Nordkorea-verbundene Hacker und ihre Methoden
Nordkorea-verbundene Hacker nutzen Tron, Aptos und die BNB Chain, um ihre Malware-Infrastruktur aufrechtzuerhalten. Verdächtige Akteure aus dem Iran betten Anweisungen in Bitcoin-Transaktionen ein. Laut einem Bericht von Chainalysis machen staatlich verbundene Hacker etwa zwei Drittel der neuen Aktivitäten in jedem Quartal aus.
Steigende Nutzung öffentlicher Blockchains
Die Anzahl der Fälle, in denen Angreifer Malware-Anweisungen oder Infrastrukturinformationen auf öffentlichen Blockchains speichern, ist in den letzten 12 Monaten um 420% gestiegen. Chainalysis identifizierte nordkoreanische und iranische Betreiber unter den staatlichen Akteuren, die diese Technik anwenden.
In einem der Ergebnisse des Berichts verband das Analyseunternehmen zuvor nicht zugeordnete Aktivitäten, die Tron, Aptos und die BNB Smart Chain (BSC) umspannten, mit UNC5342, einer nordkoreanischen Gruppe, die von Google Threat Intelligence verfolgt wird.
Kodierte Hinweise in Tron- und Aptos-Transaktionen leiteten infizierte Geräte zu derselben BSC-Transaktion, wobei Tron als erste Route und Aptos als Rückfall diente. Die BSC-Transaktion enthielt verschlüsselte Serveradressen und Konfigurationsdaten, die kompromittierte Geräte mit einer Offchain-Infrastruktur verbanden, die für Fernzugriff und Datendiebstahl verwendet wurde.
Erhöhung der Haltbarkeit von Malware-Kampagnen
Chainalysis erklärte, dass die Nutzung öffentlicher Blockchains die Haltbarkeit von Malware-Kampagnen erhöht, da die gespeicherten Informationen nach der Abschaltung von Domains, Servern oder Code-Repositories weiterhin zugänglich bleiben. Im Jahr 2025 verwendeten nordkoreanische Hacker eine ähnliche Technik namens EtherHiding, um kryptodiebstahlende Codes in Smart Contracts einzufügen.
Das Unternehmen verzeichnete auch einen Anstieg von 440% bei bösartigen Blockchain-Schreibvorgängen seit Juli 2025, als hochkapazitive Open-Source-KI-Modelle in der Lage wurden, bösartigen Code mit begrenzten Sicherheitsvorkehrungen zu produzieren.
Verbindungen zu iranischen Bedrohungsakteuren
Eric Jardine, Leiter der Cybercrime-Forschung bei Chainalysis, sagte gegenüber Cointelegraph, dass sie einen „klaren zeitlichen Zusammenhang“ festgestellt hätten, aber nicht beweisen konnten, dass die Akteure, die die bösartigen Transaktionen und Verträge veröffentlichten, die Modelle verwendet hatten, um ihre Produktion zu steigern.
Chainalysis identifizierte auch Bedrohungsakteure, von denen sie vermuten, dass sie mit dem iranischen Ministerium für Geheimdienste verbunden sind, die kodierte Kommando- und Kontrollrouting-Daten auf der Bitcoin-Blockchain schrieben. Das Unternehmen erklärte, dass seine Einschätzung auf der Malware-Familie, der Dekodierungsmethode, dem Timing und der Serverinfrastruktur basierte, die mit zuvor berichteten iranischen Operationen verbunden war, und nicht nur auf der Blockchain-Aktivität.
Angreifer-gesteuerte Wallets und ihre Strategien
Angreifer-gesteuerte Wallets sendeten kleine Zahlungen an eine bekannte Bitcoin-Adresse mit historischen Verbindungen zum Bitcoin-Erfinder Satoshi Nakamoto, so der Bericht. Chainalysis erklärte, dass die Adresse keine Verbindung zu den Angreifern hatte und als permanenter öffentlicher Ort diente, den infizierte Geräte auf aktualisierte Anweisungen überprüfen konnten.
Die Angreifer konnten ihre Serverinfrastruktur ändern, indem sie eine weitere Bitcoin-Transaktion veröffentlichten, nach der infizierte Geräte automatisch die neuen Informationen abrufen würden. Sobald die Malware diese Anweisungen erhalten hatte, verlagerte sich die Operation Offchain für Aktivitäten, die Fernzugriff, Diebstahl von Anmeldeinformationen und die Bereitstellung zusätzlicher Malware umfassen könnten.
