Złośliwe wykorzystanie sieci kryptowalut wzrosło o 440% w ciągu roku

• Napastnicy zwiększyli liczbę publikowanych danych kontrolnych z 2,06 do 11,1 dziennie.
• Aktorzy związani z państwami generują dwie trzecie nowej działalności złośliwej.

Złośliwe działania w sieciach kryptowalut wzrosły w ciągu ostatniego roku, napędzane przez aktorów związanych z państwami takimi jak Korea Północna i Iran, według raportu Chainalysis. Firma ostrzega, że te grupy wykorzystują sieci jako warstwę koordynacyjną dla złośliwego oprogramowania, co utrudnia przerwanie ich operacji.

Raport wskazuje, że ta działalność wzrosła o 420% w ciągu 12 miesięcy i o 440% od połowy 2025 roku. Średnia liczba wzrosła z 2,06 do 11,1 dziennie, co Chainalysis łączy z pojawieniem się modeli sztucznej inteligencji o wysokiej wydajności opracowanych w Chinach.

Napastnicy zostawiają w sieciach publicznych wiadomość, którą złośliwe oprogramowanie, po zainstalowaniu, odczytuje, aby wiedzieć, co robić lub do jakich serwerów się łączyć. Chainalysis nazywa tę technikę "ukrytymi depozytami w sieciach kryptowalut" i uważa ją za ewolucję metod stosowanych przez ponad dekadę.

Firma śledzi ponad 15 kampanii w pięciu sieciach oraz ponad tuzin rodzin złośliwego oprogramowania. Do początku 2024 roku cyberprzestępcy koncentrowali praktycznie całą działalność. Grupy związane z państwami zaczęły pojawiać się znacząco w połowie tego roku, a do drugiego kwartału 2026 roku stanowiły blisko dwie trzecie nowej zarejestrowanej działalności każdego kwartału oraz połowę całej wykrytej działalności związanej z ukrytymi depozytami. Wykres pokazuje, jak aktorzy związani z państwami przeszli od prawie braku obecności w 2024 roku do skoncentrowania 51% tej działalności w drugim kwartale 2026 roku. Źródło: Chainalysis

Jednym z przypadków jest grupa przypisana do Korei Północnej, która wykorzystuje sieci TRON i Aptos do kierowania zainfekowanych urządzeń w stronę BNB Chain, gdzie przechowuje zaszyfrowane instrukcje dla programów przeznaczonych do kradzieży danych uwierzytelniających i kryptowalut. Napastnicy mogą aktualizować tę infrastrukturę za pomocą nowych transakcji bez ponownej instalacji złośliwego oprogramowania.

Chainalysis również zidentyfikowało operatorów związanych z Iranem, którzy przechowują dane do kierowania komunikacją złośliwego oprogramowania za pomocą pola OP_RETURN w transakcjach Bitcoin. Połączenie z Iranem opiera się na cechach złośliwego oprogramowania, jego logice deszyfrowania, czasie operacji oraz używanej infrastrukturze, a nie tylko na zarejestrowanej działalności w Bitcoinie.

Trzeci przypadek dotyczy grup mówiących po rosyjsku, które wykorzystują inteligentne kontrakty w Polygon do przechowywania odniesień do serwerów kontrolowanych przez napastników, jak donosi CriptoNoticias. Chainalysis powiązało jednego z tych operatorów z kampaniami oszustw stablecoin, kradzieży poprzez modyfikację schowka oraz ponad 50 podobnymi kontraktami w BNB Chain.

Głównym ryzykiem tych technik nie jest koniecznie większa siła destrukcyjna, ale umożliwiają one utrzymanie kampanii w ruchu, nawet gdy zmieniają się ich serwery lub domeny. Niemniej jednak, ta trwałość pozostawia również użyteczny ślad dla obrońców: każda aktualizacja jest rejestrowana w sieci i może pomóc badaczom bezpieczeństwa w rekonstrukcji infrastruktury napastników, powiązaniu operacji, które wydawały się niezależne, oraz wykryciu nowych ruchów.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.