Warum Malware-Befehle auf Blockchains schwer abzuschalten sind
Blockchain-Dead-Drops nehmen laut Chainalysis stark zu: Hacker speichern Malware-Befehle auf öffentlichen Blockchains und umgehen klassische Takedowns.
Chainalysis registriert einen Anstieg um 420 Prozent bei Fällen, in denen Angreifer Malware-Anweisungen oder Infrastrukturdaten direkt auf öffentlichen Blockchains ablegen – innerhalb der vergangenen zwölf Monate. Laut dem Blockchain-Analyseunternehmen entfällt der Großteil dieses Zuwachses auf Hacker mit Verbindungen nach Nordkorea und in den Iran. Der Trend alarmiert Börsen, Wallet-Anbieter und Sicherheitsteams, weil die genutzte Technik klassische Takedown-Mechanismen weitgehend wirkungslos macht.
Bei der sogenannten Blockchain-Dead-Drop-Technik (BDD) verstecken Angreifer Schadsoftware sowie Befehls- und Kontrollinformationen in On-Chain-Transaktionen und Smart Contracts. Infizierte Rechner rufen diese Daten ab, sobald es Zeit zum Handeln ist. Der entscheidende Vorteil aus Sicht der Angreifer: Während klassische Kampagnen scheitern, sobald eine Domain beschlagnahmt, das Hosting eingestellt oder ein Code-Repository entfernt wird, bleiben Anweisungen in einem öffentlichen Register davon unberührt.
Laut Chainalysis reicht die Methode bis 2013 zurück, als eine Variante des Necurs-Botnetzes ihre C2-Domains auf Namecoin parkte. 2019 nutzten die Betreiber des Glupteba-Mining-Botnetzes das OP_RETURN-Feld von Bitcoin zur Datenablage. Mitte 2023 verbreitete sich der Ansatz unter dem Namen EtherHiding auf Ethereum-Stil-Netzwerken, nachdem die Betreiber von ClearFake ihren Infostealer-Code auf die BNB Smart Chain migriert hatten, weil Cloudflare zuvor ihre Server abgeschaltet hatte. Wie On-Chain-Analysen bereits bei anderen Netzwerken gezeigt haben, machen solche Auswertungen Zahlungsströme sichtbar, die sonst im Verborgenen blieben.
Staatlich verbundene Akteure treiben den neuen On-Chain-Schub
Im zweiten Quartal 2026 entfielen laut Chainalysis rund zwei von drei Dead-Drop-Angriffen auf öffentlichen Blockchains auf staatliche Akteure. Seit Juli 2025 stieg die Zahl bösartiger Dead-Drop-Schreibvorgänge zusätzlich um 440 Prozent – eine separate Kennzahl, die sich auf einen anderen Zeitraum und eine andere Messgröße bezieht als der 420-Prozent-Anstieg der Fälle.
Chainalysis verband zuvor nicht zugeordnete Transaktionen in drei Netzwerken mit UNC5342, einer von Google Threat Intelligence als mit Nordkorea verbunden verfolgten Gruppe. Die Kampagne leitete infizierte Geräte über Tron und Aptos als Backup-Route, bevor sie in derselben BNB-Smart-Chain-Transaktion endete – ein Muster, das an den EtherHiding-Fall von 2025 erinnert, bei dem nordkoreanische Hacker Krypto-Diebstahlcode in Smart Contracts platzierten. Wie stark solche Kampagnen inzwischen ausfallen können, zeigt auch ein aktueller Überblick über besonders schwerwiegende Krypto-Hacks.
Bei einer weiteren Operation identifizierte Chainalysis mutmaßliche Verbindungen zum iranischen Geheimdienstministerium: Routing-Daten für die Command-and-Control-Kommunikation wurden direkt in die Bitcoin-Blockchain kodiert. Von den Angreifern kontrollierte Wallets sendeten dabei kleine Zahlungen an eine Bitcoin-Adresse, die historisch mit Satoshi Nakamoto in Verbindung gebracht wird – laut Chainalysis ohne dass die Adresse selbst mit den Angreifern verbunden war, sie diente lediglich als dauerhafter öffentlicher Anlaufpunkt.
Der KI-Zusammenhang bleibt eine offene Frage
Der Anstieg bösartiger Dead-Drop-Schreibvorgänge seit Juli 2025 – von etwa 2,06 auf 11,1 Vorgänge pro Tag – fällt zeitlich mit der Entwicklung leistungsfähiger chinesischer Open-Source-KI-Modelle zusammen, die inzwischen Code auf professionellem Niveau erzeugen können. Eric Jardine, Leiter der Cyberkriminalitätsforschung bei Chainalysis, ordnete dies laut Quelle als klaren zeitlichen Zusammenhang ein, betonte aber, das Unternehmen könne nicht bestätigen, dass die Akteure diese Modelle tatsächlich zur Steigerung ihrer Produktivität genutzt hätten. Die Korrelation ersetzt damit keinen belegten Kausalzusammenhang.
Die Bedrohung reicht über einzelne Malware-Kampagnen hinaus
Der aktuelle Bericht reiht sich in eine längere Phase nordkoreanischer Kryptoaktivitäten ein. CertiK schätzte im Mai, dass mit der DVRK verbundene Akteure seit 2016 in 263 Vorfällen rund 6,75 Milliarden US-Dollar erbeutet haben, wobei sich die Angriffe zunehmend auf Social Engineering statt reine Software-Schwachstellen stützten – ein Muster, das auch bei Phishing-Angriffen über kompromittierte Unternehmensinfrastruktur sichtbar wird. Auf der Black-Hat-Konferenz vorgestellte Forschung geht laut Quelle sogar von 1.640 infiltrierten Unternehmen in 57 Ländern aus, ein Befund, der als Forschungsergebnis und nicht als abschließend gesicherte Gesamtlage zu verstehen ist. US-Geheimdienste erklärten laut Bericht, die erbeuteten Gelder trügen zur Finanzierung der Atom- und Raketenprogramme des Regimes bei – ein Vorwurf, den Pjöngjang zurückweist.
Risikohinweis: Kryptowährungstransaktionen sind pseudonym, nicht anonym; je nach Dienst und Rechtsraum gelten KYC- und weitere Compliance-Pflichten. Die hier beschriebenen Sicherheitsrisiken betreffen die technische Infrastruktur des Krypto-Ökosystems und stellen keine individuelle Handlungsempfehlung dar.
Raphael Adrian ist ein Krypto-Journalist und Analyst, der bei Coinspeaker über Krypto-News, PR-Inhalte und Marktanalysen schreibt. Hier gilt er als Lead-Autor und Experte für Kryptowährungs-Prognosen. Mit seinem journalistischen Hintergrund und seiner Spezialisierung auf Finanzen, Business und digitale Assets berichtet er seit Jahren über Blockchain-Trends, neue Projekte und Entwicklungen am Kryptomarkt.
Seine Kenntnisse in fundamentaler und technischer Analyse ermöglichen es ihm, Marktbewegungen fundiert zu bewerten, Potenziale von Projekten einzuordnen und datenbasierte Krypto-Prognosen zu erstellen. In seiner Arbeit legt er besonderen Wert auf verständliche, recherchierte Inhalte, die Leser bei fundierten Entscheidungen im Kryptomarkt unterstützen.
Wir verwenden Cookies, um Ihnen die bestmögliche Nutzung unserer Website zu ermöglichen. Wenn Sie diese Website weiter nutzen, gehen wir davon aus, dass Sie damit zufrieden sind.
