Tăng vọt 440% lệnh mã độc blockchain liên quan đến các mô hình AI Trung Quốc: Chainalysis

Chainalysis báo cáo rằng kể từ khi các mô hình AI nguồn mở không hạn chế của Trung Quốc ra đời, tin tặc đã đăng các hướng dẫn phần mềm độc hại lên blockchain thường xuyên hơn 440%. Trong vòng chưa đầy một năm, số lượng ghi on-chain độc hại hàng ngày đã tăng từ 2,06 lên 11,1.

Kỹ thuật này được Chainalysis gọi là hộp thư chết blockchain (BDD). Công ty phát hiện ra rằng phần lớn hoạt động hiện nay đến từ các nhà khai thác có liên kết nhà nước từ Triều Tiên và Iran.

Khả năng chống kiểm duyệt hiện được khai thác như một tài sản hack

Theo báo cáo mới nhất của mình, Chainalysis chỉ ra rằng trước đây tin tặc lưu trữ mã độc trên các máy chủ tập trung, có thể bị tịch thu, chặn hoặc đưa ra ngoại tuyến. Tuy nhiên, hiện tại tin tặc lưu trữ mã như vậy trên các blockchain công khai.

“Chúng tôi gọi kỹ thuật này là ‘hộp thư chết blockchain’ (BDD). BDD lưu trữ tải trọng trong các giao dịch on-chain và hợp đồng thông minh, nơi các thiết bị bị nhiễm có thể truy xuất chúng theo yêu cầu. Tính vĩnh viễn của blockchain mang lại cho các chiến dịch tấn công mạng khả năng tồn tại lâu dài; chúng có thể liên lạc với các máy bị xâm nhập mà không sợ mất bộ chuyển tiếp chỉ huy và kiểm soát (C2) của mình,” báo cáo viết.

Công ty nhấn mạnh rằng mối đe dọa nằm ở độ bền chứ không phải hỏa lực. Các chiến dịch tồn tại lâu hơn các vụ tịch thu tên miền, đánh sập máy chủ lưu trữ và xóa kho lưu trữ. Kỹ thuật này đã có từ năm 2013, khi một biến thể của botnet Necurs lưu trữ tên miền trên một nhánh của Bitcoin (BTC) có tên là Namecoin.

Đến năm 2023, nó đã xuất hiện trên các chuỗi Máy ảo Ethereum (EVM) với tên gọi EtherHiding. Sau đó, Google đã phát hiện ra UNC5342 của Triều Tiên sử dụng kỹ thuật này trong các cuộc phỏng vấn xin việc giả mạo.

Theo Chainalysis, sự bùng nổ gần đây được cho là bắt đầu từ giữa năm 2025. Vào thời điểm đó, các mô hình Trung Quốc trọng lượng mở mạnh mẽ đã được ra mắt mà không có rào cản chống viết mã độc. Theo công ty, điều này đã loại bỏ rào cản kỹ năng trước đây khiến hộp thư chết hiếm khi xảy ra.

Sự lây lan hiện nay vượt xa tiền điện tử. Các nhà nghiên cứu tại Netskope báo cáo rằng cuộc tấn công chuỗi cung ứng ChainDrop đã ảnh hưởng đến hơn 440 gói npm vào tháng 8 năm 2026.

Triều Tiên, Iran và các diễn đàn Nga mỗi bên xây dựng kịch bản riêng

Cho đến đầu năm 2024, tội phạm mạng chịu trách nhiệm cho hầu hết các hoạt động hộp thư chết. Đến quý 2 năm 2026, các nhóm liên kết nhà nước đã tạo ra khoảng hai phần ba hoạt động mới mỗi quý và một nửa tổng số hoạt động.

UNC5342 của Triều Tiên hiện vận hành một hệ thống chuyển tiếp ba chuỗi. Các con trỏ trên TRON (TRX) và Aptos (APT) hướng các thiết bị bị nhiễm đến các thiết bị được mã hóa trên BNB Smart Chain.

“Kẻ tấn công luân chuyển cơ sở hạ tầng bằng cách xuất bản các giao dịch mới và mọi thiết bị đã bị nhiễm trước đó sẽ tự động nhận thay đổi. Để làm gián đoạn hoạt động, cần phải hành động đồng thời trên cả ba chuỗi,” nhóm nghiên cứu lưu ý.

Các nhà khai thác tình báo Iran bị tình nghi thực hiện các khoản thanh toán Bitcoin nhỏ đến một địa chỉ nổi tiếng liên quan đến Satoshi Nakamoto. Chainalysis cho biết phần mềm độc hại tìm kiếm dữ liệu trong mỗi giao dịch, sau đó giải mã nó để có được cơ sở hạ tầng kẻ tấn công hiện tại.

Trong khi đó, tội phạm nói tiếng Nga cung cấp khả năng này như một dịch vụ. Ví của người điều hành trên Polygon (POL) quản lý một nhóm các hợp đồng phân giải, mỗi hợp đồng dường như phục vụ một khách hàng trả tiền riêng biệt.

Báo cáo lưu ý rằng người phòng thủ không thể chỉ đơn giản chặn lưu lượng blockchain mà không làm gián đoạn tất cả các ví và ứng dụng hợp pháp. Tuy nhiên, tính vĩnh viễn tương tự bảo vệ tin tặc cũng để lại mọi bản cập nhật trên sổ cái công khai.

Liệu các nhà điều tra có thể chuyển đổi dấu vết đó thành các vụ bắt giữ nhanh hơn so với tốc độ các công cụ AI tạo ra các nhà điều hành mới hay không vẫn là câu hỏi mở.