Por Canuto  

El malware almacenado directamente en blockchains públicas aumentó hasta 5,2 veces en un año, según Chainalysis, que atribuye la mayor parte del avance a hackers vinculados con Corea del Norte e Irán. La técnica permite conservar instrucciones de ataque y rutas de comando incluso después de que las autoridades derriban servidores, dominios o repositorios.

***

  • Chainalysis registró un aumento del 420% en las escrituras de instrucciones de malware o datos de infraestructura dentro de blockchains públicas durante el último año.
  • Los operadores estatales representan cerca de dos de cada tres blockchain dead drops, con campañas vinculadas a UNC5342 y al Ministerio de Inteligencia de Irán.
  • Las operaciones identificadas utilizaron Tron, Aptos, BNB Smart Chain y Bitcoin para mantener rutas de comando y control resistentes a los derribos tradicionales.

 

 

El malware escondido en blockchains públicas registró un salto de 420% durante el último año, en una tendencia que Chainalysis atribuyó principalmente a hackers vinculados con Corea del Norte e Irán.

La firma de análisis indicó que los atacantes escribieron instrucciones maliciosas o datos de infraestructura dentro de transacciones y contratos inteligentes, una práctica que puede prolongar la vida útil de las campañas frente a los métodos tradicionales de interrupción.

El fenómeno pone bajo presión a exchanges, proveedores de billeteras y equipos de seguridad, que deben vigilar no solo servidores y dominios, sino también registros públicos distribuidos.

La lógica del ataque es sencilla, aunque sus consecuencias resultan difíciles de contener: una máquina infectada consulta la blockchain y recupera desde allí la información necesaria para continuar operando. Mientras un dominio puede ser incautado, un proveedor de alojamiento desconectado o un repositorio eliminado, los datos publicados en un registro público permanecen disponibles para los dispositivos que sepan encontrarlos. La permanencia no significa que cada campaña sea imposible de detener, pero sí eleva el costo de respuesta y obliga a los defensores a rastrear transacciones, contratos y patrones de comunicación.

Una infraestructura difícil de apagar

Chainalysis denominó blockchain dead drop, o BDD, al método mediante el cual los atacantes almacenan cargas maliciosas y punteros de comando y control dentro de transacciones en cadena o contratos inteligentes. Los equipos infectados pueden consultar esas referencias cuando los operadores necesitan cambiar una instrucción, redirigir el tráfico o entregar nuevos componentes, sin depender de un único servidor central. La técnica aprovecha la distribución y persistencia propias de las redes públicas para convertir el registro contable en una capa de infraestructura criminal.

El antecedente más antiguo identificado por la firma se remonta a 2013, cuando una variante de la botnet Necurs alojó sus dominios de comando y control en Namecoin. En 2019, los operadores de la botnet minera Glupteba utilizaron el campo OP_RETURN de Bitcoin para ocultar datos, mientras que la práctica se extendió a redes basadas en Ethereum bajo la etiqueta EtherHiding a mediados de 2023. Estos casos muestran una evolución desde el almacenamiento de dominios o pequeños fragmentos de información hacia diseños más flexibles, capaces de combinar varias redes.

El primer caso de EtherHiding citado en el informe apareció cuando los operadores de ClearFake trasladaron el código de su infostealer a BNB Smart Chain después de que Cloudflare derribara sus servidores. El cambio permitió conservar parte de la lógica de distribución en contratos inteligentes, reduciendo la dependencia de la infraestructura que había sido neutralizada. Para los defensores, esa adaptación representa un problema operativo: bloquear un dominio ya no basta cuando la siguiente instrucción puede consultarse desde una cadena pública.

A comienzos de 2024, los ciberdelincuentes comunes concentraban la mayor parte de la actividad relacionada con estos dead drops. Sin embargo, al avanzar el segundo trimestre de 2026, Chainalysis estimó que los operadores estatales escribían aproximadamente dos de cada tres registros maliciosos en blockchains públicas. El informe también presentó un aumento de 440% desde julio de 2025, una cifra que convive con el incremento general de 420% descrito para el último año y que refleja distintos cortes de medición utilizados en el análisis.

Rastros de Corea del Norte e Irán

La investigación conectó un conjunto de transacciones previamente no atribuidas, distribuidas en tres redes, con UNC5342, un grupo vinculado a Corea del Norte y seguido por Google Threat Intelligence. En la campaña observada, los dispositivos infectados eran dirigidos primero a través de Tron, utilizaban Aptos como respaldo y terminaban en la misma transacción de BNB Smart Chain. La combinación sugiere que los operadores diseñaron rutas alternativas para mantener el control incluso si una de las redes o referencias quedaba bloqueada.

El patrón guarda relación con otra operación observada en 2025, cuando hackers norcoreanos plantaron código para robar criptomonedas dentro de contratos inteligentes de estilo Ethereum mediante EtherHiding. La semejanza no prueba que todas las campañas provengan del mismo equipo, pero sí muestra que los actores vinculados con Pyongyang han recurrido repetidamente a mecanismos de persistencia en cadena. El uso de contratos y transacciones les permite esconder componentes de la operación dentro de una infraestructura que no desaparece cuando cae un servidor convencional.

En un caso separado, Chainalysis identificó vínculos con el Ministerio de Inteligencia de Irán al analizar una operación que codificaba datos de enrutamiento de comando y control directamente en la blockchain de Bitcoin. El método incorporaba pequeños pagos desde billeteras controladas por los atacantes hacia una dirección de Bitcoin que se rumorea tiene vínculos con Satoshi Nakamoto. Esa elección funcionaba como una señal inusual dentro de las transacciones y añadía una capa de complejidad al trabajo de quienes intentan distinguir una comunicación maliciosa de una transferencia ordinaria.

La atribución en ciberseguridad exige cautela porque los atacantes pueden imitar herramientas, rutas o estilos de otros grupos. En este caso, la firma vinculó los indicios norcoreanos con UNC5342 y los datos de la campaña en Bitcoin con el Ministerio de Inteligencia de Irán, pero esas conclusiones describen evaluaciones de inteligencia, no una sentencia judicial. La diferencia es relevante para exchanges y proveedores de billeteras, que necesitan convertir señales técnicas en controles de riesgo sin asumir que cada transacción relacionada con una dirección sospechosa tiene el mismo propósito.

El papel incierto de la inteligencia artificial

El incremento de los dead drops maliciosos desde julio de 2025 coincidió con la llegada de modelos chinos de inteligencia artificial de pesos abiertos capaces de generar código avanzado con salvaguardas limitadas, según el informe. En términos brutos, las escrituras observadas pasaron de aproximadamente 2,06 a 11,1 por día, una variación que ayuda a dimensionar el crecimiento de la actividad. La coincidencia temporal, sin embargo, no demuestra por sí sola que los operadores hayan utilizado esos modelos para producir sus transacciones.

Eric Jardine, líder de investigación de ciberdelincuencia de Chainalysis, afirmó que la firma no pudo confirmar que los actores responsables hubieran empleado esos sistemas para aumentar su producción. Esa reserva evita convertir una correlación en una conclusión tecnológica y mantiene abierta la pregunta sobre qué parte del crecimiento provino de automatización, reutilización de herramientas o una mayor actividad de grupos estatales. Para los equipos defensivos, la incertidumbre no elimina el riesgo, porque el código generado o adaptado con IA puede acelerar la experimentación aunque no sea el único factor detrás del aumento.

Los modelos de pesos abiertos pueden reducir barreras para modificar scripts, traducir instrucciones técnicas o probar variantes de un código malicioso. También pueden ayudar a operadores con menos experiencia a preparar componentes que antes requerían conocimientos especializados, aunque la calidad del resultado siga dependiendo de la infraestructura, el acceso inicial y la capacidad de evadir controles. En el caso analizado, la evidencia disponible permite hablar de una coincidencia preocupante, no de una relación causal confirmada entre esos modelos y cada dead drop registrado.

El problema central para la industria cripto es que la automatización y la persistencia pueden reforzarse mutuamente. Si un atacante produce más variantes y las distribuye mediante registros públicos que no dependen de un proveedor individual, los defensores enfrentan más señales que investigar y menos puntos únicos para interrumpir la operación. Por eso, el análisis de transacciones, la detección de patrones entre cadenas y la cooperación entre plataformas adquieren un peso mayor dentro de la respuesta de seguridad.

Un capítulo más de la actividad norcoreana

El hallazgo se suma a una extensa serie de operaciones cripto atribuidas a actores vinculados con Corea del Norte. CertiK estimó en mayo que grupos relacionados con la República Popular Democrática de Corea habían robado aproximadamente USD $6.750 millones desde 2016, distribuidos en 263 incidentes, y señaló que la ingeniería social tuvo un papel más importante que las explotaciones puras de software. Esa evaluación describe un ecosistema de ataques que combina engaño, acceso a personas y abuso de infraestructura técnica.

Investigaciones presentadas en Black Hat durante este año ampliaron el alcance señalado por otros analistas, incluido un investigador que encontró indicios de infiltración norcoreana en 1.640 empresas de 57 países. El dato no equivale a 1.640 robos ni prueba que cada organización haya sufrido pérdidas financieras, pero sí ilustra la dimensión internacional que pueden alcanzar estas campañas. En ese contexto, el uso de blockchains públicas como puntos de entrega o comunicación representa una evolución de infraestructura dentro de una estrategia más amplia.

La inteligencia de Estados Unidos ha sostenido que los fondos obtenidos mediante estas operaciones ayudan a financiar los programas nucleares y de misiles del régimen norcoreano. Pyongyang ha negado esa acusación, por lo que el señalamiento debe presentarse como una evaluación de autoridades estadounidenses y no como un hecho admitido por Corea del Norte. La disputa política no cambia, sin embargo, la necesidad de que las empresas examinen las rutas de fondos, las identidades operativas y los patrones técnicos asociados con campañas de robo.

Para los usuarios, el principal riesgo no consiste en que una blockchain pública infecte por sí misma una billetera, sino en que un dispositivo ya comprometido consulte una fuente persistente para continuar el ataque. Mantener actualizado el software, desconfiar de archivos y enlaces inesperados, separar las billeteras de uso diario y aplicar controles de acceso puede reducir la exposición, aunque ninguna medida elimina por completo la amenaza. La expansión de los dead drops confirma que la seguridad cripto debe vigilar tanto el código que mueve los activos como la infraestructura invisible que mantiene activos a los atacantes.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados