Cyberkriminelle nutzen öffentliche Blockchains zunehmend, um Schadsoftware-Befehle zu hinterlegen, und das Aufkommen uneingeschränkter Open-Source-KI-Modelle hat diesen Trend beschleunigt. Das geht aus einem aktuellen Bericht des Blockchain-Analyseunternehmens Chainalysis hervor.

Dem Bericht zufolge stiegen die in Blockchains geschriebenen schädlichen Anweisungen innerhalb eines Jahres um rund 440 %, wobei sich die Zahl der täglichen bösartigen On-Chain-Schreibvorgänge von 2,06 auf 11,1 erhöhte. Die Aktivität zeigt, dass Blockchains zunehmend als Infrastruktur zur Kommunikation mit kompromittierten Geräten dienen und nicht mehr ausschließlich als Systeme zur Übertragung digitaler Assets.

Bei der Technik, die Chainalysis als Blockchain Dead Drops (BDDs) bezeichnet, platzieren Angreifer Schadsoftware-Nutzlasten, Anweisungen oder Befehlsinformationen in Blockchain-Transaktionen oder Smart Contracts. Infizierte Geräte können diese Informationen bei Bedarf abrufen. Der Hauptvorteil für Angreifer liegt in der Persistenz: Öffentliche Blockchains können bösartige Befehlsinfrastrukturen auch dann zugänglich halten, nachdem Domains, Server und Online-Repositories abgeschaltet wurden.

Nordkorea und Iran mit einem Großteil der Aktivität in Verbindung gebracht

Chainalysis zufolge gehen staatlich verbundene Akteure aus Nordkorea und dem Iran für einen Großteil der aktuellen Blockchain-basierten Schadsoftware-Aktivität verantwortlich. Die Entwicklung markiert eine Ausweitung der Blockchain-Technologie in eine Rolle, die Cyberoperationen unterstützen kann, indem sie einen widerstandsfähigen Speicherort für Command-and-Control-Informationen bereitstellt.

Traditionelle Schadsoftware-Kampagnen sind häufig auf zentrale Server angewiesen, um Anweisungen an infizierte Computer zu verteilen. Diese Server können von Sicherheitsteams und Behörden identifiziert, beschlagnahmt, blockiert oder offline genommen werden. Öffentliche Blockchains stellen eine andere Herausforderung dar, da On-Chain gespeicherte Informationen über lange Zeiträume verfügbar bleiben können und über Netzwerke verteilt sind, statt von einem einzigen Hosting-Anbieter abzängen.

Die Technik selbst ist nicht neu. Chainalysis verfolgt das Konzept bis ins Jahr 2013 zurück, als eine Variante des Necurs-Botnets Namecoin, eine von Bitcoin abgeleitete Blockchain, nutzte, um Domain-Informationen zu speichern. Die Methode wurde später auf Ethereum Virtual Machine-kompatible Netzwerke ausgeweitet. Im Jahr 2023 erlangte sie durch einen Ansatz namens EtherHiding größere Sichtbarkeit, bei dem Blockchain-Infrastruktur zur Tarnung bösartiger Inhalte verwendet wird. Sicherheitsforscher brachten diesen Ansatz anschließend mit nordkoreanischer Aktivität in Verbindung, darunter Kampagnen mit fingierten Vorstellungsgesprächen.

KI senkt die technische Hürde

Chainalysis sieht die Mitte 2025 als einen entscheidenden Wendepunkt im Wachstum der Blockchain Dead Drops. Das Unternehmen führt die Beschleunigung unter anderem auf die Verfügbarkeit leistungsstarker chinesischer Open-Weight-KI-Modelle zurück, die bösartigen Code ohne die Beschränkungen stärker kontrollierter Systeme generieren konnten.

Bevor solche Modelle breit verfügbar waren, erforderte der Einsatz Blockchain-basierter Schadsoftware-Infrastruktur deutlich mehr technische Expertise. Laut Bericht senkte die KI-gestützte Codegenerierung diese Hürde, sodass mehr Akteure bösartige Software entwickeln oder verändern und sie mit Blockchain-basierten Kommunikationsmechanismen integrieren konnten.

Die entscheidende Veränderung liegt daher nicht allein in einer größeren Fähigkeit der Schadsoftware, sondern in der einfacheren Erstellung und Bereitstellung von Infrastruktur, die herkömmliche Abschaltbemühungen überstehen kann.

Die Entwicklung zeigt auch, wie Techniken, die ursprünglich mit Krypto-Netzwerken in Verbindung gebracht wurden, das gesamte Cybersecurity-Ökosystem beeinträchtigen können. Öffentliche Ledger, Smart Contracts und dezentrale Infrastrukturen können legitimen Anwendungen Persistenz und Verfügbarkeit bieten, doch dieselben Eigenschaften lassen sich von Bedrohungsakteuren ausnutzen.

Aktivität geht über Blockchain-Netzwerke hinaus

Die Auswirkungen beschränken sich längst nicht mehr auf Blockchain-Nutzer oder Krypto-bezogene Systeme. Forscher von Netskope berichteten, dass die ChainDrop-Lieferkettenattacke im August 2026 mehr als 440 npm-Pakete betraf, was verdeutlicht, wie Blockchain-basierte Schadsoftware-Techniken mit der Mainstream-Softwareentwicklungs-Infrastruktur in Berührung kommen können.

Für Unternehmen erschwert dieser Wandel die klassischen Ansätze zur Identifizierung und Unterbindung von Command-and-Control-Systemen. Das Blockieren einer bösartigen Domain oder das Entfernen eines kompromittierten Servers reicht möglicherweise nicht aus, wenn Anweisungen in einem öffentlichen Ledger gespeichert sind. Verteidiger müssen möglicherweise auch prüfen, wie kompromittierte Systeme Daten aus Blockchain-Netzwerken abrufen, und diese Aktivität von legitimen Anwendungen unterscheiden die dezentrale Infrastruktur nutzen.

Für Cybersecurity-Teams verstärkt dieser Trend die Bedeutung der Überwachung von Blockchain-Transaktionen, Smart Contracts und anderer dezentraler Infrastruktur neben herkömmlichen Domains, Servern und Software-Repositories. Der Erfolg dieser Überwachung hängt davon ab, bösartige Nutzungen zu erkennen, ohne sämtliche Blockchain-bezogene Aktivitäten als feindselig einzustufen.

Die Ergebnisse unterstreichen eine umfassendere Herausforderung, die aus der Kombination von generativer KI und dezentraler Technologie entsteht. KI kann die Expertise reduzieren, die für den Aufbau bösartiger Werkzeuge erforderlich ist, während Blockchains eine persistente Infrastruktur zur Verteilung von Anweisungen bieten können – eine Kombination, die einige Cyberkampagnen möglicherweise schwerer zu unterbinden macht.