Die Angriffe auf Blockchain-Dead Drops steigen um 440%, da staatliche Akteure die Infrastruktur auf der Blockchain nutzen.

• Threat Actor, insbesondere staatlich unterstützte Gruppen aus Nordkorea und Iran, nutzen immer häufiger öffentliche Blockchain-Netze, um Malware-Befehle und -Kontrollinstrumente zu verwalten. Dadurch entsteht eine dauerhafte Infrastruktur, die es schwierig macht, diese Netze abzubauen.
• Die Nationstaatenoperatoren stellen heute etwa zwei Drittel der neuen Blockchain-Dead-Drop-Aktivitäten aus. Sie nutzen den von KI generierten Code, um bösartige Änderungen automatisch durchzuführen und so die Langlebigkeit der Kampagnen zu gewährleisten.
• Der Hauptgrund für diesen Anstieg ist die Verfügbarkeit von ungehinderten Open-Source-AI-Modellen. Dadurch wurden die technischen Hürden für die Implementierung komplexer BDDs in mehreren Ketten erheblich verringert.
• Diese Veränderung von Cyberkriminellen zu Staatsakteuren zeigt eine strategische Entscheidung für die Langfristige Beständigkeit von Kampagnen. Dabei wird die Resilienz gegenüber Unterbrechungen der Infrastruktur mehr gewichtet als die sofortige zerstörerische Kraft.

Cyberbedrohungsakteure nutzen immer häufiger öffentliche Blockchains, um Malware-Anweisungen zu verstecken. Dadurch entstehen sogenannte „Blockchain Dead Drops“ – diese ermöglichen es den Angreifern, die Kommando- und Kontrollinfrastruktur fast unauffindbar zu halten. Laut Forschungen von Chainalysis stellen Staaten, insbesondere jene, die mit Nordkorea und Iran verbunden sind, die Mehrheit dieser Aktivitäten. Die Blockchain Dead Drops speichern die Malware-Anweisungen in On-Chain-Transaktionen und Smart Contracts, sodass infizierte Geräte die Anweisungen auf Anfrage abrufen können. Diese Beständigkeit sorgt dafür, dass die Angriffe über längere Zeit anhalten können.Blockchains sind widerstandsfähig gegen Zensur.Und kann nicht wie traditionelle zentrale Server offline genommen werden.

Die Einführung dieser Technik hat sich stark beschleunigt. Die böswilligen Blockchain-Änderungen sind um 440% gestiegen, seit der Einführung von Hochkapazitäts, Open-Source-Chinesischen-KI-Modellen, die keine Einschränkungen bezüglich der Erstellung böser Code haben. Diese Tools haben die historischen Hürden für die Einführung solcher Techniken beseitigt, sodass weniger erfahrene Akteure komplexe BDDs einsetzen können. Staatliche Akteure entwickeln weiterhin Techniken, die von Cyberkriminellen eingesetzt werden – wie zum Beispiel „EtherHiding“.Versteckt bösen Code in Smart ContractsAuf EVM-kompatiblen Chains wie Binance Smart Chain (BSC).

Spezifische Fallstudien zeigen unterschiedliche Betriebsmethoden auf. Die mit Nordkorea verbundenen Gruppe UNC5342 nutzt eine Strategie der „Cross-Chain-Relaying“, bei der TRON, Aptos und BSC genutzt werden. Die infizierten Geräte fragen zunächst TRON ab; falls das nicht funktioniert, fragen sie Aptos ab. Beide Anbieter leiten die Geräte zu Transaktionen auf BSC weiter, in denen verschlüsselte Daten vorliegen. Diese Redundanz macht es schwierig, die Systeme zu unterbrechen.Die Angreifer müssen auf mehreren Chains agieren.Gleichzeitig.

Iransche Personen, die mit dem Geheimdienst zusammenhängen, haben C2-Routing-Daten in Bitcoin-Transaktionen eingebaut – genauer gesagt innerhalb des OP._Das RETURN-Feld verwendet eine bekannte Adresse aus der Zeit von Satoshi als dauerhaften Suchpunkt. Die russischsprachigen Cyberkriminellen nutzen hingegen…Malware-as-a-Service-Modell bei PolygonDabei werden Smart Contracts als programmierbare Speicherlösungen für C2-Resolver verwendet – diese werden von einem zentralen Operator gesteuert.

Warum dominieren staatliche Akteure die Infrastruktur des On-Chain-Malware?

Der Anstieg der BDDs um 440% seit Mitte 2025 liegt an der Einführung von hochkapazienten Open-Source-China-AI-Modellen, die keine Einschränkungen bezüglich der Erzeugung bösartigen Codes haben. Historisch gesehen war es notwendig, um effektive BDDs zu entwickeln, erhebliche Kenntnisse im Sicherheitszustand zu besitzen. Doch diese Tools haben den Zugang zu solchen Tools verbreitert.Minder erfahrene Schauspieler, die komplexe Rollen übernehmen müssen.C2-Infrastruktur auf mehreren Kriptowährungen wie Bitcoin, Ethereum, TRON, Aptos und Polygon.

Während die Cyberkriminellen bis Anfang 2024 fast alle Aktivitäten veranstalteten, erbrachten staatlich verbundene Gruppen bis zum zweiten Halbjahr 2026 etwa zwei Drittel der neuen Aktivitäten. Diese Veränderung zeigt eine strategische Entscheidung hin zu einer langfristigen Beständigkeit der Kampagnen. Die Verteidiger stehen vor erheblichen Herausforderungen.Das Blockieren des Blockchain-Verkehrs würde die Infrastruktur stören.Legale DeFi- und Walletservices.

Die Gefahr liegt in der Langlebigkeit dieser Kampagnen – nicht in einer Zunahme ihrer zerstörerischen Fähigkeiten. Durch das Speichern von Daten auf unveränderlichen Public-Blockchains sorgen Angreifer dafür, dass…Die Kommando- und Kontrollinfrastruktur bleibt zugänglich.Selbst wenn traditionelle Domains, Server oder Code-Repositories beschlagnahmt oder offline genommen werden.

Wie anpassen sich die Verteidiger an taktiken, die widerstandsfähig gegen Angriffe sind?

Die Verteidiger stehen vor Herausforderungen: Das Blockieren des Blockchain-Verkehrs würde legitime Dienste stören. Stattdessen sind Blockchain-Intelligenzplattformen unerlässlich, um diese unveränderlichen, timegesteckten Aktivitäten auf dem Blockchain-Netzwerk zu erkennen, die Wallets der Operator zu identifizieren und die Gegner zu analysieren, um gezielte Reaktionen einleiten zu können. Jede Aktivität auf dem Blockchain-Netzwerk ist dauerhaft und timegesteckt – dadurch können Analysten die Wallets der Operator verfolgen und die betriebenen Aktionen analysieren.

Die Überwachung der Outbound-JSON-RPC-Aufrufe zu öffentlichen Blockchain-Endpunkten dient als skalierbarer Frühwarnsignal für Organisationen, die Einblick in diese Endpunkte haben. Die Blockchain-Intelligenz bietet einen Weg vorwärts – indem sie die Unveränderlichkeit dieser Netzwerke nutzt. Diese Methode ermöglicht es den Verteidigern, die Entwicklung der Angriffsinfrastruktur zu verfolgen und Muster im Verhalten der Angreifer zu erkennen.

Die Technik hat sich von den frühen Bitcoin-Forks wie Namecoin im Jahr 2013 bis zu den modernen EVM-Chains entwickelt. Gruppen wie UNC5342 nutzen komplexe Multi-Chain-Relays, um die Erkennung zu vermeiden. Chainalysis hat über 15 Kampagnen und Bedrohungsscharen identifiziert, die BDDs verwenden – das zeigt die Größe dieser neuen Bedrohungsvektoren.

Die täglichen bösen Aktivitäten auf der Kette stiegen in weniger als einem Jahr von 2,06 auf 11,1 an. Chainalysis bezeichnet diese Technik als „Blockchain Dead Drops“ – bei diesen Methoden erzeugen die Akteure aus Nordkorea und Iran die meisten Aktivitäten. Das Unternehmen weist darauf hin, dass diese Technik bereits seit 2013 existiert, mit dem Necurs-Botnetz auf Namecoin. Inzwischen hat sich die Technik stark weiterentwickelt und ist im Jahr 2023 auch auf die Ethereum Virtual Machine-Chains durch EtherHiding übergesetzt worden.

Die jüngste Zunahme der Aktivitäten wird auf Mitte 2025 datiert. Zu dieser Zeit wurden starke chinesische Modelle ohne jegliche Sicherheitsmaßnahmen veröffentlicht – ohne dass dabei Vorsichtsmaßnahmen gegen das Schreiben bösartiger Code eingehalten wurden. Dadurch wurde die Barriere der Fähigkeiten, die bisher dazu führten, dass „Dead Drops“ selten vorkamen, beseitigt. Obwohl Chainalysis nicht in allen Fällen nachweisen konnte, dass KI tatsächlich genutzt wird, stellten sie fest…Klarere zeitliche Verbindungen zwischen den ModellenUnd der Anstieg der Aktivität.

Die Gruppe UNC5342 in Nordkorea nutzt beispielsweise eine dreistufige Verbindung zwischen TRON und Aptos, um infizierte Geräte auf die BNB Smart Chain zu leiten. Dabei wird die Infrastruktur durch die Veröffentlichung neuer Transaktionen aktualisiert – diese werden von allen infizierten Geräten automatisch erfasst. Diese Methode umgeht traditionelle Verteidigungsmaßnahmen wie die Beschlagnahmung von Domains oder die Löschung von Hosting-Diensten.

Iransche Betreiber haben ebenfalls Bitcoin verwendet, um kodierte Befehl- und Kontrolldaten zu speichern. Dabei wurden oft kleine Beträge an Adressen übermittelt, die historisch mit Satoshi Nakamoto in Verbindung stehen – damit ihre Aktivitäten verborgen bleiben. Diese Methode sorgt dafür, dass kompromittierte Geräte immer wieder aktuelle Angriffsinformationen erhalten können.Die Störungen sind deutlich schwieriger zu bewältigen.Im Vergleich zur traditionellen Web2-Infrastruktur sind die Vorzüge für Verteidiger deutlich größer.

Russische Cyberkriminalitätsgruppen nutzen Smart Contracts von Polygon für die Durchführung von Malware-as-a-Service-Aktivitäten. Diese Smart Contracts fungieren als widerstandsfähige C2-Resolver, sodass ein zentraler Operator die Verbreitung von Malware-Anweisungen auf eine breite Netzwerk von kompromittierten Geräten kontrollieren kann.

Der Übergang von Cyberkriminellen zu staatlichen Akteuren zeigt eine strategische Entscheidung, um die Langlebigkeit von Kampagnen über längere Zeiträume zu gewährleisten. Durch die Unveränderlichkeit der öffentlichen Blockchains können diese Gruppen ihre Aktivitäten auch nachdem die traditionelle Hosting-Infrastruktur besetzt oder blockiert wurde, weiterhin aufrechterhalten. Es wird erwartet, dass dieser Trend weiterhin bestehen bleibt, da KI-Tools die technischen Barrieren für die Implementierung komplexer On-Chain-Malware-Infrastrukturen weiter reduzieren.

Die Verteidiger müssen ihre Strategien anpassen, um diese neue Realität zu bewältigen. Die traditionellen Methoden zur Bekämpfung von Bedrohungen sind gegen die auf Blockchain basierende C2-Infrastruktur nicht mehr effektiv. Stattdessen müssen Organisationen in die Blockchain-Intelligenz sowie in die Analyse von Daten auf dem Blockchain-System investieren, um diese anhaltenden Bedrohungen zu erkennen und zu verringern. Der Aufstieg staatlich finanzierter Blockchain-Bedrohungen stellt eine bedeutende Entwicklung im Bereich des Cyberkrieges dar – mit Folgen für die globale Sicherheit und die Sicherheit digitaler Vermögenswerte.

Die Verfügbarkeit von ungebundenen Open-Source-AI-Modellen hat die Situation bezüglich Cyberbedrohungen grundlegend verändert. Durch die Automatisierung der Erstellung schädlichen Codes ermöglichen diese Tools es einer breiteren Anzahl von Akteuren, komplexe Angriffe durchzuführen. Das Ergebnis ist eine Zunahme der Malware-Infrastruktur auf Blockchain-Basis – diese ist zwar widerstandsfähiger, aber auch schwieriger zu unterbrechen.

Da die staatlichen Akteure weiterhin ihre Anwendung von Blockchain-Dead Drops verbessern, wird die Notwendigkeit robuster Verteidigungsmaßnahmen immer wichtiger. Die Unveränderlichkeit öffentlicher Blockchain-Netzwerke, die einst als Vorteil für Transparenz und Sicherheit angesehen wurde, wird nun genutzt, um böswillige Aktivitäten zu verbergen. Dieses Paradoxon zeigt die doppelte Nutzung der Blockchain-Technologie auf und die Herausforderungen, die sie für die Cybersicherheit darstellt.

Die Entwicklung der Nutzung öffentlicher Blockchain-Netzwerke für Malware-Infrastrukturen wird vermutlich weiterhin anhalten, solange die technischen Hürden gering bleiben. Die Einführung von KI-Tools hat es Angreifern ermöglicht, komplexe Malware-Infrastrukturen leichter einzusetzen. Es gibt keine Anzeichen dafür, dass diese Hürden in nächster Zeit zunehmen werden. Daher müssen Verteidiger weiterhin wachsam und anpassungsfähig bleiben, um gegen diese sich entwickelnden Bedrohungen vorzugehen.