Microsoft Threat Intelligence ha identificado una sofisticada campaña de malware que utiliza contratos de BNB Smart Chain para entregar instrucciones maliciosas, un desarrollo que pone de relieve las consecuencias no deseadas de la inmutabilidad de la cadena de bloques. El informe original detalla cómo los atacantes están aprovechando la técnica EtherHiding para ocultar la lógica de comando y control en código descentralizado que ninguna autoridad centralizada puede eliminar fácilmente. En lugar de alojar cargas útiles en servidores tradicionales que pueden ser desconectados, los actores de amenazas han trasladado las comunicaciones a un entorno de contrato inteligente sin permisos, lo que complica los esfuerzos de desmantelamiento.
Las campañas, rastreadas como ClickFix y TerminalFix, implementan avisos CAPTCHA falsos en sitios web comprometidos. Los usuarios que hacen clic o siguen las instrucciones en pantalla ejecutan inadvertidamente comandos maliciosos en sus propias máquinas. Microsoft informa que estos ataques están dirigidos a miles de dispositivos empresariales y de consumo cada día, lo que la convierte en una de las campañas más amplias que utilizan la infraestructura de la cadena de bloques como repetidor. El navegador de la víctima es engañado para ejecutar un script que obtiene instrucciones de una puerta de enlace RPC de BNB Smart Chain, una interfaz de nodo público que cualquiera puede consultar.
De CAPTCHA falso a código malicioso
La cadena de infección comienza cuando un visitante llega a un sitio web infectado. Aparece un aviso CAPTCHA realista que insta al usuario a realizar una combinación de teclas específica o copiar un comando en la terminal. Una vez que el usuario cumple, el script recupera la carga útil de la siguiente etapa de los datos del contrato inteligente. Este paso mantiene la lógica del malware completamente fuera del servidor comprometido y la coloca en una cadena de bloques que no tiene un único punto de fallo. La técnica es eficiente porque no requiere ninguna vulnerabilidad en la propia cadena de bloques, solo la capacidad de leer datos de un contrato público.
Las campañas de malware tradicionales a menudo dependen de dominios, direcciones IP o servicios en la nube que pueden ser marcados y desconectados. Por el contrario, una instrucción almacenada en un contrato inteligente en BNB Chain persistirá mientras la red funcione y el contrato siga financiado. Incluso si el sitio web inicial se limpia, el mismo contrato inteligente puede ser reutilizado por otros sitios comprometidos. Los hallazgos de Microsoft subrayan un cambio en las tácticas de los adversarios: los grupos criminales ahora tratan las cadenas de bloques públicas como infraestructura barata y resistente.
BNB Chain como infraestructura involuntaria
BNB Chain se clasifica constantemente entre las redes más activas por número de desarrolladores, lo que paradójicamente la convierte en una infraestructura atractiva tanto para proyectos legítimos como para actores de amenazas. La técnica no requiere ninguna explotación en el consenso o la seguridad de la cadena de bloques; simplemente reutiliza un sistema sin permisos. Los atacantes utilizan los puntos finales RPC de la cadena como una red de entrega de contenido gratuita y distribuida globalmente para cargas útiles maliciosas. Debido a que estos puntos finales son públicos y necesarios para el funcionamiento normal de la cadena, bloquearlos por completo interrumpiría miles de aplicaciones y usuarios legítimos.
Esta no es la primera vez que las redes de cadenas de bloques son abusadas para la distribución de malware. Históricamente, se han utilizado dominios, cubos en la nube e incluso proyectos similares a DNS en cadenas de bloques para recuperar cargas útiles. Sin embargo, el método EtherHiding convierte un contrato inteligente en un canal de control permanente. Los validadores que procesan bloques no están involucrados en la función del malware; simplemente incluyen la transacción que almacenó los datos. Esto significa que la comunidad de BNB Chain enfrenta un difícil dilema de limpieza: las propuestas para podar o censurar datos específicos atacarían el principio fundamental de la inmutabilidad.
Perspectiva regulatoria y de seguridad
Mientras los legisladores estadounidenses lidian con la regulación de las criptomonedas, un proyecto de ley que podría remodelar la industria está a días de una votación en el Senado, con los bancos presionando cambios de última hora. El descubrimiento del malware puede añadir urgencia a los argumentos sobre la responsabilidad en los rieles descentralizados, incluso si la cadena de bloques en sí no tiene la culpa. La lucha legislativa muestra cómo Washington ya está prestando atención a los riesgos en el ecosistema. Una campaña que abusa de los contratos inteligentes de BNB Chain para infectar miles de dispositivos podría ser citada por los reguladores que buscan imponer controles más estrictos a los validadores o proveedores de RPC.
Lo que sigue siendo incierto es cómo responderán los desarrolladores de BNB Chain y la comunidad en general. No hay un interruptor de apagado simple para un contrato inteligente que contiene instrucciones maliciosas. Existen mecanismos de autodestrucción de contratos, pero requerirían que un atacante los incluya voluntariamente, lo cual es poco probable. El camino más realista es que los desarrolladores de navegadores, las empresas de seguridad y las interfaces de billeteras construyan capas de detección que marquen las interacciones vinculadas a contratos maliciosos conocidos. Microsoft ya coordina con socios de ciberseguridad en tales estrategias de desmantelamiento, pero cada nueva campaña obliga a repensar dónde deberían estar los límites de la seguridad en Internet.
Para los usuarios cotidianos, la conclusión inmediata es una mayor precaución ante los avisos CAPTCHA que exigen acciones inusuales, como ejecutar un comando en la terminal. La postura de seguridad de una organización puede necesitar extenderse al bloqueo de puntos finales RPC para contratos específicos, pero ese enfoque es, en el mejor de los casos, impreciso. El vector de ataque convierte una interacción web familiar en un mecanismo de entrega de malware y explota la confianza que los usuarios tienen implícitamente en la infraestructura de la cadena de bloques. El ecosistema de BNB Chain se encuentra ahora en la intersección de la adopción de tecnología y el uso indebido criminal, una tensión que se ha vuelto demasiado familiar en las redes públicas.
Lectura relacionada: Fnality nombra a los exbanqueros centrales Cunliffe, Metzger y Berndsen para sus consejos.
