北朝鮮やイランなどの国家系ハッカーが、マルウェアのコマンドやインフラ情報をパブリックブロックチェーンに保存する事例が急速に増えていることが分かりました。
Chainalysisによると、こうしたブロックチェーンベースの悪意ある活動は過去12カ月で420％増加し、四半期ごとに新たに検出された活動の約3分の2を国家系ハッカーが占めました。Chainalysisは、北朝鮮およびイランに関連するオペレーターがこの技術を利用していると分析しました。
特に、Tron、Aptos、BNB Smart Chainで発見された活動は、Google Threat Intelligenceが北朝鮮関連グループとして追跡するUNC5342と関連していました。TronとAptosの取引に保存されたポインターは、感染した端末を同じBSC取引へ誘導していました。この取引には、遠隔操作やデータ窃取に使われるオフチェーン・インフラへ接続するための、暗号化されたサーバーアドレスと設定情報が含まれていました。
Chainalysisは、パブリックブロックチェーンを利用すれば、従来型のドメインやサーバー、コードリポジトリが遮断されても保存情報にアクセスし続けられるため、マルウェアキャンペーンの持続性が高まると説明しました。北朝鮮のハッカーは2025年にも「EtherHiding」技術を利用し、スマートコントラクトやブロックチェーン取引に悪意あるコードを保存していました。