Hackers vinculados a Corea del Norte e Irán lideran un aumento de 5,2 veces en el malware almacenado en cadenas de bloques públicas

Chainalysis señaló específicamente a hackers con vínculos con Corea del Norte e Irán como responsables de la mayor parte del aumento del 420% que detectó en el número de casos en los que los atacantes escribieron instrucciones de malware o datos de infraestructura en cadenas de bloques públicas durante el último año. 

El informe publicado el jueves por la firma de análisis de blockchain hizo saltar las alarmas en las plataformas de intercambio, los proveedores de monederos y los equipos de seguridad, ya que este tipo de códigos maliciosos explotan la naturaleza de blockchain para persistir durante más tiempo que aquellos alojados en servidores o dominios tradicionales que pueden ser desactivados mediante la incautación del sitio.

¿Qué es un punto de entrega seguro en blockchain? 

Según Chainalysis, la técnica de "punto muerto en la cadena de bloques" o BDD (Blockchain Dead Drop) consiste en que los atacantes colocan cargas útiles y punteros de comando y control dentro de transacciones en la cadena ytracinteligentes. De esta forma, las máquinas infectadas pueden recuperarlos cuando sea necesario. 

Este método se popularizó entre los hackers debido a que la tecnología blockchain, por su propia naturaleza, aumenta exponencialmente la viabilidad de los datos almacenados. Las campañas mueren naturalmente cuando se confisca el dominio, se interrumpe el alojamiento o se elimina el repositorio de código. Sin embargo, las instrucciones almacenadas en un registro público persisten y permanecen accesibles en todas estas circunstancias.

Según Chainalysis, el primer caso registrado de esta táctica se remonta a 2013, cuando una variante de la botnet Necurs alojó sus dominios C2 en Namecoin. En un caso aparte de 2019, los operadores de la botnet minera Glupteba utilizaron el campo OP_RETURN de Bitcoinpara ocultar datos. 

Esta tendencia se extendió bajo la etiqueta EtherHiding a Ethereuma mediados de 2023. El primer caso de este tipo ocurrió cuando los operadores de ClearFake migraron su código de robo de información a BNB Smart Chain después de que Cloudflare desactivara sus servidores. 

A principios de 2024, los ciberdelincuentes comunes eran responsables de la mayor parte de la actividad. Sin embargo, en el segundo trimestre de 2026, Chainalysis informa que los operadores estatales ahora registran aproximadamente dos de cada tres puntos de entrega fallidos en las cadenas de bloques públicas. 

Operadores norcoreanos e iraníes están activos 

Chainalysis completó el ciclo de una investigación al conectar un conjunto de transacciones previamente no atribuidas a través de tres redes con un grupo vinculado a Corea del Norte que figuraba en el radar de Google Threat Intelligence, UNC5342. 

Esa campaña, que enrutaba los dispositivos infectados a través de Tron, Aptos como respaldo y que terminaba en la misma transacción BNB Smart Chain, reflejó otro caso de 2025 en el que piratas informáticos norcoreanos implantaron código de robo de criptomonedas dentro detracinteligentes al estilo Ethereum(EtherHiding).

Chainalysis también encontró vínculos con el Ministerio de Inteligencia de Irán mientras investigaba una operación que codificaba datos de enrutamiento C2 directamente en la cadena de bloques Bitcoin . 

El método iraní tenía la peculiaridad de enviar pequeños pagos desde las carteras de los atacantes a una Bitcoin que, según los rumores, tenía vínculos con Satoshi Nakamoto. 

Los modelos de IA de peso abierto han ayudado a las operaciones

El aumento del 440 % en los buzones de correo maliciosos desde julio de 2025 ha coincidido con el momento en que los modelos de IA chinos de código abierto más avanzados han desbloqueado la capacidad de escribir código de nivel A.En términos absolutos, las escrituras aumentaron de aproximadamente 2,06 a 11,1 por día.

Eric Jardine, responsable de la investigación sobre ciberdelitos de Chainalysis, afirmó que la empresa no podía confirmar que los responsables de publicar las transacciones maliciosas hubieran utilizado realmente los modelos para aumentar su producción.

El informe se suma a una larga trayectoria de actividad criptográfica norcoreana. CertiK estimó en mayo que actores vinculados a la RPDC han robado alrededor de 6750 millones de dólares desde 2016 en 263 incidentesdentrecurriendo a la ingeniería social en lugar de a simples exploits de software, como Cryptopolitan informó. 

Una investigación independiente presentada en Black Hat este año amplió aún más el alcance de la operación, ya que un investigador descubrió que operadores norcoreanos se habían infiltrado en 1640 empresas de 57 países. La inteligencia estadounidense ha afirmado que los fondos obtenidos mediante estas operaciones ayudan a financiar los programas nucleares y de misiles del régimen, una acusación que Pyongyang ha negado.

No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.