Les acteurs malveillants utilisent de plus en plus les blockchains publiques pour héberger des instructions de malwares, et l'émergence de modèles d'intelligence artificielle open-source sans restrictions a accéléré cette tendance, selon un rapport récent de la société d'analyse blockchain Chainalysis.

La société a constaté que les instructions malveillantes écrites sur les blockchains ont augmenté d'environ 440 % en moins d'un an, le nombre d'écritures malveillantes quotidiennes en chaîne passant de 2,06 à 11,1. Cette activité témoigne d'une utilisation croissante des blockchains comme infrastructure de communication avec des appareils compromis, plutôt que uniquement comme systèmes de transfert d'actifs numériques.

Cette technique, que Chainalysis appelle « blockchain dead drops » (BDD), consiste pour les attaquants à placer des charges utiles de malwares, des instructions ou des informations de commande dans des transactions blockchain ou des contrats intelligents. Les appareils infectés peuvent ensuite récupérer ces informations au besoin. L'avantage principal pour les attaquants est la persistance : les blockchains publiques peuvent maintenir l'infrastructure de commande malveillante accessible même après le retrait des domaines, des serveurs et des dépôts en ligne.

La Corée du Nord et l'Iran associés à une grande partie de l'activité

Chainalysis indique que des opérateurs liés à des États, associés à la Corée du Nord et à l'Iran, sont responsables d'une grande partie de la récente activité de malwares basée sur la blockchain. Cette évolution marque une extension de la technologie blockchain vers un rôle capable de soutenir des opérations cybernétiques en fournissant un emplacement résilient pour les informations de commande et de contrôle.

Les campagnes de malwares traditionnelles dépendent souvent de serveurs centralisés pour distribuer des instructions aux ordinateurs infectés. Ces serveurs peuvent être identifiés, saisis, bloqués ou mis hors ligne par les équipes de sécurité et les autorités. Les blockchains publiques posent un défi différent, car les informations enregistrées en chaîne peuvent rester disponibles pendant de longues périodes et sont réparties sur plusieurs réseaux plutôt que dépendantes d'un unique hébergeur.

La technique elle-même n'est pas nouvelle. Chainalysis fait remonter le concept à 2013, lorsqu'une variante du botnet Necurs utilisait Namecoin, une blockchain dérivée de Bitcoin, pour stocker des informations de domaine. La méthode s'est ensuite étendue aux réseauxibles avec la machine virtuelle Ethereum. En 2023, elle est devenue plus visible grâce à une approche connue sous le nom d'EtherHiding, qui utilise l'infrastructure blockchain pour dissimuler du contenu malveillant. Les chercheurs en sécurité ont ensuite relié cette approche à des activités nord-coréennes, notamment des campagnes impliquant de faux entretiens d'embauche.

L'IA abaisse la barrière technique

Chainalysis identifie le milieu de 2025 comme un tournant majeur dans la croissance des blockchain dead drops. La société attribue cette accélération en partie à la disponibilité de puissants modèles d'IA chinois open-weight, capables de générer du code malveillant sans les restrictions présentes dans les systèmes plus étroitement contrôlés.

Avant que ces modèles ne soient largement disponibles, le déploiement d'une infrastructure de malwares basée sur la blockchain exigeait une expertise technique plus poussée. Selon le rapport, la génération de code assistée par IA a réduit cette barrière, permettant à davantage d'opérateurs de développer ou de modifier des logiciels malveillants et de les intégrer à des mécanismes de communication basés sur la blockchain.

Le changement clé n'est donc pas seulement une capacité accrue des malwares, mais la création et le déploiement plus faciles d'une infrastructure capable de survivre aux efforts de retrait conventionnels.

Cette évolution illustre également comment des techniques initialement associées aux réseaux de crypto-monnaies peuvent affecter l'ensemble de l'écosystème de la cybersécurité. Les registres publics, les contrats intelligents et les infrastructures décentralisées peuvent offrir aux applications légitimes persistance et disponibilité, mais les mêmes caractéristiques peuvent aussi être exploitées par des acteurs malveillants.

Une activité qui s'étend au-delà des réseaux blockchain

L'impact ne se limite plus aux utilisateurs de blockchains ou aux systèmes liés aux crypto-monnaies. Les chercheurs de Netskope ont signalé que l'attaque de la chaîne d'approvisionnement ChainDrop a touché plus de 440 paquets npm en août 2026, soulignant la manière dont les techniques de malwares basées sur la blockchain peuvent croiser l'infrastructure classique de développement logiciel.

Pour les entreprises, cette évolution complique les approches conventionnelles d'identification et de perturbation des systèmes de commande et de contrôle. Bloquer un domaine malveillant ou supprimer un serveur compromis peut ne pas suffire lorsque les instructions sont stockées sur un registre public. Les défenseurs peuvent également devoir examiner la manière dont les systèmes compromis récupèrent des données depuis les réseaux blockchain, tout en distinguant cette activité des applications légitimes utilisant des infrastructures décentralisées.

Pour les équipes de cybersécurité, cette tendance accroît l'importance de surveiller les transactions blockchain, les contrats intelligents et les autres infrastructures décentralisées, en plus des domaines, serveurs et dépôts logiciels conventionnels. L'efficacité de cette surveillance dépendra de la détection des usages malveillants sans considérer toute activité liée à la blockchain comme hostile.

Ces constats soulignent un défi plus large créé par la combinaison de l'IA générative et de la technologie décentralisée. L'IA peut réduire l'expertise nécessaire à la création d'outils malveillants, tandis que les blockchains peuvent fournir une infrastructure persistante pour distribuer des instructions, une combinaison qui pourrait rendre certaines campagnes cybernétiques plus difficiles à perturber.