Злоупотребление криптовалютными сетями увеличилось на 440% за год

• Нападения увеличились с 2,06 до 11,1 случаев контроля вредоносного ПО в день.
• Игроки, связанные с государствами, генерируют две трети новой вредоносной активности.

Злоупотребления в криптовалютных сетях резко возросли за последний год, чему способствовали игроки, связанные с такими государствами, как Северная Корея и Иран, согласно отчету Chainalysis. Компания предупреждает, что эти группы используют сети как уровень координации для вредоносных программ, что затрудняет прерывание их операций.

В отчете отмечается, что эта активность увеличилась на 420% за 12 месяцев и на 440% с середины 2025 года. Среднее количество случаев возросло с 2,06 до 11,1 в день, что Chainalysis связывает с появлением высокоэффективных открытых моделей искусственного интеллекта, разработанных в Китае.

Нападающие оставляют в публичных сетях сообщение, которое вредоносная программа, после установки, считывает, чтобы понять, что делать или к каким серверам подключаться. Chainalysis называет эту технику "скрытыми депозитами в криптовалютных сетях" и считает ее эволюцией методов, использовавшихся более десяти лет.

Компания отслеживает более 15 кампаний в пяти сетях и более дюжины семейств вредоносных программ. До начала 2024 года киберпреступники сосредоточили практически всю активность. Группы, связанные с государствами, начали значительно появляться в середине того года, и ко второму кварталу 2026 года они представляли около двух третей новой зарегистрированной активности каждый квартал и половину всей активности скрытых депозитов, обнаруженной. График показывает, как игроки, связанные с государствами, перешли от почти полного отсутствия в 2024 году к концентрации 51% этой активности во втором квартале 2026 года. Источник: Chainalysis

Один из случаев относится к группе, приписываемой Северной Корее, которая использует сети TRON и Aptos для направления зараженных устройств на BNB Chain, где хранятся зашифрованные инструкции для программ, предназначенных для кражи учетных данных и криптовалют. Нападающие могут обновлять эту инфраструктуру с помощью новых транзакций без повторной установки вредоносной программы.

Chainalysis также идентифицировала операторов, связанных с Ираном, которые хранят данные для управления коммуникацией вредоносных программ через поле OP_RETURN транзакций Bitcoin. Иранская связь основана на характеристиках вредоносной программы, логике расшифровки, времени операций и используемой инфраструктуре, а не только на зарегистрированной активности в Bitcoin.

Третий случай касается русскоязычных групп, которые используют смарт-контракты в Polygon для хранения ссылок на серверы, контролируемые нападающими, как сообщило CriptoNoticias. Chainalysis связала одного из этих операторов с кампаниями по подмене стейблкоинов, кражам через изменение буфера обмена и более чем 50 аналогичными контрактами на BNB Chain.

Основной риск этих техник не обязательно заключается в большем разрушительном потенциале, а в том, что они позволяют поддерживать кампанию в рабочем состоянии, даже если меняются их серверы или домены. Тем не менее, это постоянство также оставляет полезный след для защитников: каждое обновление фиксируется в сети и может помочь исследователям безопасности восстановить инфраструктуру нападающих, связать операции, которые казались независимыми, и обнаружить новые движения.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.