Peretas yang terafiliasi dengan negara, termasuk dari Korea Utara dan Iran, semakin sering menyimpan perintah malware dan informasi infrastruktur di blockchain publik.
Menurut Chainalysis, aktivitas berbahaya berbasis blockchain tersebut meningkat 420% dalam 12 bulan terakhir, dengan peretas yang terafiliasi negara mencakup sekitar dua pertiga dari aktivitas yang baru terdeteksi setiap kuartal. Chainalysis menganalisis bahwa operator yang terkait dengan Korea Utara dan Iran menggunakan teknik ini.
Khususnya, aktivitas yang ditemukan di Tron, Aptos, dan BNB Smart Chain terhubung dengan UNC5342, kelompok yang dilacak Google Threat Intelligence sebagai kelompok terkait Korea Utara. Pointer yang disimpan dalam transaksi Tron dan Aptos mengarahkan perangkat yang terinfeksi ke transaksi BSC yang sama. Transaksi tersebut memuat alamat server terenkripsi dan informasi konfigurasi untuk terhubung ke infrastruktur off-chain yang digunakan untuk kendali jarak jauh dan pencurian data.
Chainalysis menjelaskan bahwa penggunaan blockchain publik dapat meningkatkan keberlangsungan kampanye malware, karena informasi yang tersimpan tetap dapat diakses meskipun domain, server, atau repositori kode konvensional diblokir. Pada 2025, peretas Korea Utara juga menggunakan teknik “EtherHiding” untuk menyimpan kode berbahaya dalam smart contract dan transaksi blockchain.