Les attaques de “Blockchain Dead Drop” ont augmenté de 440 %, car les acteurs étatiques utilisent l’infrastructure en ligne.

• Les acteurs menaçants, en particulier les groupes financés par l’État en Corée du Nord et en Iran, utilisent de plus en plus les blockchains publiques pour héberger des instructions de commande et de contrôle pour le malware. Cela permet d’établir des infrastructures persistantes qui résistent aux actions de suppression traditionnelles.
• Les opérateurs de nations-états représentent maintenant environ deux tiers des activités liées aux Blockchain Dead Drop (BDD). Ils utilisent des codes générés par l’IA pour automatiser les actions malveillantes et assurer la pérennité des campagnes.
• Le principal facteur qui explique cette augmentation est la disponibilité de modèles d’IA open source sans restrictions. Cela a considérablement réduit les barrières techniques pour l’implémentation de systèmes BDD complexes sur plusieurs chaînes.
• Ce passage des criminels informatiques aux acteurs étatiques reflète une décision stratégique visant à assurer la durabilité d’une campagne à long terme. On privilégie donc la résilience face aux interruptions de l’infrastructure, plutôt que le pouvoir destructeur immédiat.

Les acteurs de menaces cyber utilisent de plus en plus les blockchains publiques pour cacher les instructions de malwares. Ils créent donc des “dead drops blockchain” qui rendent l’infrastructure de commandement et contrôle quasi impossible à saisir ou à détruire. Selon une étude de Chainalysis, les acteurs nationaux, en particulier ceux liés à la Corée du Nord et à l’Iran, représentent désormais la majorité de ces activités. Les dead drops blockchain stockent les données malwares dans des transactions sur le réseau blockchain et des contrats intelligents, permettant aux appareils infectés d’obtenir les instructions nécessaires à tout moment. Cette permanence permet donc aux attaques de durer longtemps.Les blockchains sont résistantes à la censure.Et ne peut pas être déconnecté comme les serveurs centralisés traditionnels.

L’adoption de cette technique s’est accélérée considérablement. Les écritures malveillantes sur les blockchains ont augmenté de 440 % depuis le lancement des modèles d’IA chinois open source à haute capacité, qui ne sont pas soumis à aucune restriction concernant la génération de code malveillant. Ces outils ont permis aux acteurs moins expérimentés de mettre en œuvre des systèmes BDD complexes. Les acteurs étatiques améliorent également les techniques utilisées par les cybercriminels, comme « EtherHiding ».Incorpore un code malveillant dans les contrats intelligentsSur des chaînes compatibles avec EVM, comme la Binance Smart Chain (BSC).

Des études de cas spécifiques mettent en évidence des méthodes opérationnelles distinctes. Le groupe lié à la Corée du Nord, UNC5342, utilise une stratégie de relais entre différentes chaînes de valeurs : TRON, Aptos et BSC. Les appareils infectés demandent d’abord des informations sur TRON ; si cela échoue, ils se tournent vers Aptos. Ces deux sources les orientent vers une transaction sur BSC contenant des données chiffrées destinées aux commandants ennemis. Cette redondance rend difficile toute interruption de ces processus.Les attaquants doivent agir sur plusieurs chaînes.en même temps.

Des acteurs iraniens relevant du Ministère de l’Intelligence ont intégré des données de routage C2 dans les transactions Bitcoin, en particulier dans le cadre de l’OP._Champ de retour : utilisation d’une adresse connue de l’époque de Satoshi comme point de recherche permanent. Par ailleurs, les groupes criminels informatiques en langue russe utilisent…Modèle de malware comme service sur PolygonEn utilisant les contrats intelligents comme stockage programmable pour les résolvers C2, gérés par un opérateur central.

Pourquoi les acteurs étatiques dominent-ils l’infrastructure de malware sur le réseau blockchain ?

L’augmentation des BDDs, qui a atteint 440 % depuis le milieu de l’année 2025, est due à la mise en place de modèles d’IA chinois open source à haute capacité, sans aucune restriction sur la génération de code malveillant. Historiquement, la création de BDDs efficaces nécessitait une grande expertise en cybersécurité. Mais ces outils ont rendu l’accès à ces technologies plus accessible pour tous.Des acteurs moins expérimentés pour utiliser des scènes complexes.Infrastructure C2 sur plusieurs chaînes telles que Bitcoin, Ethereum, TRON, Aptos et Polygon.

Alors que les criminels informatiques représentaient près de toutes les activités jusqu’au début de 2024, les groupes liés à l’État ont été responsables d’environ deux tiers des nouvelles activités d’ici le second semestre 2026. Ce changement reflète une démarche stratégique visant à assurer la durabilité des campagnes à long terme. Les défenseurs font face à des défis importants…Bloquer le trafic de blockchain provoquerait des disruptions.Services DeFi légitimes et de portefeuille.

Le danger réside dans la durée de ces campagnes, et non dans une augmentation de leur capacité destructrice. En stockant des données sur des chaînes de blocs publiques immuables, les attaquants assurent que…L’infrastructure de commande et de contrôle reste accessible.Même si les domaines traditionnels, les serveurs ou les reposes de code sont capturés ou indisponibles.

Comment les défenseurs s’adaptent-ils aux tactiques résistantes aux attaques ?

Les défenseurs sont confrontés à des difficultés : empêcher le trafic sur la blockchain pourrait entraver les services légitimes. En revanche, les plateformes de surveillance blockchain sont essentielles pour détecter ces mouvements inaltérables et enregistrés sur la chaîne, pour cartographier les comptes des opérateurs et pour identifier les adversaires afin de pouvoir réagir en conséquence. Chaque mouvement sur la blockchain est permanent et enregistré, ce qui permet aux analystes de cartographier les comptes des opérateurs et d’attribuer les campagnes menées par eux.

Le suivi des appels JSON-RPC sortants vers des endpoints de blockchain publics constitue un signal d’alerte précoce et scalable pour les organisations qui ont une visibilité sur ces endpoints. L’intelligence blockchain offre ainsi une voie à suivre, en profitant de l’immutabilité de ces réseaux. Cet approche permet aux défenseurs de suivre l’évolution des infrastructures d’attaque et d’identifier les patterns dans le comportement des attaquants.

La technique a évolué, passant des premiers forks de Bitcoin comme Namecoin en 2013 à des chaînes EVM modernes. Des groupes tels que UNC5342 utilisent des systèmes de relais multichain complexes pour éviter la détection. Chainalysis a identifié plus de 15 campagnes et groupes de menaces qui utilisent des BDD, ce qui montre l’ampleur de cette menace en évolution.

Les actions malveillantes sur les chaînes de blocs ont augmenté de 2,06 à 11,1 en moins d’un an. Chainalysis qualifie cette technique de « blockchains dead drops » (BDDs) : des opérateurs liés à l’État en Corée du Nord et en Iran sont responsables de la plupart des activités liées à ces techniques. L’entreprise souligne que cette technique remonte à 2013, avec le botnet Necurs sur Namecoin. Mais elle s’est considérablement développée, atteignant les chaînes de machine virtuelle Ethereum en 2023 grâce à EtherHiding.

L’augmentation récente des activités s’explique par la mi-2025, lorsque de puissants modèles chinois de type open-weight ont été lancés sans aucune protection contre la création de codes malveillants. Cela a permis d’éliminer le barrage de compétences qui, auparavant, rendait les “dead drops” rares. Bien que Chainalysis ne puisse pas prouver avec certitude l’utilisation de l’IA dans tous les cas, ils ont noté…Association temporelle claire entre les modèlesEt l’augmentation de l’activité.

Par exemple, le groupe UNC5342 de Corée du Nord utilise une chaîne de relais triple, en utilisant TRON et Aptos, afin de diriger les appareils infectés vers la chaîne BNB Smart Chain. L’infrastructure est renouvelée en publiant de nouvelles transactions, ce qui permet aux appareils infectés de les recevoir automatiquement. Cette méthode permet de contourner les défenses traditionnelles, comme les saisies de domaines ou les fermetures d’hébergements.

Les opérateurs iraniens ont également utilisé Bitcoin pour stocker des données de commande et de routage codées. Ils envoyaient souvent de petites sommes d’argent vers des adresses liées à Satoshi Nakamoto, afin de dissimuler leurs activités. Cette méthode permet aux appareils compromises de pouvoir toujours obtenir des instructions d’attaque mises à jour.La disruption est beaucoup plus difficile.Pour les défenseurs, comparé à l’infrastructure traditionnelle de Web2.

Les groupes criminels informatiques en langue russe utilisent les contrats intelligents de type Polygon pour des activités liées au service de malwares (MaaS). Ces contrats intelligents fonctionnent comme des dispositifs de résolution des requêtes C2, permettant à un opérateur central de gérer la distribution des instructions de malwares vers une grande quantité d’appareils compromis.

Le passage des criminels informatiques aux acteurs étatiques reflète une démarche stratégique visant à garantir la durabilité à long terme de leurs campagnes. En utilisant l’immutabilité des blockchains publiques, ces groupes peuvent maintenir leur activité même après que l’infrastructure d’hébergement traditionnelle soit contrôlée ou bloquée. On s’attend à ce que cette tendance continue, car les outils d’IA réduisent davantage les obstacles techniques pour l’implémentation de infrastructures malveillantes complexes sur le réseau blockchain.

Les défenseurs doivent adapter leurs stratégies pour s’adapter à cette nouvelle réalité. Les méthodes traditionnelles de neutralisation ne sont plus efficaces face aux infrastructures C2 basées sur le blockchain. En revanche, les organisations doivent investir dans l’intelligence blockchain et l’analyse en ligne pour détecter et atténuer ces menaces persistantes. L’émergence de ces “dead drops” basés sur le blockchain, financés par des États, représente une évolution importante dans la guerre cybernétique, avec des conséquences pour la sécurité mondiale et la sécurité des actifs numériques.

L’accès aux modèles d’IA open source sans restrictions a profondément changé le paysage des menaces cybernétiques. En automatisant la création de codes malveillants, ces outils ont permis à un plus grand nombre d’acteurs de lancer des attaques sophistiquées. Le résultat est une augmentation de l’infrastructure de malwares basés sur la blockchain, qui devient à la fois plus résiliente et plus difficile à détruire.

Alors que les acteurs étatiques continuent à perfectionner l’utilisation des “dead drops” basés sur la blockchain, il devient de plus en plus essentiel de mettre en place des mesures défensives solides. L’immutabilité des chaînes de blocs publiques, autrefois considérée comme un avantage pour la transparence et la sécurité, est désormais utilisée pour cacher des activités malveillantes. Ce paradoxe souligne la nature doublement utilisable de la technologie blockchain, ainsi que les défis qu’elle pose pour la cybersécurité.

La tendance à utiliser les blockchains publiques pour créer des infrastructures de malwares devrait persister tant que les barrières techniques restent faibles. L’introduction des outils d’IA a facilité la mise en œuvre par les attaquants de systèmes complexes de type BDD. Il n’y a aucun signe que ces barrières augmenteront dans un avenir proche. Par conséquent, les défenseurs doivent rester vigilants et adaptatifs dans leur approche pour lutter contre ces menaces en constante évolution.