Les attaquants publient des instructions contenant des logiciels malveillants sur des blockchains 440 % plus souvent depuis l’arrivée de modèles d’IA chinois open source sans restriction, rapporte Chainalysis. En moins d’un an, le nombre quotidien d’écritures malveillantes sur la chaîne est passé de 2,06 à 11,1.
Chainalysis appelle cette technique les caches mortes sur blockchain (BDD). Selon l’entreprise, des opérateurs liés à des États, originaires de Corée du Nord et d’Iran, sont désormais à l’origine de la majeure partie de cette activité.
La résistance à la censure devient un atout pour les pirates informatiques
Dans son dernier rapport, Chainalysis souligne que les pirates stockaient du code malveillant sur des serveurs centralisés susceptibles d’être saisis, bloqués ou mis hors ligne. Mais aujourd’hui, les attaquants le stockent sur des blockchains publiques.
« Nous appelons cette technique les “caches mortes sur blockchain” (BDD). Les BDD stockent des charges utiles dans des transactions sur la chaîne et des contrats intelligents, que les appareils infectés peuvent récupérer à la demande. La permanence des blockchains confère une grande longévité aux campagnes cybercriminelles des acteurs malveillants ; ceux-ci peuvent communiquer avec des machines compromises sans craindre de perdre leur relais de commande et de contrôle (C2) », indique le rapport.
L’entreprise insiste sur le fait que le danger réside dans la durabilité, et non dans la puissance de frappe. Les campagnes survivent aux saisies de domaines, aux fermetures d’hébergements et aux suppressions de dépôts. Cette technique remonte à 2013, lorsqu’une variante du botnet Necurs stockait des domaines sur Namecoin, une blockchain dérivée de Bitcoin (BTC).
Elle a gagné les chaînes utilisant la machine virtuelle Ethereum (EVM) en 2023, sous le nom d’EtherHiding. Google a ensuite surpris UNC5342, un groupe nord-coréen, en train de l’utiliser lors de faux entretiens d’embauche.
Chainalysis situe la récente explosion au milieu de 2025. C’est à ce moment-là que de puissants modèles chinois à poids ouverts ont été lancés sans garde-fous contre la rédaction de code malveillant. Cela a supprimé la barrière de compétences qui rendait autrefois les dépôts morts rares, a indiqué l’entreprise.
La propagation dépasse désormais largement le secteur des cryptomonnaies. Selon les chercheurs de Netskope, l’attaque de la chaîne d’approvisionnement ChainDrop a touché plus de 440 paquets npm en août 2026.
Suivez-nous sur X pour obtenir les dernières nouvelles au fur et à mesure qu'elles arrivent
Pyongyang, Téhéran et les forums russes écrivent leurs propres modes opératoires
Les cybercriminels étaient à l’origine de la quasi-totalité des activités liées aux dépôts morts jusqu’au début de 2024. Au deuxième trimestre 2026, les groupes liés à des États étaient à l’origine d’environ deux tiers des nouvelles activités chaque trimestre et de la moitié du total.
L’UNC5342 nord-coréen utilise désormais un relais à trois chaînes. Des pointeurs sur TRON (TRX) et Aptos (APT) dirigent les appareils infectés vers des appareils chiffrés sur BNB Smart Chain.
« L’attaquant fait tourner son infrastructure en publiant de nouvelles transactions, et chaque appareil déjà infecté récupère automatiquement le changement. Pour perturber l’opération, il faudrait intervenir simultanément sur les trois chaînes », a indiqué l’équipe.
Des agents du renseignement iraniens présumés envoient de minuscules paiements en bitcoins à une adresse bien connue associée à Satoshi Nakamoto. Chainalysis a indiqué que le logiciel malveillant recherche des données dans chaque transaction, puis les décode pour récupérer l’infrastructure actuelle de l’attaquant.
Pendant ce temps, des criminels russophones vendent cette capacité en tant que service. Un portefeuille d’opérateur sur Polygon (POL) contrôle une flotte de contrats de résolution, chacun semblant servir un client payant différent.
Les défenseurs ne peuvent pas simplement bloquer le trafic blockchain sans perturber tous les portefeuilles et toutes les applications légitimes, souligne le rapport. Cependant, la même permanence qui protège les attaquants laisse chaque mise à jour inscrite dans un registre public.
La question reste de savoir si les enquêteurs peuvent exploiter cette piste pour procéder à des arrestations plus vite que les outils d’IA ne créent de nouveaux opérateurs.
Abonnez-vous à notre chaîne YouTube pour regarder des leaders et des journalistes fournir des analyses d'experts
Source : BeInCrypto
