区块链恶意软件指令激增440%，与中国AI模型有关：Chainalysis

Chainalysis已报告，自不受限制的中国开源AI模型推出以来，攻击者向区块链发布恶意软件指令的频率增加了440%。在不到一年的时间里，每日恶意链上写入次数从2.06次增加到11.1次。

该技术被Chainalysis称为区块链死信投递（BDDs）。该公司发现，现在大部分活动是由来自朝鲜和伊朗的国家关联操作者生成的。

抗审查机制现在被利用为黑客资产

根据其最新报告，Chainalysis指出，黑客之前将恶意代码存储在中心化服务器上，这些服务器可能被扣押、封锁或下线。然而现在，攻击者将此类代码存储在公共区块链上。

“我们将这种技术称为‘区块链死信投递’（BDD）。BDD将有效载荷存储在链上交易和智能合约中，受感染设备可按需检索。区块链的持久性使威胁行为者的网络攻击活动具有长久性；他们可以与受感染机器通信，而无需担心失去其命令与控制（C2）中继，”报告写道。

该公司强调，威胁在于持久性而非火力。活动比域名扣押、托管取缔和仓库移除更持久。该技术可追溯到2013年，当时Necurs僵尸网络的一个变种将域名存储在名为Namecoin的比特币（BTC）分叉上。

到2023年，该技术以EtherHiding的名称出现在以太坊虚拟机（EVM）链上。后来，谷歌发现朝鲜的UNC5342在虚假工作面试中使用该技术。

Chainalysis将最近的激增归因于2025年中。当时，强大的开放权重中国模型在没有针对编写恶意代码的防护措施的情况下推出。据该公司称，这消除了此前使死信投递稀有的技能障碍。

目前这种传播已远远超出加密货币领域。Netskope的研究人员报告称，ChainDrop供应链攻击在2026年8月影响了超过440个npm包。

朝鲜、伊朗和俄罗斯论坛各自制定自己的剧本

直到2024年初，网络犯罪分子几乎负责所有死信投递活动。到2026年第二季度，国家关联团体每个季度产生约三分之二的新活动，并占总体活动的一半。

朝鲜的UNC5342现在运营一个三链中继。TRON（TRX）和Aptos（APT）上的指针将受感染设备引导至BNB智能链上的加密设备。

“攻击者通过发布新交易轮换基础设施，每个先前受感染的设备自动获取更改。要中断该操作需要在所有三条链上同时采取行动，”团队指出。

疑似伊朗情报操作者向一个与中本聪相关的知名地址进行小额比特币支付。Chainalysis称，恶意软件在每个交易中搜索数据，然后解码以获取当前攻击者基础设施。

与此同时，俄语犯罪分子将该能力作为服务提供。Polygon（POL）上的一个操作者钱包管理着一组解析合约，每个合约似乎服务于不同的付费客户。

报告指出，防御者不能简单地屏蔽区块链流量而不干扰所有合法钱包和应用程序。然而，保护攻击者的同一持久性也将每次更新留在了公共账本上。

调查人员能否比AI工具创造新操作者更快地将这一线索转化为逮捕，仍是一个悬而未决的问题。