La actividad de malware apoyada en cadenas de bloques se ha disparado un 440% en menos de un año, según Chainalysis. Los registros maliciosos pasaron de una media de 2,06 al día a 11,1 después de la aparición de modelos chinos de inteligencia artificial de código abierto y alta capacidad. La firma advierte, no obstante, de que sus datos no identifican un modelo concreto ni demuestran que la IA sea por sí sola la causa del aumento.
El crecimiento refleja una evolución en la forma en que los atacantes mantienen el contacto con los equipos infectados. Los grupos vinculados a Corea del Norte e Irán ya concentraban aproximadamente dos tercios de la actividad trimestral observada de los llamados dead drops de blockchain en el segundo trimestre de 2026. En conjunto, los operadores relacionados con Estados representan cerca de la mitad de la actividad seguida por Chainalysis, frente a una presencia prácticamente irrelevante a comienzos de 2024.
Una vía persistente para actualizar el malware
Un blockchain dead drop utiliza transacciones o contratos inteligentes para guardar instrucciones de malware, direcciones de servidores de mando y control o referencias hacia esos recursos. Los dispositivos comprometidos consultan periódicamente esos registros públicos y reciben nuevas indicaciones sin necesidad de ser infectados otra vez.
La ventaja para el atacante es clara: puede cambiar la infraestructura situada fuera de la cadena mediante una nueva transacción. Los equipos infectados recuperan entonces la ubicación actualizada de forma automática. A diferencia de un dominio o un servidor convencional, el registro en la cadena resulta más difícil de retirar, aunque el contenido principal del ataque siga alojado fuera de ella.
Chainalysis sigue esta actividad en cinco grandes redes y más de una docena de familias de malware. El fenómeno añade un problema para empresas de criptomonedas, desarrolladores y organizaciones que utilizan cadenas públicas: bloquear una red completa para impedir estas consultas también afectaría a monederos, aplicaciones de finanzas descentralizadas y otros servicios legítimos.
Corea del Norte emplea varias redes como respaldo
El grupo vinculado a Corea del Norte que Chainalysis relaciona con UNC5342 ilustra cómo esta técnica puede hacer más resistente una campaña. La firma atribuye a una infraestructura hasta ahora no identificada el uso de TRON y Aptos como rutas redundantes hacia BNB Smart Chain.
Los dispositivos infectados consultan primero TRON. Si esa vía deja de estar disponible, recurren a Aptos. Ambas redes contienen referencias codificadas que conducen a las instrucciones almacenadas en BNB Smart Chain. Para interrumpir la operación sería necesario actuar sobre las tres cadenas al mismo tiempo.
Google Threat Intelligence empezó a seguir a UNC5342 en febrero de 2025, cuando el grupo empleó campañas de falsas ofertas de empleo dirigidas a desarrolladores de criptomonedas y tecnología. El malware buscaba robar datos del navegador, contraseñas y claves o información relacionada con monederos de criptomonedas. La estrategia prolonga el desplazamiento hacia contratos inteligentes que ya se observó en 2023 con las campañas de EtherHiding, después de que proveedores de alojamiento comenzaran a cerrar infraestructuras maliciosas.
La IA amplía el acceso y obliga a vigilar las consultas
La técnica ya no está limitada a grupos estatales. Chainalysis también ha detectado grupos criminales rusoparlantes que utilizan contratos inteligentes en Polygon como resolutores de mando y control. Parte de esta infraestructura se ofrece mediante un modelo de malware como servicio, lo que permite a otros operadores alquilarla en lugar de desarrollarla desde cero.
En uno de los casos analizados, un monedero principal controlaba varios contratos resolutores que parecían atender a clientes o campañas diferentes. Las direcciones relacionadas también aparecían vinculadas a tokens fraudulentos y a campañas que alteraban el portapapeles para redirigir operaciones de usuarios de criptomonedas.
La respuesta defensiva pasa menos por retirar servidores y más por observar la actividad. Las transacciones dejan marcas de tiempo y permiten seguir monederos, contratos, relaciones de financiación e historiales de actualización. Las organizaciones pueden además vigilar las solicitudes JSON-RPC, que son las llamadas utilizadas para consultar nodos, y buscar conexiones de equipos infectados con contratos o direcciones sospechosas.
Los proveedores centralizados de API y de acceso RPC siguen siendo puntos potenciales de intervención, aunque la cadena subyacente no pueda apagarse. El reto será bloquear consultas maliciosas sin perjudicar las aplicaciones legítimas. Chainalysis señala que impedir la escritura arbitraria de datos en las redes exigiría cambios con efectos sobre usos normales que podrían superar el beneficio de seguridad.
