Aktorzy złośliwi coraz częściej wykorzystują publiczne blockchainy do przechowywania instrukcji złośliwego oprogramowania, a pojawienie się niereadrestrykcyjnych otwartych modeli sztucznej inteligencji przyspieszyło ten trend — wynika z najnowszego raportu firmy analitycznej Chainalysis.

Firma ustaliła, że liczba szkodliwych instrukcji zapisywanych w blockchainach wzrosła o około 440% w ciągu niespełna roku, a dzienna liczba złośliwych zapisów na łańcuchu wzrosła z 2,06 do 11,1. Aktywność ta odzwierciedla rosnące wykorzystywanie blockchainów jako infrastruktury komunikacji ze skompromitowanymi urządzeniami, a nie wyłącznie jako systemów do przesyłania aktywów cyfrowych.

Technika, którą Chainalysis nazywa blockchain dead drops (BDD), polega na tym, że atakujący umieszczają ładunki złośliwego oprogramowania, instrukcje lub informacje o poleceniach w transakcjach blockchaina lub smart kontraktach. Zainfekowane urządzenia mogą następnie pobierać te dane w razie potrzeby. Główną zaletą dla atakujących jest trwałość: publiczne blockchainy mogą utrzymywać dostępność złośliwej infrastruktury dowodzenia nawet po tym, jak domeny, serwery i repozytoria online zostały wyłączone.

Korea Północna i Iran powiązane z dużą częścią aktywności

Chainalysis podała, że operatorzy powiązani z państwem, związani z Koreą Północną i Iranem, odpowiadają za dużą część ostatniej aktywności związanej ze złośliwym oprogramowaniem opartym na blockchainie. Rozwój tenacza rozszerzenie roli technologii blockchain, która może wspierać operacje cybernetyczne, zapewniając odporne miejsce na informacje command-and-control.

Tradycyjne kampanie ze złośliwym oprogramowaniem często polegają na scentralizowanych serwerach do dystrybucji instrukcji na zainfekowane komputery. Takie serwery mogą być identyfikowane, przejmowane, blokowane lub wyłączane przez zespoły ds. bezpieczeństwa i organy ścigania. Publiczne blockchainy stanowią inne wyzwanie, ponieważ informacje zapisane na łańcuchu mogą pozostawać dostępne przez długi czas i są rozproszone w sieciach, zamiast zależeć od jednego dostawcy hostingu.

Sama technika nie jest nowa. Chainalysis prześledziła koncepcję do 2013 roku, kiedy wariant botnetu Necurs używał Namecoin, blockchaina wywodzącego się z Bitcoina, do przechowywania informacji o domenach. Metoda została później rozszerzona na sieci zgodne z Ethereum Virtual Machine. W 2023 roku stała się bardziej widoczna dzięki podejściu zwanemu EtherHiding, które wykorzystuje infrastrukturę blockchaina do ukrywania złośliwych treści. Badacze bezpieczeństwa powiązali później to podejście z działalnością Korei Północnej, w tym z kampaniami wykorzystującymi fałszywe rozmowy kwalifikacyjne.

AI obniża barierę techniczną

Chainalysis uznała połowę 2025 roku za główny punkt zwrotny we wzroście blockchain dead drops. Firma przypisała przyspieszenie częściowo dostępności potężnych chińskich otwartych modeli AI (open-weight), zdolnych do generowania złośliwego kodu bez ograniczeń obecnych w bardziej restrykcyjnie kontrolowanych systemach.

Zanim takie modele stały się powszechnie dostępne, wdrożenie infrastruktury złośliwego oprogramowania opartej na blockchainie wymagało większej wiedzy technicznej. Zgodnie z raportem wspomagane przez AI generowanie kodu obniżyło tę barierę, umożliwiając większej liczbie operatorów tworzenie lub modyfikowanie złośliwego oprogramowania i integrację go z mechanizmami komunikacji opartymi na blockchainie.

Kluczową zmianą jest zatem nie tylko większa skuteczność złośliwego oprogramowania, ale łatwiejsze tworzenie i wdrażanie infrastruktury, która potrafi przetrwać konwencjonalne próby jej usunięcia.

Rozwój ten ilustruje również, w jaki sposób techniki początkowo kojarzone z sieciami kryptowalutowymi mogą wpływać na szerszy ekosystem cyberbezpieczeństwa. Publiczne rejestry, smart kontrakty i zdecentralizowana infrastruktura mogą zapewniać legalnym aplikacjom trwałość i dostępność, ale te same cechy mogą być wykorzystywane przez aktorów zagrożeń.

Aktywność wykracza poza sieci blockchain

Skutki nie ograniczają się już do użytkowników blockchainów ani systemów związanych z kryptowalutami. Badacze z Netskope poinformowali, żeak na łańcuch dostaw ChainDrop dotyczył w sierpniu 2026 roku ponad 440 pakietów npm, co pokazuje, jak techniki złośliwego oprogramowania wykorzystujące blockchain mogą przecinać się z głównym strumieniem infrastruktury tworzenia oprogramowania.

Dla przedsiębiorstw ta zmiana komplikuje konwencjonalne podejścia do identyfikowania i zakłócania systemów command-and-control. Blokowanie złośliwej domeny lub usunięcie skompromitowanego serwera może być niewystarczające, gdy instrukcje są przechowywane w publicznym rejestrze. Obrońcy mogą również musieć badać, w jaki sposób skompromitowane systemy pobierają dane z sieci blockchain, odróżniając tę aktywność od legalnych aplikacji korzystających ze zdecentralizowanej infrastruktury.

Dla zespołów ds. cyberbezpieczeństwa ten trend podnosi znaczenie monitorowania transakcji blockchain, smart kontraktów i innej zdecentralizowanej infrastruktury obok konwencjonalnych domen, serwerów i repozytoriów oprogramowania. Skuteczność takiego monitoringu będzie zależała od wykrywania złośliwego użycia bez traktowania całej aktywności związanej z blockchainem jako wrogiej.

Ustalenia podkreślają szersze wyzwanie wynikające z połączenia generatywnej AI i technologii zdecentralizowanej. AI może zmniejszać wiedzę ekspercką potrzebną do tworzenia złośliwych narzędzi, podczas gdy blockchainy mogą zapewniać trwałą infrastrukturę do dystrybucji instrukcji — połączenie, które może utrudnić zakłócanie niektórych kampanii cybernetycznych.