Blockchain malicioso: la IA aceleró los ataques un 440%
Los hackers ocultan cada vez más instrucciones para programas maliciosos en cadenas de bloques públicas: redes distribuidas en las que los registros se almacenan simultáneamente entre numerosos participantes. Es difícil desconectar este canal de comunicación: eliminar un servidor convencional no borra los datos que ya se han añadido a la cadena de bloques.
Según Chainalysis, tras la aparición de nuevos sistemas de inteligencia artificial, la actividad relacionada con el uso malicioso de la cadena de bloques aumentó un 440%. El promedio de registros diarios pasó de 2,06 a 11,1. Los investigadores atribuyen este repunte a potentes modelos chinos de IA de acceso abierto, que imponen menos restricciones a las consultas sobre el desarrollo de código malicioso.
El mecanismo se conoce como blockchain dead drop, un «escondite en la cadena de bloques». El programa malicioso consulta datos de transacciones o contratos inteligentes y obtiene de ellos instrucciones, direcciones de servidores o ajustes. Así puede mantener la comunicación con un ordenador infectado sin depender por completo de proveedores de alojamiento ni de la infraestructura de servidores convencional.
Este método exige conocimientos en varios campos a la vez: malware, redes de criptomonedas y canales de comunicación distribuidos. La IA rebaja esa barrera y ayuda a los atacantes menos experimentados a familiarizarse con tecnologías desconocidas y crear componentes para comunicarse a través de la cadena de bloques.
Se han detectado vínculos con este tipo de operaciones en distintos grupos. UNC5342, relacionada con Corea del Norte, utiliza TRON y Aptos como rutas alternativas y después recibe instrucciones cifradas a través de BNB Chain. El malware puede comprobar una red, cambiar a otra si hace falta y descargar nuevas direcciones sin instalar otra versión del paquete malicioso.
Grupos iraníes, presuntamente vinculados al Ministerio de Inteligencia del país, insertaron información de enrutamiento codificada en transacciones de Bitcoin. El malware utilizaba esos datos para recibir instrucciones.
Los ciberdelincuentes rusohablantes han convertido esta tecnología en un servicio comercial: se han usado contratos de Polygon como infraestructura para campañas de distintos clientes. Uno de los operadores controla más de 50 contratos de resolución de direcciones en BNB Chain y, al mismo tiempo, está vinculado a tokens fraudulentos y a malware que vigila el contenido del portapapeles.
En el segundo trimestre de 2026, los grupos vinculados a Estados fueron responsables de cerca de dos tercios de la actividad detectada por primera vez. En el conjunto total, representaban aproximadamente la mitad de la actividad observada. Esto demuestra que la infraestructura de cadena de bloques para programas maliciosos también interesa a actores distintos de los ciberdelincuentes habituales.
Para los defensores, el problema es que bloquear por completo el tráfico de la cadena de bloques también afectaría a servicios legítimos: monederos de criptomonedas, aplicaciones descentralizadas, plataformas de intercambio y servicios de finanzas descentralizadas. Los atacantes también pueden ejecutar sus propios nodos de cadena de bloques, lo que reduce su dependencia de proveedores externos, a los que normalmente se puede obligar a desconectar la infraestructura maliciosa.
Algunos operadores esconden direcciones de servidores en identificadores de monederos que no tienen claves privadas operativas y luego usan transferencias de importe cero para activar la recepción de instrucciones. Estas operaciones quedan registradas públicamente y pueden dar pistas a los investigadores, aunque los delincuentes intenten ocultar su infraestructura.
Kwon Jun-hyeok, director general de Chainalysis Korea, señaló que la sofisticación creciente de los métodos de los grupos vinculados a Estados, incluida Corea del Norte, también deja rastros en la cadena de bloques. Según afirmó, analizar esos rastros y buscar a los atacantes y la infraestructura relacionada será cada vez más importante para combatir las nuevas ciberamenazas.
PEREC.RU
El artículo describe el aumento del uso de cadenas de bloques públicas como infraestructura para controlar malware. Los hackers insertan instrucciones, direcciones de servidores y ajustes en datos de transacciones o contratos inteligentes. Los ordenadores infectados recuperan esa información, lo que permite a los atacantes mantener el contacto con los dispositivos incluso después de desconectar un servidor convencional.
Según Chainalysis, esta actividad aumentó un 440%: el número de registros diarios pasó de 2,06 a 11,1 tras la aparición de nuevos sistemas de inteligencia artificial. Los investigadores atribuyen el repunte a potentes modelos chinos de acceso abierto, que restringen menos las consultas sobre el desarrollo de código malicioso. La IA ha rebajado la barrera de entrada para operadores menos experimentados y les ayuda a desenvolverse con cadenas de bloques, malware y canales de comunicación distribuidos.
La tecnología la utilizan distintos grupos. UNC5342, relacionada con Corea del Norte, recurre a TRON y Aptos como rutas de reserva y después recibe instrucciones cifradas a través de BNB Chain. El malware puede cambiar de red y actualizar direcciones sin volver a distribuir el paquete malicioso. Actores iraníes, presuntamente vinculados a los servicios de inteligencia, insertaron rutas codificadas en transacciones de Bitcoin.
Los ciberdelincuentes rusohablantes han convertido el método en un servicio comercial. Usan contratos de Polygon como infraestructura para campañas de distintos clientes. Un operador controla más de 50 contratos de resolución de direcciones en BNB Chain y, al mismo tiempo, está vinculado a tokens fraudulentos y a malware que vigila el portapapeles.
En el segundo trimestre de 2026, los grupos estatales o vinculados a Estados representaban cerca de dos tercios de la nueva actividad y aproximadamente la mitad de toda la actividad observada. Esto confirma que la infraestructura de cadena de bloques no solo interesa a los ciberdelincuentes habituales.
Proteger las redes es complicado: bloquear el tráfico de la cadena de bloques afectaría a monederos legítimos, aplicaciones descentralizadas, plataformas de intercambio y servicios DeFi. Los operadores también pueden ejecutar sus propios nodos, reduciendo la dependencia de proveedores externos. Aun así, la cadena de bloques deja rastros públicos. Las direcciones de servidores se ocultan en identificadores de monederos sin claves operativas y las transferencias de importe cero activan la recepción de instrucciones. Estos registros pueden ayudar en las investigaciones. Kwon Jun-hyeok, de Chainalysis Korea, considera que analizar esos rastros será cada vez más importante para localizar a los atacantes y la infraestructura relacionada.
