Cosa è successo?
La società di analisi Chainalysis ha annunciato un forte aumento dell'attività malware che abusa delle blockchain pubbliche come parte della propria infrastruttura. Secondo l'azienda il volume di questa attività è cresciuto del 440%. Secondo CryptoSlate, che riprende i dati, le blockchain pubbliche vengono usate sempre più spesso per mantenere il malware collegato all'infrastruttura di controllo, che i classici interventi (takedown) non riescono a spegnere facilmente.
Il numero chiave: i gruppi legati alla Corea del Nord e all'Iran hanno rappresentato entro il secondo trimestre del 2026 circa due terzi dei nuovi casi osservati di questa tecnica per ogni trimestre. Gli operatori sostenuti da stati rappresentano oggi, secondo Chainalysis, circa la metà di tutta l'attività che l'azienda monitora, rispetto a una quota trascurabile all'inizio del 2024.
Cos'è un "blockchain dead drop"?
Un blockchain dead drop è una tecnica in cui gli aggressori memorizzano le istruzioni per il malware, gli indirizzi di command-and-control (C2, cioè i server di controllo) o i puntatori ad altra infrastruttura direttamente nelle transazioni blockchain. Secondo la descrizione in CryptoSlate, i dati vengono così nascosti in un luogo pubblico e permanente, ma allo stesso tempo difficile da censurare o rimuovere.
Perché è vantaggioso per gli aggressori:
- La blockchain è decentralizzata, quindi non esiste un singolo server che le autorità possano sequestrare o spegnere.
- Le registrazioni sono permanenti, quindi le istruzioni restano disponibili anche dopo un classico intervento contro l'infrastruttura.
- Il traffico appare come normali transazioni blockchain, il che complica la rilevazione.
Che ruolo ha l'AI?
Secondo l'inquadramento ripreso da CryptoSlate, l'intelligenza artificiale abbassa l'asticella per l'esecuzione di queste operazioni, cioè facilita agli attori meno avanzati l'adozione di procedure più sofisticate. La meccanica tecnica precisa di come esattamente l'AI abbassi questa asticella (ad esempio generando codice, tramite automazione o modificando il malware) non viene approfondita in dettaglio dalla fonte disponibile. Per questo indichiamo questa parte come probabile, non pienamente documentata nei dettagli.
Quanto ne sappiamo con certezza?
Dalla fonte disponibile sono documentati i numeri sulla crescita (440%), la quota dei gruppi legati alla Corea del Nord e all'Iran (circa due terzi della nuova attività osservata nel Q2 2026) e l'aumento della quota degli attori statali da praticamente zero all'inizio del 2024 a circa la metà. Tutti questi dati provengono da Chainalysis.
Cosa invece non emerge in modo univoco dall'unica fonte disponibile: i volumi assoluti (a quanti casi corrisponde in numeri), i nomi concreti delle campagne o delle vittime, l'impatto sugli utenti comuni di criptovalute e la metodologia precisa con cui Chainalysis misura l'attività e la attribuisce agli stati.
Come si inserisce nel più ampio trend della sicurezza on-chain?
L'abuso della blockchain come infrastruttura d'attacco arriva in un momento in cui cresce l'interesse commerciale per la sicurezza on-chain in generale. Secondo Incrypted, S&P Global ha concordato l'acquisizione della società OpenZeppelin, uno dei leader nel campo della sicurezza della finanza on-chain. Secondo la stessa fonte, gli smart contract di questa azienda garantiscono trasferimenti per un valore di 37 trilioni di USD e l'azienda ha individuato oltre 10.000 vulnerabilità. Questo mostra che la sicurezza sta diventando oggetto di interesse delle grandi istituzioni finanziarie, seppur si tratti di un segmento diverso (audit degli smart contract) rispetto al malware descritto.
A cosa fare attenzione con questo tipo di notizie?
I numeri sulla cybersicurezza provengono tipicamente da una singola società di analisi e riflettono ciò che quella determinata azienda riesce a monitorare e attribuire. L'attribuzione a stati specifici è sempre una questione di probabilità, non di prova giudiziaria. La prossima volta che vi imbattete in una notizia su una "crescita di centinaia di percento", vale la pena cercare: da quale base viene calcolata, in quale periodo, chi misura e se esiste una conferma indipendente. Sul tema dei blockchain dead drop abbiamo per ora un'unica fonte principale di dati.