Attività di Hacker Statali e Blockchain
Secondo un rapporto di Chainalysis, gli hacker legati alla Corea del Nord hanno utilizzato le blockchain di Tron, Aptos e BNB Chain per mantenere l’infrastruttura del malware, mentre attori sospettati di essere legati all’Iran hanno incorporato istruzioni nelle transazioni Bitcoin. Gli hacker statali hanno rappresentato circa due terzi della nuova attività ogni trimestre, con un incremento del 420% nel numero di volte in cui gli attaccanti hanno memorizzato istruzioni per malware o informazioni infrastrutturali su blockchain pubbliche negli ultimi 12 mesi.
Scoperte di Chainalysis
Chainalysis ha identificato operatori legati alla Corea del Nord e all’Iran tra gli attori statali che adottano questa tecnica. In una delle scoperte del rapporto, la società di analisi ha collegato attività precedentemente non attribuite che spaziavano da Tron, Aptos e BNB Smart Chain (BSC) a UNC5342, un gruppo legato alla Corea del Nord monitorato da Google Threat Intelligence. Puntatori codificati nelle transazioni di Tron e Aptos hanno diretto i dispositivi infetti verso la stessa transazione BSC, con Tron che fungeva da primo percorso e Aptos come fallback. La transazione BSC conteneva indirizzi di server crittografati e dati di configurazione che collegavano i dispositivi compromessi a un’infrastruttura off-chain utilizzata per l’accesso remoto e il furto di dati.
Impatto delle Blockchain Pubbliche
Chainalysis ha affermato che l’uso di blockchain pubbliche aumenta la durata delle campagne di malware, poiché le informazioni memorizzate rimangono accessibili anche dopo che domini, server o repository di codice vengono rimossi. Nel 2025, gli hacker nordcoreani hanno utilizzato una tecnica simile chiamata EtherHiding per inserire codice per il furto di criptovalute nei contratti smart. L’azienda ha anche registrato un aumento del 440% nelle scritture blockchain malevole da luglio 2025, quando ha osservato che modelli di intelligenza artificiale open-source ad alta capacità provenienti dalla Cina sono diventati in grado di produrre codice malevolo con limitate protezioni.
Commenti di Eric Jardine
Eric Jardine, responsabile della ricerca sui crimini informatici di Chainalysis, ha dichiarato a Cointelegraph che hanno trovato un “chiaro punto di associazione nel tempo”, ma non sono riusciti a dimostrare che gli attori che pubblicavano le transazioni e i contratti malevoli avessero utilizzato i modelli per aumentare la loro produzione.
Attività di Minaccia Legate all’Iran
Chainalysis ha anche identificato attori di minaccia che sospetta siano legati al Ministero dell’Intelligence iraniano, i quali scrivono dati di routing di comando e controllo codificati sulla blockchain di Bitcoin. L’azienda ha affermato che la sua valutazione si basa sulla famiglia di malware, sul metodo di decodifica, sul tempismo e sull’infrastruttura server associata a operazioni iraniane precedentemente segnalate, piuttosto che solo sull’attività blockchain.
Meccanismi di Controllo degli Attaccanti
I portafogli controllati dagli attaccanti hanno inviato piccoli pagamenti a un indirizzo Bitcoin ben noto, con legami storici con il creatore di Bitcoin, Satoshi Nakamoto. Secondo il rapporto, l’indirizzo non aveva alcuna connessione con gli attaccanti e serviva come posizione pubblica permanente che i dispositivi infetti potevano controllare per istruzioni aggiornate. Gli attaccanti potevano cambiare la loro infrastruttura server pubblicando un’altra transazione Bitcoin, dopo di che i dispositivi infetti avrebbero automaticamente recuperato le nuove informazioni. Una volta che il malware otteneva quelle istruzioni, l’operazione si spostava off-chain per attività che potevano includere accesso remoto, furto di credenziali e consegna di ulteriore malware.
