Por Canuto  

Las escrituras maliciosas en blockchains públicas aumentaron 440%, según Chainalysis. La firma atribuye parte del salto, entre otros factores, a herramientas de IA de pesos abiertos que reducen las barreras técnicas, mientras actores vinculados a Irán, Corea del Norte y Rusia ganan protagonismo.
***

  • Las escrituras maliciosas diarias en blockchain pasaron de 2,06 a 11,1, un aumento de 440% que Chainalysis vincula, en parte, con el uso de IA.
  • Los atacantes alojan instrucciones de comando y control o cargas maliciosas en transacciones y contratos inteligentes, difíciles de retirar de registros públicos.
  • El bloqueo general del tráfico blockchain podría afectar servicios legítimos, por lo que la detección y la interrupción de la infraestructura externa aparecen como alternativas.

Las escrituras maliciosas en blockchain se multiplican por cinco y aprovechan la IA

Las escrituras maliciosas en blockchains públicas aumentaron más de cinco veces frente al año anterior, de acuerdo con un informe de Chainalysis. La firma registró un incremento de 440% en su promedio diario, de 2,06 a 11,1, y relacionó parte del avance con herramientas de inteligencia artificial de pesos abiertos que facilitan el trabajo de actores con menos experiencia. La cifra mide escrituras maliciosas, no el número total de ciberataques.

La técnica, conocida como Blockchain Dead Drops (BDD), aprovecha que los datos de una cadena pública se replican y suelen permanecer accesibles aunque caigan dominios, servidores o repositorios. El informe identifica actividad de actores estatales iraníes y norcoreanos, además de grupos criminales de habla rusa, aunque el uso de blockchain no ejecuta por sí mismo toda la operación: suele ofrecer una ruta resistente para encontrar instrucciones o cargas alojadas fuera de la cadena.

Cómo los atacantes usan la blockchain

Los operadores pueden guardar en una transacción o un contrato inteligente datos de configuración que indican al malware dónde encontrar su infraestructura de comando y control, conocida como C2. Esos datos pueden contener dominios, direcciones IP u otros punteros; el programa malicioso los recupera y decodifica antes de conectarse con el servidor externo desde el que llegan las instrucciones posteriores.

En otra variante, la propia blockchain alberga código malicioso o componentes cifrados que el dispositivo comprometido descarga para ejecutarlos localmente. Una vez que el malware obtiene lo que necesita, la operación continúa fuera de la cadena, por ejemplo mediante programas que roban credenciales y activos de billeteras o troyanos de acceso remoto que permiten conservar el control del sistema.

Chainalysis describe dos mecanismos de almacenamiento habituales. En el primero, llamado basado en transacciones, los atacantes insertan configuraciones, referencias a cargas o punteros en campos como memos o calldata, ya sea en una sola red o repartiendo la información entre varias blockchains.

El segundo mecanismo recurre al estado de contratos inteligentes para conservar datos y actualizarlos cuando cambia la infraestructura del atacante. EtherHiding utiliza ese modelo: el malware consulta el contrato para obtener la información vigente, mientras que la actividad visible de los operadores puede limitarse a desplegarlo y modificarlo periódicamente.

Los investigadores también han observado direcciones conocidas como billeteras fantasma, que no cuentan con una clave privada correspondiente. En lugar de publicar directamente la IP del servidor C2, los atacantes la codifican en los bytes de la dirección y envían transacciones de valor cero; el malware reconstruye la dirección y la usa para conectarse.

Una técnica antigua gana nuevos impulsores

El uso de registros blockchain para facilitar operaciones maliciosas tiene antecedentes de más de una década. En 2013, una variante de la botnet Necurs guardó información de su dominio C2 en Namecoin, una bifurcación de Bitcoin; en 2019, otros atacantes codificaron direcciones IP de C2 en transacciones de Bitcoin.

Ese mismo año, la botnet de minería de criptomonedas Glupteba almacenó información maliciosa en el campo OP_RETURN de Bitcoin. La estrategia tomó otra forma a mediados de 2023, cuando ClearFake recurrió a EtherHiding en BNB Smart Chain después de que medidas de Cloudflare bloquearan sus servidores de distribución de malware.

El uso de contratos inteligentes permitió que esa campaña mantuviera una vía para recuperar código, incluso si la infraestructura tradicional sufría interrupciones. En cuestión de días, otros grupos comenzaron a probar métodos similares y, hacia finales de diciembre de 2023, la botnet de denegación de servicio Smargaft también usaba C2 basado en contratos inteligentes en BSC.

Los actores vinculados a Estados comenzaron a aparecer en estos registros en 2024, cuando operadores iraníes relacionados con el Ministerio de Inteligencia del país incrustaron datos de C2 en transacciones de Bitcoin. En 2025, actores norcoreanos empezaron a emplear EtherHiding en campañas de falsas entrevistas laborales, dirigidas a personas que podían descargar y ejecutar código malicioso como parte de un supuesto proceso de selección. Google Threat Intelligence Group también informó que el actor norcoreano UNC5342 utilizó EtherHiding para distribuir malware, según su análisis “DPRK Adopts EtherHiding: Nation-State Malware Hiding”.

El aumento de actividad también coincide con la disponibilidad de modelos de IA de pesos abiertos, incluidos modelos chinos que pueden modificarse para eludir restricciones mediante un proceso llamado abliteration. Según el informe, estas herramientas redujeron la experiencia técnica necesaria para desplegar BDD, lo que ayuda a explicar por qué actores menos especializados pueden intentar operaciones que antes exigían conocimientos de ciberseguridad y criptografía.

El desafío para investigadores y usuarios

Al seguir cinco blockchains principales y más de una docena de familias de malware, Chainalysis calculó que, para el segundo trimestre de 2026, los grupos vinculados a actores estatales respondían por cerca de dos tercios de la nueva actividad BDD de cada trimestre y la mitad de la actividad total. El dato refleja el peso que adquirieron operadores iraníes, norcoreanos y de habla rusa desde que los actores estatales comenzaron a entrar en escena a mediados de 2024.

Bloquear todo el tráfico hacia las blockchains no aparece como una solución sencilla, porque impedir el acceso a redes como Ethereum también podría afectar a billeteras legítimas y servicios DeFi que dependen de puntos RPC públicos, incluidos los operados por Cloudflare y Alchemy. Incluso con restricciones de ese tipo, los atacantes podrían operar sus propios nodos, mientras que limitar a nivel de protocolo lo que puede escribirse en una cadena pública exigiría cambios con posibles efectos más amplios.

Por eso, el análisis propone concentrar los esfuerzos en detectar la actividad, identificar a los operadores e interrumpir los componentes externos de cada campaña. Las publicaciones y actualizaciones en cadena dejan registros públicos con marcas de tiempo, de modo que seguir las billeteras, los contratos que resuelven direcciones, las fuentes de financiamiento y el historial de cambios puede ayudar a relacionar operaciones que a primera vista parecen independientes.

Para las organizaciones, una señal de alerta consiste en detectar tráfico JSON-RPC saliente hacia puntos públicos de blockchain desde equipos que no tienen una razón legítima para consultar esas redes. Una estación de trabajo o un servidor de compilación que lee datos de un contrato inteligente merece revisión, y los equipos de seguridad pueden usar la técnica T1102.001 de MITRE ATT&CK, denominada Web Service: Dead Drop Resolver, como marco para crear detecciones.

Para los usuarios, la blockchain no es lo que instala el malware: su función comienza después de que un código malicioso ya se ejecuta en el dispositivo. En campañas de falsas entrevistas, por ejemplo, la víctima debe descargar y ejecutar primero archivos o repositorios desconocidos; por eso, desconfiar de contactos no solicitados que piden correr pruebas de programación sigue siendo una defensa central.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados