Los actores maliciosos utilizan cada vez más las blockchains públicas para alojar instrucciones de malware, y la aparición de modelos de inteligencia artificial de código abierto sin restricciones ha acelerado esta tendencia, según un informe reciente de la firma de análisis de blockchain Chainalysis.

La firma encontró que las instrucciones maliciosas escritas en blockchains aumentaron aproximadamente un 440% en menos de un año, con el número de escrituras maliciosas diarias en cadena pasando de 2.06 a 11.1. Esta actividad refleja un uso creciente de las blockchains como infraestructura para comunicarse con dispositivos comprometidos, y no solo como sistemas para transferir activos digitales.

La técnica, que Chainalysis denomina blockchain dead drops (BDD), consiste en que los atacantes colocan cargas útiles de malware, instrucciones o información de comandos dentro de transacciones de blockchain o contratos inteligentes. Los dispositivos infectados pueden luego recuperar el material cuando lo necesiten. La principal ventaja para los atacantes es la persistencia: las blockchains públicas pueden mantener accesible la infraestructura de comandos maliciosos incluso después de que los dominios, servidores y repositorios en línea hayan sido retirados.

Corea del Norte e Irán vinculados a gran parte de la actividad

Chainalysis señaló que los operadores vinculados a estados, asociados a Corea del Norte e Irán, son responsables de gran parte de la reciente actividad de malware basado en blockchain. Este desarrollo marca una expansión de la tecnología blockchain hacia un rol que puede respaldar operaciones cibernéticas al proporcionar una ubicación resistente para la información de comando y control.

Las campañas tradicionales de malware suelen depender de servidores centralizados para distribuir instrucciones a las computadoras infectadas. Esos servidores pueden ser identificados, incautados, bloqueados o desconectados por los equipos de seguridad y las autoridades. Las blockchains públicas plantean un desafío diferente, porque la información registrada en cadena puede permanecer disponible durante períodos prolongados y se distribuye entre redes en lugar de depender de un único proveedor de alojamiento.

La técnica en sí no es nueva. Chainalysis rastreó el concepto hasta 2013, cuando una variante del botnet Necurs utilizócoin, una blockchain derivada de Bitcoin, para almacenar información de dominios. El método se expandió posteriormente a redes compatibles con la Ethereum Virtual Machine. En 2023, la técnica se hizo más visible a través de un método conocido como EtherHiding, que utiliza la infraestructura de blockchain para ocultar contenido malicioso. Los investigadores de seguridad vincularon posteriormente ese enfoque a actividad norcoreana, incluidas campañas que involucraban entrevistas laborales falsas.

La IA reduce la barrera técnica

Chainalysis identificó mediados de 2025 como un punto de inflexión importante en el crecimiento de los blockchain dead drops. La firma atribuyó la aceleración, en parte, a la disponibilidad de potentes modelos de IA chinos de pesos abiertos capaces de generar código malicioso sin las restricciones presentes en sistemas más controlados.

Antes de que estos modelos estuvieran ampliamente disponibles, desplegar infraestructura de malware basada en blockchain requería una mayor experiencia técnica. Según el informe, la generación de código asistida por IA redujo esa barrera, permitiendo que más operadores desarrollaran o modificarán software malicioso y lo integraran con mecanismos de comunicación basados en blockchain.

Por lo tanto, el cambio clave no es solo una mayor capacidad del malware, sino la creación y el despliegue más fáciles de una infraestructura capaz de sobrevivir a los esfuerzos convencionales de derribo.

El desarrollo también ilustra cómo las técnicas asociadas inicialmente con las redes de criptomonedas pueden afectar al ecosistema más amplio de ciberseguridad. Los registros públicos, los contratos inteligentes y la infraestructura descentralizada pueden brindar persistencia y disponibilidad a aplicaciones legítimas, pero las mismas características pueden ser explotadas por actores de amenazas.

La actividad se extiende más allá de las redes blockchain

El impacto ya no se limita a los usuarios de blockchain ni a los sistemas relacionados con criptomonedas. Investigadores de Netskope informaron que el ataque de cadena de suministro ChainDrop afectó más de 440 paquetes de npm en agosto de 2026, lo que destaca cómo las técnicas de malware habilitadas por blockchain pueden intersectarse con la infraestructura convencional de desarrollo de software.

Para las empresas, este cambio complica los enfoques convencionales para identificar y perturbar los sistemas de comando y control. Bloquear un dominio malicioso o eliminar un servidor comprometido puede no ser suficiente cuando las instrucciones están almacenadas en un registro público. Los defensores también pueden necesitar examinar cómo los sistemas comprometidos recuperan datos de las redes blockchain, al tiempo que distinguen esa actividad de las aplicaciones legítimas que utilizan infraestructura descentralizada.

Para los equipos de ciberseguridad, la tendencia eleva la importancia de monitorear las transacciones de blockchain, los contratos inteligentes y otra infraestructura descentralizada, además de los dominios, servidores y repositorios de software convencionales. La eficacia de ese monitoreo dependerá de detectar el uso malicioso sin tratar toda relacionada con blockchain como hostil.

Los hallazgos subrayan un desafío más amplio creado por la combinación de la IA generativa y la tecnología descentralizada. La IA puede reducir la experiencia necesaria para construir herramientas maliciosas, mientras que las blockchains pueden proporcionar una infraestructura persistente para distribuir instrucciones, una combinación que podría hacer que algunas campañas cibernéticas sean más difíciles de perturbar.