写在公共区块链上的恶意软件指令一年内激增 420%，由国家关联的操作者驱动了约三分之二的新的死信箱活动。不可变性长期以来被视为加密货币的核心美德，如今已成为恶意软件基础设施的关键支撑特性。
链上恶意软件激增 420%——加密货币将枪柄递给了攻击者
关键要点
- 根据Chainalysis的数据，写在公共区块链上的恶意软件指令从每天2.06次写入增加到每天11.1次写入，同比增长420%。
- 与朝鲜和伊朗有关联的国家支持运营商现在占每个季度新增区块链死投活动的大约三分之二。
- 这一激增与2025年中高容量开源AI模型的发布相吻合，活动量激增440%，Chainalysis将其与这些发布联系起来，但并未声称是由这些发布引起的。
- 不可篡改性，过去十年被视为公共区块链的核心美德，现在已成为国家恶意软件基础设施的关键功能。
- 预期的监管反应是在链的边缘进行过滤，这将悄然集中化原本旨在保持去中心化的基础设施。
什么是区块链死信箱？
区块链死信箱回答了一个具体问题：当恶意软件的命令与控制服务器被查封时，恶意软件会发生什么？过去的答案是它会死亡。现在它不会了。已经存在于受害者机器上的恶意软件不再需要域名来“回家”。它只需要读取区块链。
攻击者将编码的指针（例如服务器地址、配置文件或轮换计划）写入交易或智能合约。受感染的设备读取它，更新自身，并在安全公司移除旧域名或查封旧服务器后继续工作。域名可以被下架，但已确认的区块不能。
与伊朗相关的操作员将这一逻辑推至极致，利用一个历史上著名的早期比特币地址作为永久公告板，并向其发送碎屑支付，以便受感染设备知道去哪里查找。网络最早时期的一个产物，如今已成为疑似伊朗恶意软件基础设施中的承重组件。
更大的图景：不可篡改性迎来了首个国家级用户
十年来，不可篡改性和抗审查性一直是行业描述为“保障”的属性。代码即法律。链不能被编辑。没有人可以下架已确认的交易。这些属性是加密货币与政府打个电话就能冻结账户的银行之间的明确区别。
报告展示了当相同属性服务于不同目的时会发生什么。与朝鲜和伊朗有关联的国家行为者不仅利用区块链转移价值，还将其用作无法被移除的托管服务。2024年初，这主要是一种普通的网络犯罪技术。十八个月后，这已成为国家项目之间的较量。
这一转变是更大的故事，超越了420%这一数字。这不再是一个关于诈骗者的故事。现在，这是一个关于受制裁国家通过旨在防止任何外部权威机构移除任何内容的通道来路由间谍基础设施的故事。
谁赢，谁输？
与国家有关联的项目首先获胜：他们获得了几乎零成本且无法删除的永久托管服务。区块链取证公司也获胜，因为每一个新的死信箱都意味着另一份归因报告和另一款可销售的产品。开源模型实验室也获得了影响力，无论这是否是有意为之。
去中心化原则首先受损。多年来，论点一直是没有人应该能够触碰链上的任何东西。现在，这一论点必须涵盖朝鲜恶意软件和伊朗间谍软件的首选归档系统。普通用户以更简单的方式受损，因为这些恶意软件最终针对的是他们的钱包、浏览器和凭证。
二级后果对市场结构最为重要。如果一条链无法自我监管，监管的答案就是监管链的边缘。这意味着RPC提供商、节点运营商、索引器和交易所被要求过滤，这将使原本应保持开放的基础设施集中化。2022年围绕隐私工具制裁的争论，只是当要求过滤恶意软件命令通道时即将发生的事情的 modest 预览。
这种情况以前发生过吗？
是的，但从未达到这种规模或涉及这些参与者。有记录的首个区块链死投事件可追溯至2013年，当时一个Necurs僵尸网络变体将命令和控制域名停靠在Namecoin上。2019年，Glupteba挖矿僵尸网络将数据隐藏在比特币的OP_RETURN字段中。2023年，ClearFake组织在失去传统服务器后，以EtherHiding为名，将信息窃取器代码移入BNB智能链合约中。
现在有三点不同。规模：恶意写入量在不到一年的时间里从每天2.06次增加到11.1次。参与度：该技术已从网络犯罪技巧转变为标准的国家工具。入门成本：Chainalysis清晰地指出了这一激增与2025年中高容量开源AI模型问世之间的时间点关联，这些模型能够在有限限制下生成合格的恶意代码。该报告的主要研究人员并未断言因果关系，且这种时间上的巧合仍难以被忽视。
朝鲜是最有明确记录的情况。Google威胁情报组追踪到一个名为UNC5342的集群，Chainalysis将其与一项活动联系起来，该活动将受感染的机器通过Tron作为主要通道、Aptos作为备用通道进行路由，最终落脚于携带加密配置数据的BNB智能链交易。TRM Labs估计，与朝鲜有关的行动者在2026年上半年窃取了约6.43亿美元的加密货币，占该时期所有加密货币盗窃案的三分之二左右。
未来一到三年内会走向何方？
假设交易量持续攀升。开源模型不会被撤回，而建立死投中继的边际成本仅为几百字节的编码数据。归因则相反：它需要将跨链模式、链外服务器记录和多年的活动历史拼凑在一起。经济逻辑被颠倒，攻击者只需支付几美分，而防御者却需花费数百万美元。
争议地带将涉及过滤。区块链在协议层面无法区分恶意软件的死信箱与合法交易，因为两者都只是字节。要么公共链被接受为永久性的双重用途基础设施，要么过滤转移到 RPC 提供商、钱包和索引器边缘，并随之带来中心化。
可能的结果是两者兼有，但执行得并不完美。无需许可的基础层保持开放并变得更加充满敌意，而受监管的活动则转移到合规轨道，在那里过滤被视为一项功能。在此路径上，这份报告加速了加密资产作为意识形态项目与作为金融基础设施之间的分裂。
市场参与者应从中吸取什么
由此不会产生价格预测。结构性解读更为狭窄：安全风险已成为基础设施风险，而非个人谨慎的问题。当威胁行为者是一个利用 AI 迭代恶意软件的速度快于用户打补丁速度的国家项目时，攻击面不再仅仅是助记词。它是运行钱包的整个终端。
由此产生三个影响。终端卫生现在与智能合约审查同等重要，因为即使合约健全，被入侵的机器也可以静默地重写交易。交易所和钱包可能会增加摩擦，例如设备检查、交易模拟和强制共同签名者，因为它们吸收损失。这份报告中提到的链值得关注：Tron 同时是最大的美元结算轨道和已记录的恶意软件主要渠道，如果监管机构将其视为合规问题而非巧合，情况会迅速发生变化。
代码即法律，代码也是武器
令人不安的问题是，一个被设计为无法删除任何内容的系统，如何应对这一发现：该特性对那些最希望内容保持不变的行为者来说最有价值。
迄今为止的答案既不是持不同政见者，也不是开发者。而是恶意软件作者和国家项目，它们现在拥有一个由行业构建、并被行业赞誉为美德的永久且无法审查的公告板。不可变性并未失去其作为特性的地位。它获得了第二个客户。
FAQ
什么是区块链死投？它是在公共区块链上的交易或智能合约中存储恶意软件指令，例如服务器地址、配置数据或轮换计划。受感染的设备读取这些数据，以便在传统的命令与控制服务器被查封或下线后继续运行。
为什么恶意软件无法从链上移除？因为区块链在设计上就是不可变的。一旦交易被确认，就无法删除或编辑，没有任何托管提供商或法院能强制其移除。这种长期被赞誉为核心属性的永久性，正是使该链作为恶意软件基础设施有用的原因。
谁在背后推动这一激增？与国家相关的组织是主要推动力。Chainalysis 将每个季度新增的死投活动的大约三分之二归因于与朝鲜和伊朗相关的操作者，其中与朝鲜相关的集群 UNC5342 和疑似伊朗情报操作者被认定为最活跃。
这是由人工智能引起的吗？Chainalysis 报告称，激增与 2025 年中高容量开源 AI 模型的发布之间存在明确的时间点关联，但并未证明特定行为者使用了这些模型。无论哪种情况，实际影响都是一样的：构建基于区块链的恶意软件基础设施的技能门槛和成本门槛已经崩溃。
用户实际上能做什么？直接风险来自链下感染，例如通过虚假应用程序、恶意下载和受感染的终端，而非区块链本身。对下载内容保持更多怀疑态度、将助记词离线保存、优先选择经过审计的钱包，并假设即使智能合约健全，受感染的机器也能重写交易，这些都是实际的控制措施。