Вредоносный блокчейн: ИИ ускорил атаки на 440%

Хакеры всё чаще прячут инструкции для вредоносных программ в публичных блокчейнах — распределённых сетях, где записи хранятся сразу у множества участников. Такой канал связи трудно отключить: удаление обычного сервера не стирает данные, уже занесённые в блокчейн.

По данным Chainalysis, после появления новых систем искусственного интеллекта активность, связанная с вредоносным использованием блокчейна, выросла на 440%. Среднее число ежедневных записей увеличилось с 2,06 до 11,1. Исследователи связывают скачок с мощными китайскими ИИ-моделями с открытым доступом, которые устанавливают меньше ограничений на запросы о разработке вредоносного кода.

Механизм называют blockchain dead drop — «блокчейн-тайник». Вредоносная программа обращается к данным транзакций или смарт-контрактам и получает оттуда команды, адреса серверов либо настройки. Это позволяет поддерживать связь с заражённым компьютером, не полагаясь полностью на хостинг-провайдеров и обычную серверную инфраструктуру.

Такая схема требует знаний сразу в нескольких областях: вредоносного ПО, криптовалютных сетей и распределённых каналов связи. ИИ снижает этот порог, помогая менее опытным злоумышленникам разбираться в незнакомых технологиях и создавать компоненты для блокчейн-коммуникации.

Связь с подобными операциями обнаруживали у разных групп. Связанная с Северной Кореей структура UNC5342 использует TRON и Aptos как запасные маршруты, а затем получает зашифрованные инструкции через BNB Chain. Вредоносная программа умеет проверять одну сеть, при необходимости переключаться на другую и загружать новые адреса без установки очередной версии вредоносного пакета.

Иранские группировки, предположительно связанные с министерством разведки страны, встраивали закодированную информацию о маршрутизации в Bitcoin-транзакции. Эти данные применялись для получения команд вредоносной программой.

Русскоязычные киберпреступники превратили технологию в коммерческую услугу: контракты Polygon использовались как инфраструктура для кампаний разных заказчиков. Один из операторов контролирует более 50 контрактов-резолверов в BNB Chain и одновременно связан с мошенническими токенами и вредоносным ПО, отслеживающим содержимое буфера обмена.

Во втором квартале 2026 года на связанные с государствами группы пришлось около двух третей впервые зафиксированной активности. В общей совокупности они составляли примерно половину наблюдаемой активности. Это показывает, что блокчейн-инфраструктура для вредоносных программ интересует не только обычных киберпреступников.

Для защитников проблема в том, что полная блокировка блокчейн-трафика ударит и по легальным сервисам: криптокошелькам, децентрализованным приложениям, биржам и сервисам децентрализованных финансов. Злоумышленники также могут запускать собственные узлы блокчейна, снижая зависимость от внешних провайдеров, которых обычно можно заставить отключить вредоносную инфраструктуру.

Некоторые операторы прячут адреса серверов в идентификаторах кошельков, для которых нет рабочих закрытых ключей, а затем используют переводы на нулевую сумму, чтобы запустить получение команд. Такие операции остаются в публичном реестре и могут дать следователям зацепки, даже если преступники стараются скрыть инфраструктуру.

Генеральный менеджер Chainalysis Korea Kwon Jun-hyeok отметил, что усложнение методов у связанных с государствами групп, включая Северную Корею, одновременно оставляет следы в блокчейне. По его словам, анализ этих следов и поиск связанных атакующих и инфраструктуры станет всё важнее в борьбе с новыми киберугрозами.