La actividad de malware que utiliza cadenas de bloques para mantener el contacto con los dispositivos infectados se ha disparado un 440% en menos de un año. El número de escrituras maliciosas detectadas pasó de una media de 2,06 al día a 11,1 tras la aparición de modelos chinos de inteligencia artificial de código abierto y gran capacidad, según Chainalysis.
La firma de análisis advierte, no obstante, de que sus datos no identifican un único modelo ni demuestran que la inteligencia artificial sea por sí sola la causa del incremento. Lo que sí reflejan es una expansión de una técnica que permite a los atacantes ocultar parte de la infraestructura de control del malware en redes públicas y más difíciles de desconectar.
Corea del Norte e Irán concentran buena parte de la actividad
Los grupos vinculados a Corea del Norte e Irán representaban aproximadamente dos tercios de la actividad de blockchain dead drop observada cada trimestre hasta el segundo trimestre de 2026. Los operadores relacionados con Estados pasaron a suponer cerca de la mitad de toda la actividad seguida por Chainalysis, frente a una presencia prácticamente irrelevante a comienzos de 2024.
Un blockchain dead drop almacena instrucciones para el malware, direcciones de servidores de mando y control o indicaciones sobre dónde encontrar esa información dentro de transacciones y contratos inteligentes. Los dispositivos comprometidos consultan periódicamente esos registros públicos para obtener nuevas órdenes. De este modo, los atacantes pueden cambiar sus servidores sin tener que infectar de nuevo los equipos.
Chainalysis relaciona al grupo norcoreano UNC5342 con una infraestructura que utiliza TRON y Aptos como rutas redundantes hacia BNB Smart Chain. Los dispositivos infectados consultan primero TRON y recurren a Aptos si esa vía deja de estar disponible; ambas redes contienen referencias codificadas que conducen a las instrucciones almacenadas en BNB Smart Chain.
Los operadores también pueden modificar la infraestructura externa mediante una nueva transacción. Las máquinas ya infectadas recuperan automáticamente la ubicación actualizada. Según Chainalysis, desarticular por completo esta operación exigiría actuar al mismo tiempo sobre las tres redes.
Google Threat Intelligence empezó a seguir a UNC5342 en febrero de 2025, cuando el grupo empleó malware distribuido mediante cadenas de bloques en campañas de falsas ofertas de empleo dirigidas a desarrolladores de criptomonedas y tecnología. Los contratos inteligentes servían para facilitar la entrega de programas capaces de robar datos del navegador, contraseñas y credenciales de monederos.
Una infraestructura cada vez más accesible
Los operadores vinculados a Irán han utilizado otro método. Chainalysis asegura que actores presuntamente relacionados con el Ministerio de Inteligencia iraní introdujeron información de encaminamiento para el mando y control en transacciones de Bitcoin enviadas a una dirección conocida históricamente por su asociación con Satoshi Nakamoto. La dirección no está vinculada a los atacantes: funciona como un punto de referencia público y permanente para los equipos infectados.
La técnica ya no se limita a grupos respaldados por Estados. Las herramientas de programación basadas en inteligencia artificial reducen los conocimientos especializados necesarios para construir esta clase de infraestructura. Chainalysis sigue actividad de este tipo en cinco grandes redes y en más de una docena de familias de malware.
También se han detectado grupos criminales rusohablantes que utilizan contratos inteligentes en Polygon como resolutores de órdenes. Parte de esta infraestructura se ofrece a otros delincuentes bajo un modelo de malware como servicio, lo que permite alquilar los componentes necesarios en lugar de desarrollarlos desde cero. En una de las operaciones analizadas, una cartera principal controlaba varios contratos, aparentemente destinados a clientes o campañas diferentes. Algunas direcciones relacionadas estaban vinculadas además a tokens fraudulentos y ataques que sustituyen direcciones copiadas en el portapapeles para desviar operaciones de usuarios de criptomonedas.
La respuesta pasa de cerrar servidores a vigilar las redes
El atractivo para los atacantes reside en que publicar pequeñas cantidades de datos en una cadena pública puede resultar barato, mientras que el registro permanece disponible globalmente y es difícil de eliminar. La parte principal de la intrusión continúa fuera de la cadena; el registro se utiliza sobre todo para indicar a los equipos infectados dónde deben conectarse después.
La misma permanencia deja un rastro que los equipos de ciberseguridad pueden analizar. Cada transacción empleada para rotar la infraestructura queda fechada y visible. El seguimiento de carteras, contratos, relaciones de financiación e historiales de actualización puede ayudar a conectar campañas que, observadas únicamente a través de sus dominios o servidores, parecerían independientes.
Las organizaciones también pueden vigilar las solicitudes JSON-RPC salientes, que son las llamadas con las que los programas consultan los nodos de una cadena, para identificar conexiones de equipos infectados con contratos o direcciones sospechosas. Los proveedores centralizados de API y de acceso RPC siguen siendo puntos potenciales de intervención, aunque la red subyacente no pueda apagarse.
Chainalysis señala que impedir la escritura de datos arbitrarios en las cadenas exigiría cambios con posibles efectos sobre usos legítimos. Por eso, la presión se desplaza hacia las bolsas, los proveedores de infraestructura y las empresas de ciberseguridad, especialmente aquellas situadas entre los dispositivos infectados y las redes públicas.
