Activités des Hackers Liés à la Corée du Nord et à l’Iran
Des hackers liés à la Corée du Nord ont utilisé les blockchains Tron, Aptos et BNB Chain pour maintenir une infrastructure de malware, tandis que des acteurs soupçonnés d’être liés à l’Iran ont intégré des instructions dans des transactions Bitcoin. Selon un rapport de Chainalysis, les hackers d’État ont représenté environ deux tiers de la nouvelle activité chaque trimestre, et le nombre d’attaques où les cybercriminels ont stocké des instructions de malware ou des informations d’infrastructure sur des blockchains publiques a augmenté de 420 % au cours des 12 derniers mois.
Techniques Utilisées par les Hackers
Chainalysis a identifié des opérateurs liés à la Corée du Nord et à l’Iran parmi les acteurs étatiques adoptant cette technique. Dans l’une des conclusions du rapport, la société d’analyse a relié une activité auparavant non attribuée, s’étendant sur Tron, Aptos et BNB Smart Chain (BSC), à UNC5342, un groupe lié à la Corée du Nord suivi par Google Threat Intelligence. Des pointeurs codés dans les transactions Tron et Aptos dirigeaient les appareils infectés vers la même transaction BSC, Tron servant de première route et Aptos comme solution de secours, selon Chainalysis.
La transaction BSC contenait des adresses de serveur cryptées et des données de configuration qui connectaient les appareils compromis à une infrastructure off-chain utilisée pour l’accès à distance et le vol de données. Chainalysis a déclaré que l’utilisation de blockchains publiques augmente la durabilité des campagnes de malware, car les informations stockées restent accessibles même après la suppression de domaines, serveurs ou dépôts de code.
Augmentation des Écritures Malveillantes
En 2025, des hackers nord-coréens ont utilisé une technique similaire appelée EtherHiding pour insérer du code de vol de crypto dans des contrats intelligents. La société a également enregistré une augmentation de 440 % des écritures malveillantes sur la blockchain depuis juillet 2025, lorsque des modèles d’intelligence artificielle chinois open-source de haute capacité ont commencé à produire du code malveillant avec des protections limitées.
Analyse des Menaces et des Transactions
Eric Jardine, responsable de la recherche sur les cybercrimes chez Chainalysis, a déclaré à Cointelegraph qu’ils avaient trouvé une « association claire à un moment donné », mais n’avaient pas pu prouver que les acteurs publiant les transactions et contrats malveillants avaient utilisé ces modèles pour augmenter leur production.
Chainalysis a également identifié des acteurs de menace qu’elle soupçonne d’être liés au ministère iranien du renseignement, écrivant des données de routage de commande et de contrôle codées sur la blockchain Bitcoin. La société a précisé que son évaluation était basée sur la famille de malware, la méthode de décodage, le timing et l’infrastructure serveur associée à des opérations iraniennes précédemment rapportées, plutôt que sur l’activité blockchain seule.
Les portefeuilles contrôlés par les attaquants ont envoyé de petits paiements à une adresse Bitcoin bien connue, ayant des liens historiques avec le créateur de Bitcoin, Satoshi Nakamoto, selon le rapport. Chainalysis a indiqué que cette adresse n’avait aucun lien avec les attaquants et servait de lieu public permanent que les appareils infectés pouvaient vérifier pour des instructions mises à jour. Les attaquants pouvaient changer leur infrastructure serveur en publiant une autre transaction Bitcoin, après quoi les appareils infectés récupéreraient automatiquement les nouvelles informations.
Une fois que le malware avait obtenu ces instructions, l’opération se déplaçait off-chain pour des activités pouvant inclure l’accès à distance, le vol de données d’identification et la livraison de malware supplémentaire.
