Arctic Wolfの調査によると、『GoCaracal』と名付けられた新たに記録されたマルウェアフレームワークが、サイバー攻撃中のコマンドアンドコントロール（C2）の復旧を支援するためにイーサリアムインフラを利用している。このサイバーセキュリティ企業は、2026年6月にベネズエラの通信組織に関わる侵入事案で、このGoベースのマルウェアを観測した。

コマンドアンドコントロールインフラは、攻撃者が侵害したシステムに指示を送り、そこからデータを取得するために使うチャネルである。従来のC2構成は通常、マルウェアに埋め込まれたハードコード化されたドメイン名やIPアドレスに依存しており、防御側はドメインの差し押さえ、トラフィックのシンクホーリング、ネットワークレベルでのアドレスブロックによってこれを妨害できる。イーサリアムなどのパブリックブロックチェーンに書き込まれたデータは一方的に改変・削除できないため、ブロックチェーンベースのフォールバックチャネルはこうした標準的な排除措置の影響を受けない。

イーサリアムのスマートコントラクトは、ブロックチェーン上に保存された自動実行型プログラムである。一度デプロイされると、そのコードおよび保持するデータは、ネットワークの分散型ノード間で公開状態で読み取り可能かつ永続的に保たれる。GoCaracalにとって、この特性により、マルウェアの主要なC2インフラが解体された場合でも、スマートコントラクトに保存されたアドレスやポインタを復旧メカニズムとして機能させ続けることができる。

この透明性には両面がある。攻撃者がコントラクトに書き込む更新はすべてそれ自体がパブリックなトランザクションであるため、コントラクトアドレスを特定した防御側は、新しいドメインやIPアドレスが浮上するのを待つのではなく、保存されたC2データの変更を直接監視できる。また、オンチェーンデータの取得には、侵害されたホストが何らかの形でイーサリアムネットワークに到達する必要があるため、パブリックブロックチェーンのエンドポイントへのアウトバウンドトラフィックに対する管理は、防御層として引き続き有効である。

GoCaracalはプログラミング言語Go（Golang）で書かれている。Goは近年、マルウェア開発者の間で一般的な選択肢となっている。その主な理由は、複数のオペレーティングシステムやアーキテクチャに対応したクロスコンパイルが容易に行えるためである。

パブリックブロックチェーンをマルウェアインフラとして悪用することは、セキュリティ研究において認知された手法カテゴリである。脅威アクターが、これらのネットワークの検閲耐性のある設計を悪用し、ブロックチェーンストレージやスマートコントラクトをC2設定データのホスティングに利用した事例は、以前から記録されている。これらの事例においてブロックチェーン自体は侵害されておらず、攻撃者は、その可用性の保証がすべてのユーザーに適用されるパーミッションレスなパブリックインフラを転用している。

この発見はArctic Wolfによって記録され、CoinGapeが報じた（ソース）。このニュースはCryptoNews.netにも掲載されている（報道）。