Co się wydarzyło?
Firma analityczna Chainalysis poinformowała o gwałtownym wzroście aktywności malware'u, który wykorzystuje publiczne blockchainy jako element swojej infrastruktury. Skala tej aktywności wzrosła według firmy o 440%. Według CryptoSlate, który przejmuje te dane, publiczne blockchainy są coraz częściej wykorzystywane do tego, aby malware pozostawał połączony z infrastrukturą sterującą, której klasyczne interwencje (takedowns) nie potrafią łatwo wyłączyć.
Kluczowa liczba: grupy powiązane z Koreą Północną i Iranem odpowiadały do drugiego kwartału 2026 roku za około dwie trzecie nowo zaobserwowanych przypadków tej techniki w każdym kwartale. Operatorzy wspierani przez państwa stanowią dziś według Chainalysis około połowę całej aktywności, którą firma śledzi, w porównaniu ze znikomym udziałem na początku 2024 roku.
Czym jest "blockchain dead drop"?
Blockchain dead drop to technika, w której atakujący zapisują instrukcje dla malware'u, adresy command-and-control (C2, czyli serwery sterujące) lub wskaźniki do dalszej infrastruktury bezpośrednio w transakcjach blockchainowych. Zgodnie z opisem w CryptoSlate dane ukrywa się w ten sposób w miejscu, które jest publiczne i trwałe, ale jednocześnie trudne do ocenzurowania lub usunięcia.
Dlaczego jest to korzystne dla atakujących:
- Blockchain jest zdecentralizowany, więc nie istnieje jeden serwer, który władze mogłyby zająć lub wyłączyć.
- Zapisy są trwałe, więc instrukcje pozostają dostępne nawet po klasycznej interwencji wobec infrastruktury.
- Ruch wygląda jak zwykłe transakcje blockchainowe, co utrudnia wykrycie.
Jaką rolę odgrywa AI?
Zgodnie z ujęciem, które przejmuje CryptoSlate, sztuczna inteligencja obniża próg dla przeprowadzania tych operacji, czyli ułatwia mniej zaawansowanym aktorom wdrażanie bardziej wyrafinowanych metod. Dokładnej mechaniki technicznej tego, jak konkretnie AI obniża ten próg (na przykład poprzez generowanie kodu, automatyzację czy modyfikację malware'u), dostępne źródło nie rozwija szczegółowo. Dlatego tę część podajemy jako prawdopodobną, a nie w pełni udokumentowaną w szczegółach.
Ile wiemy na pewno?
Z dostępnego źródła udokumentowane są liczby dotyczące wzrostu (440%), udział grup powiązanych z KRLD i Iranem (około dwie trzecie nowo zaobserwowanej aktywności w Q2 2026) oraz wzrost udziału aktorów państwowych z praktycznie zera na początku 2024 roku do około połowy. Wszystkie te dane pochodzą od Chainalysis.
Co natomiast z jedynego dostępnego źródła jednoznacznie nie wynika: wartości bezwzględne (ile to przypadków w liczbach), konkretne nazwy kampanii lub ofiar, wpływ na zwykłych użytkowników kryptowalut oraz dokładna metodyka, w jaki sposób Chainalysis mierzy aktywność i przypisuje ją do państw.
Jak to wpisuje się w szerszy trend bezpieczeństwa on-chain?
Wykorzystanie blockchaina jako infrastruktury ataku przychodzi w czasie, gdy rośnie komercyjne zainteresowanie bezpieczeństwem on-chain ogółem. Według Incrypted S&P Global uzgodniła przejęcie firmy OpenZeppelin, jednego z liderów w obszarze zabezpieczania finansów on-chain. Według tego samego źródła smart kontrakty tej firmy zabezpieczają transfery o wartości 37 bilionów USD, a firma wykryła ponad 10 000 podatności. Pokazuje to, że bezpieczeństwo staje się przedmiotem zainteresowania dużych instytucji finansowych, choć chodzi o inny segment (audyt smart kontraktów) niż opisywany malware.
Na co uważać przy tego typu doniesieniach?
Liczby dotyczące cyberbezpieczeństwa pochodzą zazwyczaj od jednej firmy analitycznej i odzwierciedlają to, co dana firma potrafi śledzić i przypisać. Atrybucja do konkretnych państw jest zawsze kwestią prawdopodobieństwa, a nie dowodu sądowego. Gdy następnym razem natkniesz się na doniesienie o "wzroście o setki procent", warto poszukać: od jakiej bazy się liczy, za jaki okres, kto mierzy i czy istnieje niezależne potwierdzenie. W temacie blockchain dead drops mamy na razie jedno główne źródło danych.