Китайские ИИ-модели вызвали рост команд вредоносных программ в блокчейнах на 440%

С появлением китайских ИИ-моделей с открытым кодом и без ограничений злоумышленники стали размещать инструкции для вредоносных программ в блокчейнах на 440% чаще, сообщила Chainalysis. Число ежедневных вредоносных ончейн-записей меньше чем за год выросло с 2,06 до 11,1.

Chainalysis называет этот метод «блокчейн-тайниками» (blockchain dead drops, BDD). Как выяснила компания, большую часть этой активности сейчас создают связанные с государствами операторы из Северной Кореи и Ирана.

Устойчивость к цензуре превращается в инструмент хакеров

В последнем отчёте Chainalysis отметила, что раньше хакеры хранили вредоносный код на централизованных серверах, которые могли изъять, заблокировать или отключить. Однако теперь злоумышленники хранят его в публичных блокчейнах.

«Мы называем этот метод ‘блокчейн-тайниками’ (BDD). BDD хранят полезную нагрузку в ончейн-транзакциях и смарт-контрактах, откуда заражённые устройства могут получать её по запросу. Неизменность блокчейнов придаёт киберкампаниям злоумышленников долговечность: они могут связываться со скомпрометированными машинами, не опасаясь потерять ретранслятор управления (C2)», — говорится в отчёте.

Компания подчёркивает, что опасность — в живучести, а не в огневой мощи. Кампании переживают изъятие доменов, отключение хостинга и удаление репозиториев. Метод появился ещё в 2013 году, когда вариант ботнета Necurs хранил домены в форке биткоина (BTC) под названием Namecoin. 

В 2023 году он дошёл до сетей Ethereum Virtual Machine (EVM) под названием EtherHiding. Позже Google выявила, что северокорейская группа UNC5342 использовала его в фальшивых собеседованиях при приёме на работу.

Chainalysis связывает недавний взрыв с серединой 2025 года. Именно тогда вышли мощные китайские модели с открытыми весами без защиты от написания вредоносного кода. По словам компании, это устранило барьер квалификации, из-за которого тайники раньше встречались редко.

Распространение уже выходит далеко за пределы криптоиндустрии. Исследователи Netskope сообщают, что атака на цепочку поставок ChainDrop в августе 2026 года затронула более 440 пакетов npm. 

Подписывайтесь на нас в X, чтобы получать свежие новости в реальном времени

Пхеньян, Тегеран и русскоязычные форумы пишут собственные сценарии

До начала 2024 года почти вся активность с тайниками приходилась на киберпреступников. Ко второму кварталу 2026 года связанные с государствами группы создавали примерно две трети новой активности каждый квартал и половину от общего объёма.

Северокорейская UNC5342 теперь использует ретрансляцию через три сети. Указатели в TRON (TRX) и Aptos (APT) направляют заражённые устройства к зашифрованным данным в BNB Smart Chain.

«Атакующий меняет инфраструктуру, публикуя новые транзакции, и каждое ранее заражённое устройство подхватывает изменение автоматически. Чтобы сорвать операцию, потребовались бы одновременные действия во всех трёх сетях», — отметила команда.

Предполагаемые операторы иранской разведки отправляют крошечные биткоин-платежи на известный адрес, связанный с Сатоши Накамото. По данным Chainalysis, вредоносная программа ищет данные внутри каждой транзакции, а затем декодирует их, чтобы получить актуальную инфраструктуру атакующих. 

Русскоязычные преступники тем временем продают эту возможность как услугу. Один операторский кошелёк в Polygon (POL) управляет целым парком контрактов-резолверов, каждый из которых, по-видимому, обслуживает отдельного платящего клиента. 

Защитники не могут просто заблокировать блокчейн-трафик, не сломав все легитимные кошельки и приложения, отмечается в отчёте. Однако та же неизменность, что укрывает атакующих, оставляет каждое обновление в публичном реестре. 

Открытым остаётся вопрос, успеют ли следователи превратить этот след в аресты быстрее, чем ИИ-инструменты порождают новых операторов.

Подписывайтесь на наш YouTube-канал, чтобы смотреть экспертные мнения лидеров и журналистов

Source: BeInCrypto