Chinesische KI-Modelle sorgen für einen Anstieg blockchain-gehosteter Malware-Befehle um 440 %

Angreifer veröffentlichen seit dem Aufkommen unbeschränkter chinesischer Open-Source-KI-Modelle 440 % häufiger Malware-Anleitungen auf Blockchains, berichtete Chainalysis. Die Zahl der täglich böswilligen On-Chain-Schreibvorgänge stieg innerhalb von weniger als einem Jahr von 2,06 auf 11,1.

Chainalysis bezeichnet diese Technik als Blockchain-Dead-Drops (BDDs). Die meisten Aktivitäten gehen inzwischen auf staatlich verknüpfte Akteure aus Nordkorea und dem Iran zurück, so das Unternehmen.

Zensurresistenz wird zur Hackerwaffe

In seinem jüngsten Bericht stellte Chainalysis fest, dass Hacker Schadcode auf zentralisierten Servern speicherten, die beschlagnahmt, blockiert oder offline genommen werden konnten. Angreifer speichern ihn nun jedoch auf öffentlichen Blockchains.

„Wir nennen diese Technik ‚Blockchain-Dead-Drops‘ (BDD). Bei BDDs werden Payloads in On-Chain-Transaktionen und Smart Contracts gespeichert, von denen infizierte Geräte sie bei Bedarf abrufen können. Die Unveränderlichkeit von Blockchains verleiht den Cyberkampagnen von Bedrohungsakteuren eine lange Lebensdauer; sie können mit kompromittierten Geräten kommunizieren, ohne befürchten zu müssen, ihren Command-and-Control- (C2-)Relay zu verlieren“, heißt es in dem Bericht.

Das Unternehmen betont, dass die Gefahr in der Beständigkeit liegt, nicht in der Schlagkraft. Kampagnen überstehen die Beschlagnahmung von Domains, die Abschaltung von Hosting-Diensten und die Entfernung von Repositories. Die Technik geht auf das Jahr 2013 zurück, als eine Variante des Necurs-Botnetzes Domains auf einer Bitcoin-(BTC-)Abspaltung namens Namecoin speicherte.

2023 gelangte die Technik als EtherHiding auf Ethereum-Virtual-Machine-(EVM-)Chains. Später ertappte Google die nordkoreanische Gruppe UNC5342 dabei, wie sie sie bei gefälschten Vorstellungsgesprächen einsetzte.

Chainalysis datiert den jüngsten explosionsartigen Anstieg auf Mitte 2025. Damals kamen leistungsstarke chinesische Modelle mit offenen Gewichten auf den Markt, die keinerlei Schutzvorkehrungen gegen das Schreiben von Schadcode hatten. Dadurch fiel die Kompetenzhürde weg, die Dead Drops zuvor selten gemacht hatte, so das Unternehmen.

Die Verbreitung reicht inzwischen weit über den Kryptobereich hinaus. Forschende von Netskope berichten, dass der ChainDrop-Lieferkettenangriff im August 2026 mehr als 440 npm-Pakete traf.

Folge uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten

Pjöngjang, Teheran und russische Foren schreiben ihre eigenen Drehbücher

Bis Anfang 2024 entfiel fast die gesamte Dead-Drop-Aktivität auf Cyberkriminelle. Im zweiten Quartal 2026 verursachten staatsnahe Gruppen jedes Quartal rund zwei Drittel der neuen Aktivitäten und die Hälfte der Gesamtaktivität.

Nordkoreas UNC5342 betreibt inzwischen ein Relay über drei Blockchains. Verweise auf TRON (TRX) und Aptos (APT) leiten infizierte Geräte zu verschlüsselten Geräten auf der BNB Smart Chain.

„Der Angreifer wechselt die Infrastruktur, indem er neue Transaktionen veröffentlicht, und alle zuvor infizierten Geräte übernehmen die Änderung automatisch. Um den Betrieb zu stören, müsste gleichzeitig auf allen drei Blockchains eingegriffen werden“, merkte das Team an.

Mutmaßliche iranische Geheimdienstmitarbeiter senden winzige Bitcoin-Zahlungen an eine bekannte Adresse, die mit Satoshi Nakamoto in Verbindung steht. Laut Chainalysis sucht die Malware in jeder Transaktion nach Daten und entschlüsselt sie dann, um die aktuelle Infrastruktur des Angreifers abzurufen.

Russischsprachige Kriminelle bieten die Fähigkeit unterdessen als Dienstleistung an. Eine Betreiber-Wallet auf Polygon (POL) kontrolliert eine ganze Reihe von Resolver-Verträgen, die offenbar jeweils einen anderen zahlenden Kunden bedienen.

Die Verteidiger können den Blockchain-Datenverkehr nicht einfach blockieren, ohne jede legitime Wallet und App lahmzulegen, wie der Bericht festhielt. Doch dieselbe Unveränderlichkeit, die Angreifer schützt, sorgt dafür, dass jedes Update in einem öffentlichen Register sichtbar bleibt.

Die offene Frage ist, ob Ermittler diese Spur schneller in Verhaftungen ummünzen können, als KI-Tools neue Betreiber hervorbringen.

Abonnieren Sie unseren YouTube-Kanal, um zu sehen, wie Führungskräfte und Journalisten Experteneinblicke geben.

Quelle: BeInCrypto