Хакеры КНДР и Ирана ускорили рост атак через блокчейн

Атаки через публичные блокчейны резко участились: по данным Chainalysis, активность с использованием так называемых Blockchain Dead Drops выросла в 5,2 раза год к году. Среди главных источников новой активности аналитики называют связанные с Северной Кореей и Ираном государственные кибергруппы.

Такие атаки отличаются от обычного размещения вредоносного ПО на сервере. Злоумышленники записывают в публичный блокчейн инструкции, адреса командных серверов, конфигурации или указатели на дополнительную инфраструктуру.

Из-за неизменяемости публичных сетей такие данные нельзя просто удалить так же, как файл с обычного сервера.

По оценке Chainalysis, к середине 2026 года государственные операторы уже отвечали примерно за две трети новой BDD-активности, а их доля в общей накопленной активности достигла около половины.

Что такое Blockchain Dead Drops

Chainalysis называет эту технику Blockchain Dead Drops — BDD.

По сути, злоумышленник использует публичный блокчейн как устойчивое хранилище служебных данных для вредоносной инфраструктуры.

В блокчейн могут записываться:

• адреса C2-серверов;
• параметры конфигурации;
• ссылки на дополнительные стадии атаки;
• зашифрованные инструкции;
• указатели на вредоносные payloads.

Зараженная машина затем обращается к публичному блокчейну, считывает нужные данные и узнает, куда подключаться дальше.

Само похищение данных или управление зараженным устройством при этом обычно происходит уже через обычную off-chain инфраструктуру.

Почему блокчейн удобен злоумышленникам

Главное преимущество BDD — устойчивость.

Обычный командный сервер можно:

заблокировать;

отключить;

изъять;

удалить домен;

закрыть облачный аккаунт.

С блокчейном все сложнее.

Если инструкция уже попала в публичный реестр, она остается там постоянно.

Chainalysis отмечает, что попытка на уровне протокола запрещать определенные типы данных потребовала бы фундаментальных изменений самих блокчейнов и могла бы создать больше проблем, чем решить.

Поэтому основной способ борьбы — обнаружение, атрибуция и блокировка последующих off-chain стадий атаки.

История BDD началась больше десяти лет назад

Это не новая техника.

Первый известный Chainalysis пример относится к 2013 году, когда вариант ботнета Necurs использовал Namecoin для хранения C2-доменов.

В 2019 году злоумышленники использовали Bitcoin для аналогичных задач.

Операторы одного банковского вредоноса кодировали C2-IP в значениях переводимых сатоши, а ботнет Glupteba записывал служебные данные через поле OP_RETURN.

Но долгое время такие атаки оставались сравнительно редкими.

Ситуация изменилась после появления EtherHiding.

EtherHiding перенес вредоносную инфраструктуру в смарт-контракты

В середине 2023 года злоумышленники начали активно использовать EVM-сети.

Операторы ClearFake столкнулись с тем, что Cloudflare начал блокировать их традиционные серверы.

В ответ они перенесли вредоносные инструкции в смарт-контракты Binance Smart Chain.

Так появился подход, получивший название EtherHiding.

Вместо того чтобы хранить важные данные на обычном сервере, злоумышленник помещает их в контракт.

Зараженная программа считывает контракт и получает актуальную конфигурацию.

Если C2-сервер меняется, атакующему достаточно обновить данные в блокчейне.

КНДР использует сразу несколько сетей

Chainalysis связала одну из наиболее сложных кампаний с северокорейской группой UNC5342, которую также отслеживает Google Threat Intelligence Group.

С февраля 2025 года группа использовала смарт-контракты для атак на разработчиков криптовалютных проектов через фальшивые собеседования.

Жертв убеждали скачать вредоносный код под видом тестового задания или проекта для потенциального работодателя.

Позже Chainalysis обнаружила еще более сложный вариант инфраструктуры.

Он использовал сразу:

TRON;

Aptos;

BNB Smart Chain.

TRON и Aptos работают как резервные маршруты

Схема устроена следующим образом.

Вредонос сначала обращается к TRON.

В транзакции находится закодированный указатель.

Если запрос не срабатывает, используется Aptos как резервный путь.

Обе сети в итоге указывают зараженной машине на одну и ту же транзакцию в BNB Smart Chain.

В BSC уже находятся зашифрованные инструкции:

адреса C2;

настройки;

иногда ссылки на дополнительные стадии атаки.

После расшифровки зараженное устройство подключается к обычной инфраструктуре злоумышленников.

Такой подход делает операцию устойчивее: для полного нарушения цепочки необходимо одновременно нейтрализовать несколько компонентов.

Цель северокорейской кампании — криптовалюта и учетные данные

По данным Chainalysis, обнаруженная инфраструктура связана с malware, который крадет credentials и помогает атакующим получать доступ к криптовалютным активам.

Это соответствует давно известной тактике северокорейских групп.

Министерство финансов США неоднократно заявляло, что КНДР использует киберпреступность и схемы с IT-работниками для получения валютной выручки, часть которой идет на финансирование программ оружия массового уничтожения и баллистических ракет.

То есть блокчейн в этой истории используется не только как финансовая инфраструктура, но и как технический элемент кибератаки.

Иранские операторы используют Bitcoin

Второй крупный кейс Chainalysis связан с группами, которые аналитики считают связанными с Министерством разведки Ирана.

Здесь вместо смарт-контрактов используется сам Bitcoin.

Злоумышленники записывают закодированные C2-данные в транзакции.

Malware знает, какие транзакции проверять, извлекает из них информацию и получает адрес актуальной инфраструктуры.

Chainalysis подчеркивает, что иранская атрибуция основана не только на ончейн-данных.

Аналитики сопоставили:

семейство вредоноса;

логику декодирования;

временные шаблоны;

C2-инфраструктуру

с ранее описанной активностью иранских операторов.

Причем используется адрес, связанный с эпохой Сатоси

В иранской схеме есть необычная деталь.

Атакующие отправляют небольшие платежи на известный Bitcoin-адрес, имеющий историческую связь с ранним периодом сети и Сатоси Накамото.

Сам адрес не принадлежит атакующим.

Он используется как постоянная публичная точка, которую malware знает заранее.

Важна не сумма перевода, а данные, записанные в транзакции.

Это помогает уменьшить видимый инфраструктурный след злоумышленника.

Государственные группы уже доминируют в новой активности

Еще в начале 2024 года почти вся BDD-активность приходилась на обычных киберпреступников.

Затем ситуация изменилась.

По данным Chainalysis, государственные группы начали заметно использовать BDD с середины 2024 года.

Ко второму кварталу 2026 года связанные с государствами операторы создавали примерно две трети новых Blockchain Dead Drops.

А если учитывать всю накопленную активность, их доля составляет примерно половину.

Это важное уточнение к исходной новости: речь не о том, что две трети вообще всех существующих BDD принадлежат государствам, а о двух третях новой активности.

Chainalysis отслеживает уже более 15 кампаний

Компания сообщила, что обнаружила более 15 отдельных кампаний и кластеров угроз, использующих Blockchain Dead Drops.

Исследование охватывает пять крупных блокчейнов и более десятка известных семейств вредоносного ПО.

Причем методы отличаются.

Северокорейские операторы используют multi-chain routing.

Иранские — Bitcoin OP_RETURN.

Русскоязычные киберпреступники, по данным Chainalysis, применяют Polygon-смарт-контракты как C2-resolver.

То есть речь уже идет не об одном экспериментальном способе атаки, а о формирующемся классе киберугроз.

Вредоносных записей стало на 440% больше

Отдельно Chainalysis указывает на резкий рост числа malicious writes — вредоносных записей в публичные блокчейны.

Среднее количество выросло:

с 2,06 записей в день

до примерно

11,1 записи в день.

Это соответствует увеличению примерно на 440%.

Но важно не путать эту цифру с ростом всей BDD-активности год к году.

Заголовочный показатель Chainalysis — 5,2x YoY, а 440% относится к отдельной метрике числа записей.

Chainalysis увидела совпадение с развитием open-weight ИИ

Резкий рост malicious writes начался примерно после появления мощных китайских моделей искусственного интеллекта с открытыми весами, не имеющих жестких ограничений на генерацию вредоносного кода.

Chainalysis предполагает, что такие модели могли снизить технический порог входа для менее квалифицированных злоумышленников.

Раньше создание BDD требовало одновременно знания:

блокчейнов;

смарт-контрактов;

malware;

C2-инфраструктуры;

криптографии.

ИИ способен помочь быстрее генерировать и адаптировать код.

Но здесь есть принципиальная оговорка.

Доказательств, что конкретные хакеры использовали ИИ, нет

Chainalysis прямо говорит, что не может подтвердить использование LLM конкретными авторами вредоносных транзакций.

Поэтому формулировка:

«ИИ вызвал рост атак на 440%»

будет некорректной.

Правильнее:

рост совпал по времени с распространением мощных open-weight моделей, которые потенциально снизили порог входа для создания подобной инфраструктуры.

То есть речь пока идет о корреляции и гипотезе, а не доказанной причинности.

Публичность блокчейна одновременно помогает защитникам

Есть и обратная сторона.

BDD сложно удалить.

Но блокчейн оставляет постоянный след.

Каждая новая транзакция:

публична;

имеет timestamp;

связана с адресами;

может быть сопоставлена с другими действиями.

Поэтому аналитики могут строить граф:

кто финансировал адрес;

кто развернул контракт;

какие кошельки обновляли C2;

какие кампании использовали одну инфраструктуру.

Именно так Chainalysis смогла связать ранее неатрибутированную кампанию с UNC5342.

Защитникам предлагают следить за JSON-RPC-запросами

Для компаний один из практических индикаторов атаки — необычные исходящие обращения зараженных устройств к blockchain RPC endpoints.

Malware должен каким-то образом считывать данные из сети.

Поэтому Chainalysis предлагает организациям с endpoint visibility отслеживать подозрительные JSON-RPC-запросы к публичным блокчейнам.

Особенно если рабочая станция обычно вообще не взаимодействует с Ethereum, TRON, Aptos или другими сетями.

Для криптокомпаний сложнее: подобный трафик у них может быть нормальной частью работы.

Там потребуется более глубокий behavioral analysis.

Северокорейские атаки значительно шире одного BDD

Отдельное исследование, представленное летом на Black Hat USA 2026, показало масштаб другой северокорейской кампании.

Исследователь Вангелис Стикас сообщил, что за 22 месяца наблюдения инфраструктуры северокорейских операторов обнаружил признаки воздействия на 1640 организаций в 57 странах.

По его оценке, примерно 700–800 случаев привели к особенно серьезному доступу, включая root-доступ к серверам и облачной инфраструктуре.

Но эту цифру следует формулировать осторожно.

Это оценка исследователя, а не 1640 независимо подтвержденных взломов.

Главным входом часто становятся фальшивые вакансии

Северокорейские операторы активно используют кампанию Contagious Interview.

Разработчику предлагают работу.

Во время «технического интервью» просят:

клонировать репозиторий;

открыть проект;

установить dependency;

выполнить тестовое задание.

Внутри находится malware.

После заражения атакующий получает доступ к:

developer environment;

cloud credentials;

source code;

crypto keys;

внутренним системам.

Именно такую социальную инженерию использовала и UNC5342 в EtherHiding-кампаниях.

Что это значит для криптобирж и кошельков

Для криптокомпаний проблема особенно серьезна.

У разработчика могут находиться:

API-ключи;

production credentials;

доступ к GitHub;

кошельки;

инфраструктурные секреты;

ключи подписи.

Если malware получает такой доступ, дальнейшая атака уже не обязательно выглядит как классический внешний взлом.

Злоумышленник может действовать изнутри легитимной инфраструктуры.

Поэтому BDD — это не столько «вирус внутри блокчейна», сколько надежный канал, помогающий вредоносу переживать блокировки и менять C2.

Сам блокчейн при этом не заражен

Это тоже важно объяснить читателю.

Если вредоносные данные находятся в Ethereum или Bitcoin, это не означает, что:

Bitcoin заражен;

Ethereum взломан;

кошелек автоматически получает malware при просмотре блока.

Блокчейн в такой схеме используется как пассивное хранилище данных.

Чтобы атака сработала, на компьютере уже должен быть код, который знает:

где искать;

как прочитать данные;

как их расшифровать;

что делать дальше.

Поэтому обычный просмотр Bitcoin-блокчейна сам по себе не заражает устройство.

Удалить данные из блокчейна практически невозможно

Именно здесь заключается сила BDD.

Если злоумышленник записал конфигурацию в Bitcoin или Ethereum, централизованной кнопки Delete нет.

Можно:

заблокировать C2;

пометить адрес;

остановить домен;

выявить зараженные машины;

закрыть дальнейшую инфраструктуру.

Но историческая запись останется.

Chainalysis считает, что именно поэтому detection и attribution эффективнее попыток менять сами публичные протоколы.

Что это значит для инвестора?

Для обычного держателя Bitcoin эта новость не означает новую уязвимость самого Bitcoin.

Главный риск относится к безопасности компьютеров, разработчиков, бирж, кошельков и инфраструктурных компаний.

Публичный блокчейн здесь используется злоумышленниками как инструмент связи, а не как точка непосредственного взлома консенсуса.

Однако тенденция показывает изменение киберугроз:

блокчейн становится не только объектом атак, но и инфраструктурой для самих атак.

Это усложняет борьбу с malware, потому что часть командной инфраструктуры теперь нельзя просто отключить вместе с сервером.

Вывод Expert Finance

Атаки через публичные блокчейны становятся отдельным классом киберугроз. Chainalysis зафиксировала рост Blockchain Dead Drops в 5,2 раза год к году, а связанные с государствами группы к середине 2026 года обеспечивали около двух третей новой активности. Северокорейская UNC5342 использует TRON, Aptos и BNB Smart Chain как многоуровневую C2-инфраструктуру, а связанные с Ираном операторы записывают инструкции в Bitcoin-транзакции. Отдельно число вредоносных записей выросло с 2,06 до 11,1 в день — примерно на 440%. Chainalysis связывает этот скачок по времени с развитием мощных open-weight ИИ-моделей, но не утверждает, что доказала их использование конкретными хакерами.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.