Chainalysis ha segnalato che gli aggressori stanno pubblicando istruzioni per malware sulle blockchain con una frequenza maggiore del 440% da quando sono arrivati i modelli AI open-source cinesi senza restrizioni. Le registrazioni malevole giornaliere sulla blockchain sono salite da 2,06 a 11,1 in meno di un anno.
Chainalysis definisce questa tecnica “blockchain dead drops” (BDD). L’azienda ha rilevato che la maggior parte di questa attività oggi è generata da operatori legati a stati come Corea del Nord e Iran.
La resistenza alla censura diventa una risorsa per gli hacker
Nell’ultimo report, Chainalysis ha notato che gli hacker memorizzavano codice malevolo su server centralizzati che potevano essere sequestrati, bloccati o messi offline. Ora, invece, gli aggressori li archiviano sulle blockchain pubbliche.
“Chiamiamo questa tecnica ‘blockchain dead drops’ (BDD). Le BDD memorizzano i payload nelle transazioni on-chain e negli smart contract, dove i dispositivi infettati possono recuperarli su richiesta. La permanenza delle blockchain offre alle campagne informatiche degli attori malevoli una lunga durata; possono comunicare con le macchine compromesse senza il timore di perdere il proprio server di comando e controllo (C2 relay),” si legge nel report.
L’azienda sottolinea che il pericolo risiede nella durabilità, non nella potenza. Le campagne sopravvivono a sequestri di domini, rimozione di hosting e cancellazione di repository. La tecnica risale al 2013, quando una variante del botnet Necurs memorizzava domini su un fork di Bitcoin (BTC) chiamato Namecoin.
Nel 2023, la tecnica ha raggiunto le chain compatibili con Ethereum Virtual Machine (EVM) come EtherHiding. Più tardi, Google ha scoperto che UNC5342 della Corea del Nord la utilizzava nelle false interviste di lavoro.
Chainalysis attribuisce la recente esplosione di casi alla metà del 2025, ossia quando potenti modelli cinesi open-weight sono stati lanciati senza alcun filtro contro la scrittura di codice malevolo. Secondo l’azienda, questo ha eliminato la barriera di competenze che prima rendeva rari i dead drops.
La diffusione ormai va ben oltre le crypto. I ricercatori di Netskope dichiarano che l’attacco supply-chain ChainDrop ha colpito oltre 440 pacchetti npm nell’agosto 2026.
Seguici su X per ricevere tutte le ultime notizie in tempo reale
Pyongyang, Teheran e i forum russi creano le proprie strategie
Attraverso l’inizio del 2024, i cybercriminali hanno rappresentato quasi tutta l’attività di dead drop. Nel secondo trimestre del 2026, i gruppi legati a governi hanno prodotto circa due terzi della nuova attività ogni trimestre e metà del totale.
UNC5342 della Corea del Nord ora gestisce un relay su tre chain. I puntatori su TRON (TRX) e Aptos (APT) indirizzano i dispositivi infetti verso dispositivi criptati su BNB Smart Chain.
“L’attaccante ruota le infrastrutture pubblicando nuove transazioni, e ogni dispositivo precedentemente infettato rileva automaticamente il cambiamento. Interrompere l’operazione richiederebbe un intervento simultaneo su tutte e tre le chain,” ha evidenziato il team.
Operatori sospettati di appartenere all’intelligence iraniana inviano piccoli pagamenti in Bitcoin a un indirizzo ben noto collegato a Satoshi Nakamoto. Chainalysis afferma che il malware cerca dati all’interno di ogni transazione e poi li decodifica per recuperare l’attuale infrastruttura degli attaccanti.
Intanto, i criminali di lingua russa vendono questa capacità come servizio. Un wallet operato su Polygon (POL) controlla una flotta di smart contract resolver, ognuno apparentemente destinato a un cliente pagante diverso.
I difensori non possono semplicemente bloccare il traffico blockchain senza rischiare di interrompere ogni wallet e app legittima, come fa notare il report. Tuttavia, la stessa permanenza che protegge gli attaccanti lascia ogni aggiornamento registrato su un ledger pubblico.
La vera domanda aperta è se gli investigatori sapranno sfruttare questa traccia per effettuare arresti più rapidamente rispetto alla capacità degli strumenti AI di produrre nuovi operatori.
Iscriviti al nostro canale YouTube per seguire approfondimenti e analisi da leader e giornalisti esperti
