Los modelos chinos de IA impulsan un aumento del 440 % en las instrucciones de malware alojadas en blockchain
Los atacantes publican instrucciones de malware en blockchains un 440 % más a menudo desde la llegada de modelos chinos de IA de código abierto sin restricciones, informó Chainalysis. Las escrituras maliciosas diarias en cadena pasaron de 2,06 a 11,1 en menos de un año.
Chainalysis denomina a esta técnica «depósitos muertos en blockchain» (BDD). La firma descubrió que operadores vinculados a Estados de Corea del Norte e Irán generan ahora la mayor parte de la actividad.
La resistencia a la censura se convierte en un recurso para los hackers
En su último informe, Chainalysis señaló que los hackers almacenaban código malicioso en servidores centralizados que podían incautarse, bloquearse o desconectarse. Sin embargo, ahora los atacantes lo almacenan en blockchains públicas.
«Llamamos a esta técnica “depósitos muertos en blockchain” (BDD). Los BDD almacenan cargas útiles en transacciones en cadena y contratos inteligentes, desde donde los dispositivos infectados pueden recuperarlas cuando las necesitan. La permanencia de las blockchains da longevidad a las campañas cibernéticas de los actores de amenazas: pueden comunicarse con máquinas comprometidas sin temor a perder su retransmisor de mando y control (C2)», decía el informe.
La firma subraya que el peligro reside en la durabilidad, no en la potencia. Las campañas sobreviven a la incautación de dominios, al cierre de servicios de alojamiento y a la eliminación de repositorios. La técnica se remonta a 2013, cuando una variante de la botnet Necurs almacenó dominios en una bifurcación de Bitcoin (BTC) llamada Namecoin.
En 2023 llegó a las cadenas de la Máquina Virtual de Ethereum (EVM) con el nombre de EtherHiding. Más tarde, Google descubrió que el grupo norcoreano UNC5342 la utilizaba en falsas entrevistas de trabajo.
Chainalysis sitúa la reciente explosión a mediados de 2025. Fue entonces cuando se lanzaron potentes modelos chinos de pesos abiertos sin salvaguardas contra la escritura de código malicioso. Eso eliminó la barrera de conocimientos que antes mantenía poco frecuentes los buzones muertos, señaló la firma.
La propagación ahora va mucho más allá de las criptomonedas. Investigadores de Netskope afirman que el ataque a la cadena de suministro ChainDrop afectó a más de 440 paquetes npm en agosto de 2026.
Síguenos en X para obtener las últimas noticias a medida que suceden
Pionyang, Teherán y los foros rusos escriben sus propios manuales
Los ciberdelincuentes representaron casi toda la actividad de buzones muertos hasta principios de 2024. Para el segundo trimestre de 2026, los grupos vinculados a Estados generaban aproximadamente dos tercios de la nueva actividad cada trimestre y la mitad del total.
El grupo norcoreano UNC5342 ahora opera un sistema de retransmisión de tres cadenas. Los punteros en TRON (TRX) y Aptos (APT) dirigen los dispositivos infectados a dispositivos cifrados en BNB Smart Chain.
«El atacante cambia la infraestructura publicando nuevas transacciones, y todos los dispositivos infectados previamente detectan el cambio automáticamente. Interrumpir la operación requeriría actuar simultáneamente en las tres cadenas», señaló el equipo.
Se sospecha que operadores de inteligencia iraníes envían pequeños pagos en Bitcoin a una dirección conocida vinculada a Satoshi Nakamoto. Chainalysis afirmó que el malware busca datos dentro de cada transacción y luego los decodifica para obtener la infraestructura actual del atacante.
Mientras tanto, los delincuentes de habla rusa venden esta capacidad como un servicio. Una billetera de operador en Polygon (POL) controla una flota de contratos de resolución, cada uno aparentemente al servicio de un cliente distinto que paga.
Los defensores no pueden simplemente bloquear el tráfico de la cadena de bloques sin dejar fuera de servicio todas las billeteras y aplicaciones legítimas, señaló el informe. Sin embargo, la misma permanencia que protege a los atacantes deja cada actualización en un registro público.
La pregunta que sigue abierta es si los investigadores podrán convertir ese rastro en detenciones más rápido de lo que las herramientas de IA crean nuevos operadores.
Suscríbete a nuestro canal de YouTube para ver a líderes y periodistas proporcionar información experta
Fuente: BeInCrypto