La actividad de malware que utiliza cadenas de bloques para mantener la comunicación con los equipos infectados se ha disparado un 440% en menos de un año, según Chainalysis. El promedio de escrituras maliciosas en redes públicas pasó de 2,06 a 11,1 al día tras la aparición de modelos chinos de inteligencia artificial de código abierto con alta capacidad, una evolución que la firma vincula a la reducción de los conocimientos técnicos necesarios para desplegar este tipo de infraestructura.
Chainalysis no atribuye el aumento a un único modelo ni afirma que la inteligencia artificial sea por sí sola la causa. Su análisis apunta, no obstante, a que estas herramientas han rebajado la barrera de entrada para crear sistemas de coordinación basados en cadenas de bloques. La técnica también se está extendiendo más allá de los grupos respaldados por Estados.
Una infraestructura difícil de apagar
El método, conocido como “buzón muerto” en la cadena de bloques, consiste en almacenar instrucciones para el malware, direcciones de control o indicaciones sobre dónde conectarse dentro de transacciones y contratos inteligentes. Los dispositivos comprometidos consultan después esos registros públicos para recibir nuevas órdenes.
La ventaja para los atacantes es que pueden cambiar sus servidores sin tener que infectar de nuevo a las víctimas. Basta con publicar otra transacción que apunte a una ubicación distinta. La información escrita en la cadena permanece disponible a escala global y, en muchos casos, resulta difícil de eliminar sin afectar a los usos legítimos de la red.
Los operadores vinculados a Estados ya representan aproximadamente la mitad de la actividad de este tipo que sigue Chainalysis, frente a una cuota insignificante a comienzos de 2024. En el segundo trimestre de 2026, los grupos relacionados con Corea del Norte e Irán concentraron alrededor de dos tercios de la actividad recién observada en cada trimestre.
Corea del Norte prueba una estrategia multired
El grupo norcoreano UNC5342 ofrece un ejemplo de cómo esta infraestructura puede hacer más resistente una campaña. Chainalysis lo relaciona con un sistema que utiliza TRON y Aptos como rutas redundantes hacia BNB Smart Chain. Los punteros codificados en las dos primeras redes dirigen a los dispositivos infectados hacia las instrucciones almacenadas en BNB Smart Chain.
El programa malicioso consulta primero TRON y recurre a Aptos si esa vía deja de funcionar. Para modificar la infraestructura externa, los atacantes solo tienen que publicar una nueva transacción. Las máquinas ya comprometidas recuperan entonces la ubicación actualizada de forma automática. Según Chainalysis, desactivar la operación exigiría actuar simultáneamente sobre las tres cadenas.
Google Threat Intelligence empezó a seguir la actividad de UNC5342 en febrero de 2025. El grupo empleaba campañas de falsas ofertas de empleo dirigidas a desarrolladores de criptomonedas y tecnología, con contratos inteligentes que ayudaban a distribuir malware capaz de robar datos del navegador, contraseñas y carteras de criptoactivos.
Los operadores vinculados a Irán han utilizado otro enfoque. La firma detectó información de encaminamiento para el control del malware insertada en transacciones de Bitcoin enviadas a una dirección conocida históricamente por su asociación con Satoshi Nakamoto. La dirección no estaría relacionada con los atacantes: funciona como una referencia pública y permanente para los equipos infectados.
Más operadores y un nuevo frente para los defensores
Chainalysis identifica actividad de “buzón muerto” en cinco grandes redes y en más de una docena de familias de malware. Grupos delictivos de habla rusa han desplegado contratos inteligentes en Polygon como resolutores de comandos y han ofrecido esa infraestructura a terceros mediante un modelo de malware como servicio. En la práctica, otros atacantes pueden alquilar el sistema en lugar de construirlo.
La permanencia de los registros también deja pistas. Cada transacción utilizada para cambiar la infraestructura queda fechada y visible, lo que permite rastrear carteras, contratos, relaciones de financiación e historiales de actualización. Las organizaciones pueden además vigilar las peticiones JSON-RPC salientes, que son las llamadas usadas para consultar nodos de una cadena, en busca de conexiones con contratos o direcciones sospechosas.
Los proveedores centralizados de API y de acceso a nodos se convierten así en posibles puntos de intervención, aunque la cadena subyacente no pueda apagarse. El reto será bloquear consultas maliciosas sin perjudicar a las aplicaciones legítimas que utilizan las mismas redes. Para los defensores, el problema ya no se limita a retirar dominios o servidores: exige seguir simultáneamente carteras, contratos y varias cadenas de bloques.
