Китайські ШІ-моделі спричинили зростання команд шкідливих програм у блокчейнах на 440%
Із появою китайських ШІ-моделей з відкритим кодом і без обмежень зловмисники почали розміщувати інструкції для шкідливих програм у блокчейнах на 440% частіше, повідомила Chainalysis. Кількість щоденних шкідливих ончейн-записів менш ніж за рік зросла з 2,06 до 11,1.
Chainalysis називає цей метод «блокчейн-схованками» (blockchain dead drops, BDD). Як з’ясувала компанія, більшу частину цієї активності зараз створюють пов’язані з державами оператори з Північної Кореї та Ірану.
Стійкість до цензури перетворюється на інструмент хакерів
В останньому звіті Chainalysis зазначила, що раніше хакери зберігали шкідливий код на централізованих серверах, які могли вилучити, заблокувати чи вимкнути. Однак тепер зловмисники зберігають його в публічних блокчейнах.
«Ми називаємо цей метод ‘блокчейн-схованками’ (BDD). BDD зберігають корисне навантаження в ончейн-транзакціях і смартконтрактах, звідки заражені пристрої можуть отримувати його на запит. Незмінність блокчейнів надає кіберкампаніям зловмисників довговічності: вони можуть зв’язуватися зі скомпрометованими машинами, не боячись утратити ретранслятор управління (C2)», — ідеться у звіті.
Компанія наголошує, що небезпека — у живучості, а не у вогневій потужності. Кампанії переживають вилучення доменів, вимкнення хостингу та видалення репозиторіїв. Метод з’явився ще 2013 року, коли варіант ботнету Necurs зберігав домени у форку біткоїна (BTC) під назвою Namecoin.
2023 року він дійшов до мереж Ethereum Virtual Machine (EVM) під назвою EtherHiding. Згодом Google виявила, що північнокорейська група UNC5342 використовувала його у фальшивих співбесідах під час прийому на роботу.
Chainalysis пов’язує нещодавній вибух із серединою 2025 року. Саме тоді вийшли потужні китайські моделі з відкритими вагами без захисту від написання шкідливого коду. За словами компанії, це усунуло бар’єр кваліфікації, через який схованки раніше траплялися рідко.
Поширення вже виходить далеко за межі криптоіндустрії. Дослідники Netskope повідомляють, що атака на ланцюг постачання ChainDrop у серпні 2026 року зачепила понад 440 пакетів npm.
Підписуйтеся на нас в X, щоб отримувати свіжі новини в реальному часі
Пхеньян, Тегеран і російськомовні форуми пишуть власні сценарії
До початку 2024 року майже вся активність зі схованками припадала на кіберзлочинців. До другого кварталу 2026 року пов’язані з державами групи створювали приблизно дві третини нової активності щокварталу і половину від загального обсягу.
Північнокорейська UNC5342 тепер використовує ретрансляцію через три мережі. Покажчики в TRON (TRX) і Aptos (APT) спрямовують заражені пристрої до зашифрованих даних у BNB Smart Chain.
«Атакувальник змінює інфраструктуру, публікуючи нові транзакції, і кожен раніше заражений пристрій підхоплює зміну автоматично. Щоб зірвати операцію, знадобилися б одночасні дії в усіх трьох мережах», — зазначила команда.
Імовірні оператори іранської розвідки надсилають крихітні біткоїн-платежі на відому адресу, пов’язану із Сатоші Накамото. За даними Chainalysis, шкідлива програма шукає дані всередині кожної транзакції, а потім декодує їх, щоб отримати актуальну інфраструктуру атакувальників.
Російськомовні злочинці тим часом продають цю можливість як послугу. Один операторський гаманець у Polygon (POL) керує цілим парком контрактів-резолверів, кожен із яких, схоже, обслуговує окремого клієнта, що платить.
Захисники не можуть просто заблокувати блокчейн-трафік, не зламавши всіх легітимних гаманців і застосунків, зазначається у звіті. Однак та сама незмінність, що вкриває атакувальників, залишає кожне оновлення в публічному реєстрі.
Відкритим лишається питання, чи встигнуть слідчі перетворити цей слід на арешти швидше, ніж ШІ-інструменти породжують нових операторів.
Підписуйтеся на наш YouTube-канал, щоб дивитися експертні думки лідерів і журналістів
Source: BeInCrypto