ブロックチェーン分析企業Chainalysisの最新報告によると、マルウェアの指示をパブリックブロックチェーン上でホストする悪意ある攻撃者が増加しており、制限のないオープンソースAIモデルの登場がこの傾向を加速させている。

同社の調査では、ブロックチェーンに書き込まれた有害な指示は1年足らずで約440%増加し、1日あたりの悪意あるオンチェーン書き込み数は2.06から11.1に上昇した。この活動は、デジタル資産の transfer 用システムとしてではなく、侵害されたデバイスと通信するインフラとしてブロックチェーンが利用される傾向が強まっていることを示している。

Chainalysisが「ブロックチェーン・デッドロップ(BDD)」と呼ぶこの手法では、攻撃者がマルウェアのペイロード、指示、またはコマンド情報をブロックチェーンのトランザクションやスマートコントラクト内に配置する。感染デバイスは必要に応じてその情報を取得できる。攻撃者にとって最大の利点は持続性であり、ドメインやサーバー、オンラインリポジトリが排除された後も、パブリックブロックチェーンによって悪意あるコマンドインフラがアクセス可能な状態を保てることにある。

北朝鮮とイランが活動の大部分に関連

Chainalysisによると、近年のブロックチェーンを利用したマルウェア活動の大部分は、北朝鮮およびイランに関連する国家支援の攻撃者によるものだという。この動向は、コマンド&コントロール情報の耐障害性の高い格納場所を提供することでサイバー作戦を支援するという役割への、ブロックチェーン技術の拡大を示している。

従来のマルウェアキャンペーンは、感染したコンピュータへ指示を配布する際に中央集権的なサーバーに依存することが多かった。こうしたサーバーは、セキュリティチームや当局によって特定、差押さえ、遮断、またはオフラインにされる可能性がある。パブリックブロックチェーンは異なる課題をもたらす。オンチェーンに記録された情報は長期間アクセス可能であり、単一のホスティング事業者に依存せずネットワーク全体に分散されるからだ。

この手法自体は新しいものではない。Chainalysisはこの概念を2013年にさかのぼって確認している。当時、Necursボットネットの亜種が、Bitcoinから派生したブロックチェーンであるNamecoinをドメイン情報の保存に利用した。その後、この手法はEthereum Virtual Machine互換ネットワークへと拡大した。2023年には、ブロックチェーンインフラを悪意あるコンテンツの隠蔽に利用する「EtherHiding」として知られる手法を通じて、より顕在化した。セキュリティ研究者はその後、この手法を北朝鮮の活動、特に偽の求人面接を利用したキャンペーンと結びつけている。

AIが技術的障壁を下げる

Chainalysisは、ブロックチェーン・デッドロップの増加における大きな転換点として2025年半ばを挙げた。同社は加速の一因を、より厳格に管理されたシステムに見られる制限なしに悪意あるコードを生成できた力な中国産オープンウェイトAIモデルの入手可能性に帰している。

こうしたモデルが広く利用可能になる前は、ブロックチェーンベースのマルウェアインフラの構築にはより高度な技術的専門知識が必要だった。報告書によれば、AI支援によるコード生成がこの障壁を下げ、より多くの攻撃者が悪意あるソフトウェアを開発・改変し、ブロックチェーンベースの通信メカニズムと統合できるようになった。

したがって重要な変化は、マルウェアの能力が向上したことだけではなく、従来の排除措置を回避できるインフラの構築・展開が容易になったことにある。

この動向は、当初暗号資産ネットワークに関連していた手法が、より広範なサイバーセキュリティの生態系に影響を及ぼしうることも示している。パブリック台帳、スマートコントラクト、分散型インフラは正当なアプリケーションに持続性と可用性をもたらすが、同じ特性は脅威アクターにも悪用されうる。

影響はブロックチェーンネットワークの域を超えて

その影響はもはやブロックチェーンユーザーや暗号資産関連システムに限られない。ネットスコープ(Netskope)の研究者は、ChainDropサプライチェーン攻撃が2026年8月に440以上のnpmパッケージに影響を与えたと報告しており、ブロックチェーンを悪用したマルウェア手法が主流のソフトウェア開発インフラと交わりうることを浮き彫りにしている。

企業にとって、この変化はコマンド&コントロールシステムの特定・妨害に対する従来型のアプローチを複雑にする。指示がパブリック台帳に保存されている場合、悪意あるドメインの遮断や侵害されたサーバーの撤去だけでは不十分な可能性がある。防御側はまた、侵害されたシステムがブロックチェーンネットワークからどのようにデータを取得しているかを調査し、その活動を分散型インフラを利用する正当なアプリケーションと区別する必要があるかもしれない。

サイバーセキュリティチームにとって、この傾向は、従来のドメインやサーバ、ソフトウェアリポジトリに加えて、ブロックチェーンのトランザクション、スマートコントラクト、その他の分散型インフラの監視の重要性を高めるものだ。その監視の有効性は、ブロックチェーン関連の活動すべてを敵対的なものと見なすことなく、悪意ある利用を検知できるかにかかっている。

これらの所見は、生成AIと分散型技術の組み合わせがもたらすより広範な課題を浮き彫りにしている。AIは悪意あるツールの構築に必要な専門知識を減らすことができ、ブロックチェーンは指示を配布するための持続的なインフラを提供できる。この組み合わせは、一部のサイバーキャンペーンの妨害をより困難にする可能性がある。