區塊鏈惡意軟體指令激增 440%，與中國 AI 模型有關：Chainalysis

Chainalysis 報告指出，自中國無限制的開源 AI 模型推出以來，攻擊者在區塊鏈上發布惡意軟體指令的頻率增加了 440%。在不到一年內，每日惡意鏈上寫入次數從 2.06 次增加到 11.1 次。

Chainalysis 將此技術稱為「區塊鏈死信使」（blockchain dead drops，BDD）。該公司發現，目前此類活動大多來自北韓和伊朗的國家關聯操作者。

審查阻力如今被用作駭客攻擊資產

根據其最新報告，Chainalysis 指出，駭客過去將惡意程式碼儲存在集中式伺服器上，這些伺服器可能被扣押、封鎖或下線。然而，攻擊者現在將此類程式碼儲存在公共區塊鏈上。

「我們將此技術稱為『區塊鏈死信使』（BDD）。BDD 將惡意負載儲存在鏈上交易和智慧合約中，受感染的設備可隨時擷取。區塊鏈的永久性使威脅行為者的網路攻擊活動具有持久性；他們可以與受感染的機器通訊，而無需擔心失去指揮與控制（C2）中繼器，」報告寫道。

該公司強調，威脅在於持久性而非火力。攻擊活動比網域查封、主機下架和儲存庫移除更持久。此技術可追溯至 2013 年，當時 Necurs 殭屍網路的變種將網域儲存在名為 Namecoin 的比特幣（BTC）分叉上。

到 2023 年，它已以 EtherHiding 之名進入以太坊虛擬機（EVM）鏈。後來，Google 抓獲北韓的 UNC5342 在假求職面試中使用此技術。

Chainalysis 將近期的爆炸性增長歸因於 2025 年中。當時，強大的中國開放權重模型在沒有防護措施的情況下推出，可用於撰寫惡意程式碼。據該公司稱，這消除了先前使死信使罕見的技能門檻。

此擴散現已遠超加密貨幣範疇。Netskope 的研究人員報告，2026 年 8 月 ChainDrop 供應鏈攻擊影響了超過 440 個 npm 套件。

北韓、伊朗和俄羅斯論壇各自制定自己的操作手冊

截至 2024 年初，網路犯罪分子幾乎負責所有死信使活動。到 2026 年第二季，國家關聯團體每季約佔新活動的三分之二，並佔總體的一半。

北韓的 UNC5342 目前操作三鏈中繼系統。TRON（TRX）和 Aptos（APT）上的指標將受感染的設備導向 BNB 智慧鏈上的加密設備。

「攻擊者透過發布新交易來輪換基礎設施，每個先前受感染的設備會自動接收變更。中斷此操作需要同時對所有三條鏈採取行動，」該團隊指出。

疑似伊朗情報操作者向一個與中本聰相關的知名地址進行小額比特幣支付。Chainalysis 表示，惡意軟體在每筆交易中搜尋數據，然後解碼以獲取當前攻擊者基礎設施。

與此同時，俄語犯罪分子將此能力作為服務提供。Polygon（POL）上的一個操作者錢包管理著一個解析器合約群，每個合約似乎服務於不同的付費客戶。

報告指出，防禦者不能簡單地封鎖區塊鏈流量而不干擾所有合法的錢包和應用程式。然而，保護攻擊者的同一永久性也將每次更新留在公共帳本上。

調查人員能否將這條追蹤線索轉化為逮捕行動，速度快於 AI 工具創造新操作者的速度，仍是未解的問題。