng lưu trữ vĩnh viễn với chi phí gần như bằng không và không thể bị xóa. Các công ty điều tra blockchain cũng thắng, vì mỗi điểm ẩn mới là một báo cáo gán trách nhiệm và một sản phẩm để bán. Các phòng thí nghiệm mô hình trọng lượng mở tăng phạm vi tiếp cận như một chất xúc tác, dù có chủ đích hay không.
Nguyên tắc phi tập trung thua đầu tiên. Trong nhiều năm, lập luận là không ai được phép chạm vào bất cứ thứ gì trên chuỗi. Lập luận đó giờ phải bao gồm cả hệ thống lưu trữ ưu tiên cho phần mềm độc hại Bắc Hàn và phần mềm gián điệp Iran. Người dùng thông thường thua theo cách đơn giản hơn, vì phần mềm độc hại này cuối cùng nhắm vào ví, trình duyệt và thông tin đăng nhập của họ.
Hậu quả cấp hai quan trọng nhất đối với cấu trúc thị trường. Nếu một chuỗi không thể tự kiểm soát, câu trả lời của quy định là kiểm soát các cạnh của chuỗi. Điều đó có nghĩa là các nhà cung cấp RPC, nhà vận hành nút, bộ lập chỉ mục và sàn giao dịch bị yêu cầu lọc, điều này tập trung hóa cơ sở hạ tầng vốn được cho là vẫn mở. Các lập luận đã lan truyền xung quanh các lệnh trừng dụng công cụ riêng tư vào năm 2022 chỉ là những bản xem trước khiêm tốn về những gì sẽ xảy ra khi yêu cầu là lọc các kênh chỉ huy của phần mềm độc hại.
Điều này đã từng xảy ra trước đây?
Có, nhưng chưa bao giờ ở quy mô này hoặc với những người tham gia như vậy. Điểm ẩn blockchain được ghi nhận đầu tiên có từ năm 2013, khi một biến thể botnet Necurs đã đỗ các tên miền chỉ huy và điều khiển trên Namecoin. Năm 2019, botnet khai thác Glupteba đã ẩn dữ liệu trong trường OP_RETURN của Bitcoin. Năm 2023, dưới tên gọi EtherHiding, nhóm ClearFake đã chuyển mã thu thập thông tin vào các hợp đồng trên BNB Smart Chain sau khi mất các máy chủ thông thường của mình.
Ba điều khác biệt hiện nay. Quy mô: các ghi dữ liệu độc hại tăng từ 2,06 mỗi ngày lên 11,1 mỗi ngày trong chưa đầy một năm. Sự tham gia: kỹ thuật này đã chuyển từ một thủ thuật của tội phạm mạng thành một công cụ nhà nước tiêu chuẩn. Chi phí gia nhập: Chainalysis chỉ ra một mối liên hệ rõ ràng tại một thời điểm cụ thể giữa sự gia tăng và sự xuất hiện của các mô hình AI trọng lượng mở dung lượng cao vào giữa năm 2025, có khả năng tạo ra mã độc hại có năng lực với các biện pháp kiểm soát hạn chế. Trưởng nhóm nghiên cứu đứng sau báo cáo không dám khẳng định quan hệ nhân quả, và thời điểm vẫn khó bị bác bỏ.
Bắc Triều Tiên là trường hợp được ghi chép rõ ràng nhất. Nhóm Tình báo Mối đe dọa của Google theo dõi một cụm được gọi là UNC5342, mà Chainalysis liên kết với một chiến dịch định tuyến các máy bị nhiễm qua Tron làm kênh chính và Aptos làm dự phòng trước khi chuyển sang một giao dịch trên BNB Smart Chain mang theo dữ liệu cấu hình được mã hóa. TRM Labs ước tính các tác nhân liên quan đến Bắc Triều Tiên đã chiếm khoảng 643 triệu đô la tiền điện tử trong nửa đầu năm 2026, chiếm khoảng hai phần ba tổng số vụ trộm tiền điện tử trong giai đoạn đó.
Xu hướng này sẽ đi đến đâu trong vòng một đến ba năm tới?
Giả sử khối lượng tiếp tục tăng. Các mô hình trọng lượng mở không bị thu hồi, và chi phí biên để thiết lập một máy chủ trung gian chuyển tiếp là vài trăm byte dữ liệu được mã hóa. Việc quy kết trách nhiệm diễn ra theo hướng ngược lại: nó đòi hỏi phải ghép nối các mẫu xuyên chuỗi, hồ sơ máy chủ ngoài chuỗi và lịch sử chiến dịch nhiều năm. Kinh tế học bị đảo ngược, với kẻ tấn công trả giá vài xu và người phòng thủ trả hàng triệu.
Làn đất tranh chấp sẽ là việc lọc. Một blockchain không thể phân biệt một điểm rơi phần mềm độc hại với một giao dịch hợp pháp ở cấp độ giao thức, vì cả hai đều chỉ là các byte. Hoặc các chuỗi công khai được chấp nhận là cơ sở hạ tầng sử dụng kép vĩnh viễn, hoặc việc lọc sẽ chuyển sang các điểm cuối tại các nhà cung cấp RPC, ví và bộ lập chỉ mục, cùng với sự tập trung hóa mà điều đó ngụ ý.
Kết quả có khả năng là cả hai, được thực hiện một cách không hoàn hảo. Lớp cơ sở không cho phép vẫn mở và trở nên thù địch hơn, trong khi các hoạt động được quy định chuyển sang các đường ray tuân thủ nơi việc lọc được coi là một tính năng. Trên con đường đó, báo cáo này thúc đẩy sự phân chia giữa tiền điện tử như một dự án ý thức hệ và tiền điện tử như hệ thống đường ống tài chính.
Những gì các nhà tham gia thị trường nên rút ra từ điều này
Không có dự báo giá nào được rút ra từ điều này. Phân tích cấu trúc cho thấy phạm vi hẹp hơn: rủi ro bảo mật đã trở thành rủi ro hạ tầng thay vì chỉ là vấn đề của sự thận trọng cá nhân. Khi tác nhân đe dọa là một chương trình nhà nước sử dụng AI để tạo ra phần mềm độc hại nhanh hơn khả năng vá lỗi của người dùng, bề mặt tấn công không còn chỉ là cụm từ khóa (seed phrase). Đó là toàn bộ thiết bị đầu cuối nơi ví điện tử hoạt động.
Ba hệ quả được rút ra. Vệ sinh thiết bị đầu cuối giờ đây quan trọng ngang hàng với việc kiểm tra hợp đồng thông minh, vì một máy tính bị xâm nhập có thể âm thầm sửa đổi giao dịch ngay cả khi hợp đồng thông minh hoàn toàn hợp lệ. Các sàn giao dịch và ví điện tử có khả năng sẽ thêm các bước xác minh như kiểm tra thiết bị, mô phỏng giao dịch và bắt buộc ký xác nhận kép, vì họ phải chịu tổn thất. Và các chuỗi được đề cập trong báo cáo này đáng để theo dõi: Tron vừa là hạ tầng thanh toán đô la lớn nhất, vừa là kênh phân phối phần mềm độc hại đã được ghi nhận; nếu các nhà quản lý coi đây là vấn đề tuân thủ thay vì một sự trùng hợp ngẫu nhiên, bức tranh sẽ thay đổi nhanh chóng.
Mã nguồn là luật pháp, và mã nguồn cũng là vũ khí
Câu hỏi khó chịu là: một hệ thống được xây dựng sao cho không gì có thể bị xóa bỏ đã xử lý thế nào khi phát hiện ra rằng tài sản này có giá trị nhất đối với những tác nhân muốn nội dung luôn tồn tại.
Câu trả lời cho đến nay không phải là nhà bất đồng chính kiến hay nhà phát triển. Đó là tác giả phần mềm độc hại và chương trình nhà nước, những người hiện đang sở hữu một bảng tin bất biến, không thể kiểm duyệt, được xây dựng bởi ngành công nghiệp và được ngành công nghiệp ca ngợi như một phẩm chất. Tính bất biến vẫn là một tính năng. Nó đã có thêm một khách hàng thứ hai.
FAQ
Điểm rơi blockchain (blockchain dead drop) là gì? Đó là việc lưu trữ các hướng dẫn phần mềm độc hại, chẳng hạn như địa chỉ máy chủ, dữ liệu cấu hình hoặc lịch trình xoay vòng, bên trong một giao dịch hoặc hợp đồng thông minh trên blockchain công khai. Các thiết bị bị nhiễm sẽ đọc dữ liệu đó để tiếp tục hoạt động sau khi các máy chủ chỉ huy và điều khiển truyền thống bị tịch thu hoặc đưa vào trạng thái ngoại tuyến.
Tại sao mã độc không thể bị xóa khỏi chuỗi? Vì blockchain được thiết kế để bất biến. Một khi giao dịch đã được xác nhận, nó không thể bị xóa hoặc chỉnh sửa, và không nhà cung cấp dịch vụ lưu trữ hay tòa án nào có thể buộc phải xóa nó. Tính vĩnh viễn này, vốn được ca ngợi là một thuộc tính cốt lõi, chính là điều khiến chuỗi trở nên hữu ích như cơ sở hạ tầng cho mã độc.
Ai đứng sau sự gia tăng này? Các nhóm liên kết với nhà nước là động lực chính. Chainalysis quy khoảng hai phần ba hoạt động điểm chết mới mỗi quý cho các nhà khai thác liên quan đến Bắc Triều Tiên và Iran, trong đó cụm UNC5342 liên quan đến Bắc Triều Tiên và các nhà khai tác tình báo Iran bị nghi ngờ được xác định là hoạt động tích cực nhất.
AI có gây ra điều này không? Chainalysis báo cáo một mối liên hệ rõ ràng tại một thời điểm cụ thể giữa sự gia tăng và việc phát hành các mô hình AI trọng lượng mở dung lượng cao vào giữa năm 2025, và không khẳng định chắc chắn rằng các tác nhân cụ thể đã sử dụng những mô hình đó. Tuy nhiên, hiệu quả thực tế là như nhau trong cả hai trường hợp: rào cản về kỹ năng và chi phí để xây dựng cơ sở hạ tầng mã độc dựa trên blockchain đã sụp đổ.
Người dùng thực sự có thể làm gì gì? Mối đe dọa trước mắt là nhiễm độc ngoài chuỗi, thông qua các ứng dụng giả mạo, bản tải xuống độc hại và các điểm cuối bị xâm nhập, thay vì bản thân chuỗi. Cẩn trọng hơn với các bản tải xuống, giữ khóa khôi phục ngoại tuyến, ưu tiên các ví đã được kiểm toán, và giả định rằng một máy tính bị xâm nhập có thể ghi lại một giao dịch ngay cả khi hợp đồng thông minh hoạt động đúng là các biện pháp kiểm soát thực tế.