Gli attori malevoli utilizzano sempre più spesso le blockchain pubbliche per ospitare istruzioni malware, e l'emergere di modelli di intelligenza artificiale open-source senza restrizioni ha accelerato la tendenza, secondo un recente rapporto della società di analisi blockchain Chainalysis.

La società ha rilevato che le istruzioni dannose scritte sulle blockchain sono aumentate di circa il 440% in meno di un anno, con il numero di scritture on-chain malevole giornaliere salito da 2,06 a 11,1. L'attività riflette un uso crescente delle blockchain come infrastruttura per comunicare con dispositivi compromessi, anziché solo come sistemi per il trasferimento di asset digitali.

La tecnica, che Chainalysis chiama blockchain dead drop (BDD), prevede che gli attaccanti inseriscano payload malware, istruzioni o informazioni di comando all'interno di transazioni blockchain o smart contract. I dispositivi infetti possono quindi recuperare il materiale quando necessario. Il vantaggio principale per gli attaccanti è la persistenza: le blockchain pubbliche possono mantenere accessibile l'infrastruttura di comando malevola anche dopo che domini, server e repository online sono stati rimossi.

Corea del Nord e Iran legati a gran parte dell'attività

Chainalysis ha dichiarato che gli operatori collegati a stati, associati a Corea del Nord e Iran, rappresentano gran parte della recente attività malware basata su blockchain. Lo sviluppo segna un'espansione della tecnologia blockchain verso un ruolo che può supportare operazioni informatiche fornendo una posizione resiliente per le informazioni di comando e controllo.

Le tradizionali campagne malware dipendono spesso da server centralizzati per distribuire istruzioni ai computer infetti. Tali server possono essere identificati, sequestrati, bloccati o messi offline dai team di sicurezza e dalle autorità. Le blockchain pubbliche presentano una sfida diversa, poiché le informazioni registrate on-chain rimanere disponibili per lunghi periodi e sono distribuite tra le reti anziché dipendere da un singolo provider di hosting.

La tecnica in sé non è nuova. Chainalysis ha fatto risalire il concetto al 2013, quando una variante del botnet Necurs utilizzava Namecoin, una blockchain derivata da Bitcoin, per memorizzare informazioni sui domini. Il metodo si è successivamente esteso alle reti compatibili con la Ethereum Virtual Machine. Nel 2023 è diventata più visibile attraverso un approccio noto come EtherHiding, che utilizza l'infrastruttura blockchain per nascondere contenuti malevoli. I ricercatori di sicurezza hanno successivamente collegato tale approccio all'attività nordcoreana, comprese campagne che coinvolgevano falsi colloqui di lavoro.

L'IA abbassa la barriera tecnica

Chainalysis ha identificato la metà del 2025 come un punto di svolta fondamentale nella crescita dei blockchain dead drop. La società ha attribuito l'accelerazione in parte alla disponibilità di potenti modelli IA cinesi open-weight in grado di generare codice malevolo senza le restrizioni presenti nei sistemi più strettamente controllati.

Prima che tali modelli diventassero ampiamente disponibili, il deployment di infrastrutture malware basate su blockchain richiedeva competenze tecniche maggiori. Secondo il rapporto, la generazione di codice assistita dall'IA ha abbassato tale barriera, permettendo a più operatori di sviluppare o modificare software malevolo e di integrarlo con meccanismi di comunicazione basati su blockchain.

Il cambiamento chiave, quindi, non è soltanto una maggiore capacità del malware, ma la creazione e il deployment più semplici di infrastrutture in grado di sopravvivere ai tradizionali tentativi di rimozione.

Lo sviluppo illustra inoltre come tecniche inizialmente associate alle reti di criptovalute possano influire sull'ecosistema della cybersicurezza più in generale. Registri pubblici, smart contract e infrastrutture decentralizzate possono garantire alle applicazioni legittime persistenza e disponibilità, ma le stesse caratteristiche possono essere sfruttate dagli attori delle minacce.

L'attività si estende oltre le reti blockchain

L'impatto non è più limitato agli utenti di blockchain o ai sistemi legati alle criptovalute. I ricercatori di Netskope hanno riferito che l'attacco supply-chain ChainDrop ha interessato oltre 440 pacchetti npm nell'agosto 2026, evidenziando come le tecniche malware abilitate dalla blockchain possano intersectare l'infrastruttura mainstream di sviluppo software.

Per le aziende, questo cambi complica gli approcci convenzionali all'identificazione e al disruption dei sistemi di comando e controllo. Bloccare un dominio malevolo o rimuovere un server compromesso potrebbe non bastare quando le istruzioni sono memorizzate su un registro pubblico. I difensori potrebbero inoltre dover esaminare come i sistemi compromessi recuperano dati dalle reti blockchain, distinguendo tale attività dalle applicazioni legittime che utilizzano infrastrutture decentralizzate.

Per i team di cybersicurezza, la tendenza accresce l'importanza del monitoraggio delle transazioni blockchain, degli smart contract e di altre infrastrutture decentralizzate insieme a domini, server e repository software convenzionali. L'efficacia di tale monitoraggio dipenderà dalla capacità di rilevare l'uso malevolo senza considerare ostile ogni attività legata alla blockchain.

I risultati sottolineano una sfida più ampia creata dalla combinazione di IA generativa e tecnologia decentralizzata. L'IA può ridurre le competenze necessarie per costruire strumenti malevoli, mentre le blockchain possono fornire un'infrastruttura persistente per la distribuzione delle istruzioni, una combinazione che potrebbe rendere alcune campagne informatiche più difficili da interrompere.