Los ciberdelincuentes y hackers patrocinados por estados almacenan cada vez más instrucciones de malware directamente en blockchains públicas, una táctica que Chainalysis llama “buzones muertos de blockchain”, según un informe que la firma de análisis publicó el 17 de septiembre. La práctica ha aumentado un 420% durante el año pasado y un 440% desde que los modelos de IA chinos de código abierto comenzaron a generar código malicioso, con grupos vinculados a Corea del Norte e Irán ahora responsables de aproximadamente dos tercios de la nueva actividad.
Cómo funcionan los buzones muertos de blockchain
Los buzones muertos de blockchain, o BDD, almacenan cargas útiles de malware y datos de configuración de comando y control en transacciones en cadena y contratos inteligentes, donde las máquinas infectadas pueden recuperarlos a pedido. Debido a que las blockchains públicas no pueden ser desconectadas, la técnica otorga a las campañas una durabilidad que sobrevive a las incautaciones de dominios, eliminaciones de alojamiento y remociones de repositorios. El peligro no es un mayor poder destructivo, señala Chainalysis, sino una mayor longevidad de la campaña. Una vez que el malware recupera lo que necesita, la operación se mueve fuera de la cadena para el compromiso real. Esto se basa en informes anteriores en los que Microsoft expuso contratos de BNB Smart Chain utilizados para entregar instrucciones de malware.
Los actores estatales toman la delantera
La táctica ha existido durante más de una década, desde una variante del botnet Necurs que almacenaba dominios de comando y control en Namecoin en 2013 hasta el botnet Glupteba que escribía datos en el campo OP_RETURN de Bitcoin en 2019. Llegó a las cadenas EVM a mediados de 2023 con “EtherHiding”, cuando los operadores de ClearFake incrustaron malware en contratos inteligentes de Binance Smart Chain después de que Cloudflare interrumpiera sus servidores. Los actores de amenazas iraníes incrustaron datos de comando y control en transacciones de Bitcoin a fines de 2024, y los agentes norcoreanos incorporaron EtherHiding en su artimaña de entrevistas de trabajo falsas a principios de 2025. Para el segundo trimestre de 2026, los grupos vinculados a estados representaban aproximadamente la mitad de la actividad total de buzones muertos, con escrituras maliciosas en la blockchain aumentando de 2.06 por día a 11.1 por día.
La IA reduce la barrera y la inteligencia de amenazas no lo detecta
El aumento se aceleró después de que los modelos de lenguaje grandes chinos de peso abierto se lanzaran sin restricciones para generar código malicioso, eliminando la barrera de experiencia que antes limitaba la táctica a operadores sofisticados. Chainalysis ahora rastrea buzones muertos en cinco blockchains principales y más de una docena de cepas de malware con nombre, con campañas que a menudo apuntan a billeteras de criptomonedas y credenciales a través de malware de robo de información o instalando troyanos de acceso remoto para control persistente. La firma advierte que las plataformas tradicionales de inteligencia de amenazas pueden pasar por alto la actividad en cadena, haciéndose eco de su hallazgo anterior de que el uso de IA en delitos de criptomonedas aumentó un 40% en un año.
Lectura relacionada: La SEC de Tailandia aprueba ETFs locales de Bitcoin y Ethereum, con vigencia desde el 16 de octubre.
