Atacurile cibernetice care folosesc blockchain au explodat. Hackerii își ascund infrastructura pe rețele imposibil de închis

Atacurile cibernetice care folosesc rețele blockchain pentru a-și ascunde infrastructura au crescut puternic în ultimii ani. Potrivit unei analize Chainalysis, numărul operațiunilor care folosesc această metodă a crescut cu 440% din 2024, iar în spatele fenomenului se află atât grupări asociate unor state, cât și organizații criminale vorbitoare de limbă rusă.

Metoda poartă numele de Blockchain Dead Drops (BDD) și le permite atacatorilor să stocheze pe blockchain informații necesare pentru funcționarea malware-ului. În loc să depindă de servere, domenii sau servicii de hosting care pot fi închise, programele malițioase pot consulta informațiile înscrise într-un registru public, distribuit și dificil de modificat sau eliminat.

Cum ajunge blockchain-ul să fie folosit în atacuri informatice

Blockchain-ul este atractiv pentru atacatori tocmai datorită caracteristicilor sale. Datele sunt publice, replicate pe numeroase sisteme și, odată înscrise în rețea, nu pot fi pur și simplu șterse de cineva care încearcă să oprească o operațiune.

În cazul BDD, blockchain-ul poate conține payload-uri malițioase sau, mai frecvent, informații care indică malware-ului unde trebuie să se conecteze pentru a primi următoarele instrucțiuni. Astfel, infrastructura de comandă și control poate supraviețui închiderea unui domeniu, eliminării unui repository sau confiscării unui server.

Chainalysis a identificat o creștere a numărului de înscrieri malițioase zilnice pe blockchain, de la aproximativ 2,06 în 2024 la 11,1. Raportul atribuie o parte importantă a acestei creșteri accesului tot mai simplu la modele AI open-weight dezvoltate în China. Unele dintre aceste modele pot fi modificate pentru a elimina anumite restricții, iar acest lucru le permite inclusiv unor atacatori mai puțin experimentați să construiască infrastructuri BDD.

De la tranzacții Bitcoin la contracte inteligente

Există mai multe modalități prin care atacatorii ascund informații pe blockchain. Una dintre ele presupune introducerea configurațiilor în câmpurile tranzacțiilor, precum memouri sau calldata. Informația poate fi păstrată pe o singură rețea sau distribuită pe mai multe blockchain-uri.

O altă metodă folosește contracte inteligente. În acest caz, starea contractului poate conține adresa sau indicația către infrastructura de comandă și control. Tehnica este cunoscută sub numele de EtherHiding și a devenit cunoscută în 2023, după ce operațiuni împotriva infrastructurii ClearFake au determinat gruparea să mute codul malițios în contracte inteligente de pe BNB Smart Chain.

Vezi și:

Google Assistant dispare de pe telefoanele Android. Gemini preia complet rolul de asistent vocal

OpenAI publică noi incidente cu AI care a încercat să ocolească regulile. Un model a folosit un token GitHub pentru a trișa

Mai nou, cercetătorii au identificat și așa-numitele „phantom wallets”. Acestea sunt adrese blockchain pentru care nu există o cheie privată corespunzătoare. Atacatorii pot codifica în adresa respectivă date precum IP-ul unui server de comandă și control, după care malware-ul de pe dispozitivul infectat interpretează adresa și află unde trebuie să se conecteze.

Coreea de Nord și Iranul folosesc deja metoda

Ideea nu este nouă. Primele forme ale tehnicii datează de mai bine de un deceniu. În 2013, o variantă a botnetului Necurs folosea Namecoin pentru a păstra informații despre domeniile de comandă și control. În 2019, infrastructura unor programe malițioase bancare a fost ascunsă în tranzacții Bitcoin, iar botnetul Glupteba a folosit câmpul OP_RETURN al rețelei.

Implicarea grupărilor asociate unor state a devenit însă mai vizibilă începând din 2024. Potrivit Chainalysis, actori iranieni asociați Ministerului Informațiilor au început să introducă date de comandă și control în tranzacții Bitcoin. În 2025, grupări nord-coreene au început să folosească EtherHiding în campanii cu false interviuri de angajare, vizând în special dezvoltatori.

În al doilea trimestru din 2026, grupările asociate unor actori statali au fost responsabile pentru aproximativ două treimi dintre noile activități BDD din fiecare trimestru și pentru jumătate din activitatea BDD totală, potrivit raportului.

De ce este atât de greu de oprit infrastructura

Blocarea blockchain-ului ar avea efecte mult mai largi decât oprirea unei campanii malware. Pentru a împiedica accesul la Ethereum, de exemplu, ar trebui restricționat accesul la numeroase endpoint-uri publice RPC, inclusiv cele operate de servicii folosite și pentru activități legitime. În plus, atacatorii își pot rula propriile noduri.

Nici modificarea regulilor blockchain-ului pentru a împiedica anumite tipuri de date nu este o soluție simplă. Ar presupune schimbări fundamentale ale protocoalelor și ar putea afecta servicii care nu au nicio legătură cu atacurile informatice.

De aceea, detectarea activității suspecte rămâne una dintre principalele variante pentru organizații. Blockchain-ul oferă atacatorilor reziliență, dar lasă în același timp urme permanente. Fiecare tranzacție sau actualizare a unui contract este înregistrată și primește un marcaj temporal. Analiștii pot urmări portofelele folosite, contractele, sursele de finanțare și istoricul modificărilor pentru a identifica legături între campanii aparent separate.

Pentru companii, un semnal de alarmă poate fi traficul JSON-RPC către endpoint-uri publice blockchain de pe sisteme care nu au un motiv legitim să acceseze astfel de rețele. Un workstation sau un server care consultă un contract inteligent fără o justificare clară poate necesita o investigație. Tehnica este inclusă și în MITRE ATT&CK sub T1102.001, „Web Service: Dead Drop Resolver”.

Ai centrală pe gaz? Temperatura pe care să o setezi când afară sunt 10–15 grade. Greșeala care poate crește consumul