Hackers verplaatsen malware naar blockchains en maken uitschakelen veel lastiger
Malware-instructies verdwijnen steeds vaker in publieke blockchains. Chainalysis ziet de door het bedrijf gevolgde activiteit met zogenoemde blockchain dead drops in twaalf maanden 420% stijgen.
Noord-Koreaanse en vermoedelijk aan Iran gelieerde groepen gebruiken de techniek al. Daarbij dient de blockchain niet om crypto te betalen, maar als moeilijk verwijderbaar adresboek voor malware.
Blockchain wordt digitaal prikbord voor malware
Chainalysis noemt de techniek een blockchain dead drop, of BDD.
Aanvallers plaatsen daarbij informatie in transacties of smart contracts. Een geïnfecteerd apparaat weet vooraf waar het moet kijken en haalt daar bijvoorbeeld een nieuw serveradres of een verwijzing naar een volgende malwarefase op.
De daadwerkelijke aanval hoeft daarna helemaal niet op de blockchain te blijven.
Na het ophalen van de instructies kan de besmette computer gewoon verbinding maken met een normale server voor verdere opdrachten, datadiefstal of toegang op afstand.
De blockchain maakt de malware niet automatisch krachtiger. Hij maakt vooral het communicatiekanaal lastiger definitief uit te schakelen.
Dat is de aantrekkingskracht voor aanvallers.
Server blokkeren lost probleem niet meer op
Bij klassieke malware staat een command-and-controlserver vaak rechtstreeks in de code.
Wordt dat domein of IP-adres ontdekt en geblokkeerd, dan kan een campagne ernstig worden verstoord.
Met een blockchain dead drop werkt dat anders.
De aanvaller kan een nieuwe verwijzing on-chain zetten. Reeds geïnfecteerde machines lezen de nieuwe informatie bij hun volgende controle en schakelen automatisch over.
De oude server kan verdwijnen zonder dat de malware zelf opnieuw bij ieder slachtoffer hoeft te worden geïnstalleerd.
Chainalysis ziet 5,2 keer zoveel activiteit
Chainalysis meldt een stijging van 5,2 keer op jaarbasis, oftewel ongeveer 420%.
Dat cijfer betreft de activiteit die het analysebedrijf zelf kan volgen.
Het is dus geen complete telling van iedere cyberaanval waarbij wereldwijd een blockchain wordt gebruikt. Wel laat het volgens Chainalysis zien dat de methode snel terrein wint binnen de campagnes die het bedrijf observeert.
Het bedrijf volgt de techniek nu op vijf grote blockchains en bij meer dan twaalf benoemde malwarefamilies.
Daarnaast zegt Chainalysis meer dan vijftien afzonderlijke campagnes en dreigingsclusters met BDD-technieken te hebben geïdentificeerd.
Schadelijke blockchainwrites stijgen naar 11,1 per dag
Een tweede meting maakt de groei concreter.
Voor de opkomst van krachtige open AI-modellen zag Chainalysis gemiddeld ongeveer 2,06 kwaadaardige writes per dag.
Dat liep op naar 11,1 per dag.
De stijging sinds die periode bedraagt volgens het bedrijf ongeveer 440%.
Daarmee is niet bewezen dat AI de volledige stijging heeft veroorzaakt.
Chainalysis stelt wel dat programmeermodellen de technische drempel verlagen. Een aanvaller hoeft daardoor minder diepgaande kennis te hebben van zowel malware als blockchaincode.
De timing valt samen met de sterke groei van het gebruik.
Staatsgelieerde groepen nemen groter aandeel over
De samenstelling van de gebruikers verandert eveneens.
Tot begin 2024 kwam vrijwel alle door Chainalysis gemeten BDD-activiteit van reguliere cybercriminelen.
Vanaf medio 2024 verschenen staatsgelieerde groepen steeds duidelijker.
In het tweede kwartaal van 2026 waren zulke groepen volgens Chainalysis goed voor ongeveer twee derde van de nieuwe BDD-activiteit per kwartaal en ongeveer de helft van alle waargenomen activiteit.
Ook dit zijn classificaties van Chainalysis.
Ze moeten dus worden gelezen als onderzoeksbevindingen van één analysebedrijf, niet als een volledige telling van alle staatsoperaties wereldwijd.
Noord-Korea gebruikt drie blockchains achter elkaar
De Noord-Koreaanse casus laat zien hoe ingewikkeld zulke aanvallen kunnen worden.
Google Threat Intelligence Group koppelde groep UNC5342 eerder aan EtherHiding. Sinds februari 2025 gebruikte de groep publieke blockchains binnen nep-sollicitatiecampagnes gericht op ontwikkelaars in de cryptosector. (Google Threat Intelligence)
Chainalysis zegt nu een tweede techniek aan dezelfde actor te hebben gekoppeld.
Daarbij worden TRON en Aptos gebruikt als twee mogelijke routes naar informatie op BNB Smart Chain.
De malware controleert eerst TRON.
Werkt die route niet, dan probeert ze Aptos.
Beide verwijzen uiteindelijk naar dezelfde BNB Smart Chain-transactie met gecodeerde instructies.
Doelwit blijft vaak crypto
De uiteindelijke malware probeert onder meer inloggegevens en digitale assets te stelen.
Google zag bij UNC5342 eerdere malware die wachtwoorden, browserdata en gegevens uit crypto-wallets verzamelde.
Ook MetaMask en Phantom werden als doelwit genoemd.
Dat past bij de bredere Noord-Koreaanse focus op cryptobedrijven en DeFi.
De blockchain wordt in zo'n aanval dus op twee manieren relevant.
Hij kan het doelwit zijn vanwege digitale bezittingen én tegelijk worden misbruikt als communicatiekanaal voor malware.
Iran-route gebruikt Bitcoin-transacties
Chainalysis beschrijft daarnaast een techniek die het bedrijf koppelt aan actoren die vermoedelijk verbonden zijn met het Iraanse ministerie van Inlichtingen.
Daarvoor wordt Bitcoin gebruikt.
Kleine transacties bevatten gecodeerde gegevens die de malware kan uitlezen om het actuele serveradres te vinden.
De betalingen zelf zijn daarbij vrijwel irrelevant.
Het gaat om de extra gegevens die in de transactie worden vastgelegd.
Chainalysis zegt nadrukkelijk dat de Iran-toeschrijving niet alleen op blockchainactiviteit rust. Ook malwarekenmerken, timing, gebruikte servers en eerder waargenomen patronen spelen mee.
Dat maakt de toeschrijving sterker dan alleen “dit Bitcoin-adres hoort bij Iran”, maar het blijft een analytische attributie.
GuidePoint vindt dezelfde truc op Polygon
Een afzonderlijk onderzoek laat zien dat de methode niet alleen bij staatsgroepen voorkomt.
GuidePoint Security onderzocht een campagne waarbij malware smart contracts op Polygon gebruikte als dynamisch adresboek.
De zaak begon tijdens onderzoek naar Business Email Compromise.
Vanuit één aangetroffen smart contract konden de onderzoekers terugwerken naar wallets van de operator, actieve servers en andere onderdelen van de campagne.
De activiteit liep volgens GuidePoint minstens vanaf november 2025.
Vijftien contracten, geen 27
Hier is een cijfer gemakkelijk verkeerd te lezen.
GuidePoint vond 15 smart contracts in totaal, uitgerold in zes golven over ongeveer zeven maanden.
Twee contracten kwamen uit één operatorwallet.
Een tweede wallet had dertien contracten geplaatst.
Van die dertien gebruikten twaalf nieuwere ontwerpen die bewust minder zichtbare blockchain-events produceerden.
Die twaalf komen dus niet bovenop de vijftien.
Ze vormen het grootste deel daarvan.
GuidePoint vermoedt dat de stillere ontwerpen bedoeld waren om detectie via dezelfde onderzoeksmethode moeilijker te maken.
Minstens 31 websites geraakt
De onderzoekers brachten ook minstens 31 legitieme bedrijfswebsites in verband met de campagne.
Bezoekers konden via die gehackte sites richting de kwaadaardige keten worden gestuurd.
De malware ontwikkelde zich later verder.
GuidePoint zag uiteindelijk ook een banking trojan die tijdens het intypen bank- en crypto-inloggegevens en tweefactorcodes kon onderscheppen.
Daarmee wordt duidelijk dat blockchaingebruik hier niet het einddoel is.
Het is één technische laag binnen een veel klassieke cyberaanval.
Publieke blockchains maken aanvallers niet onaantastbaar
Daar hoort een belangrijke tegenhanger bij.
Data op een publieke blockchain is zeer moeilijk te verwijderen.
Maar malware moet die data nog wel kunnen bereiken.
Google ontdekte bij de Noord-Koreaanse campagnes bijvoorbeeld dat aanvallers vaak centrale API-diensten gebruikten om blockchaininformatie op te halen. Sommige aanbieders blokkeerden de kwaadaardige activiteit nadat Google hen waarschuwde.
Een blockchain dead drop is daarom niet hetzelfde als een onaantastbaar systeem.
RPC-providers, API-diensten, domeinen en eindapparaten blijven mogelijke aangrijpingspunten voor verdedigers.
Een aanvaller kan die afhankelijkheid verminderen door zelf nodes te gebruiken, maar dat vraagt meer middelen en kan andere sporen achterlaten.
Openheid helpt onderzoekers juist terugvechten
De permanente aard van blockchains werkt bovendien twee kanten op.
Een kwaadaardige transactie verdwijnt niet.
Dat betekent dat onderzoekers jaren later dezelfde wallet, contractupdates en onderlinge verbanden opnieuw kunnen analyseren.
Chainalysis wijst erop dat iedere wijziging timestamped en publiek terug te vinden blijft. Daarmee kunnen onderzoekers operatorwallets, contracten en terugkerende patronen aan elkaar koppelen.
GuidePoint deed precies dat.
Eén bekend contract leidde uiteindelijk naar andere contracten en operatorwallets.
De eigenschap die verwijdering moeilijk maakt, maakt historische analyse tegelijk krachtig.
Blockchainsecurity schuift buiten crypto zelf
Daarmee verandert ook het begrip blockchainsecurity.
Jarenlang ging de aandacht vooral naar gestolen private keys, gehackte bridges, kwetsbare smart contracts en aanvallen op handelsplatformen.
Blockchain dead drops draaien het model om.
Nu wordt een blockchain niet noodzakelijk aangevallen.
De blockchain wordt door de aanvaller gebruikt.
Dat maakt de opmars van BDD's relevant voor bedrijven die zelf helemaal niets met crypto doen.
Een medewerker hoeft geen tokens te bezitten om malware op zijn laptop te krijgen die een Polygon-contract of Bitcoin-transactie als digitaal prikbord gebruikt.
De groei van 420% zegt daarom iets groters dan “meer cryptocriminaliteit”.
Publieke blockchains worden steeds vaker onderdeel van de gereedschapskist van gewone cyberaanvallers en staatsgroepen.
En juist omdat die data moeilijk verdwijnt, wordt de strijd minder een kwestie van verwijderen en meer van sneller herkennen, koppelen en blokkeren wat er omheen gebeurt.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
