D’après Chainalysis, les attaquants publient des instructions de malware sur les blockchains 440 % plus fréquemment depuis l’arrivée des modèles open-source chinois sans restrictions. Les écritures malveillantes quotidiennes on-chain sont passées de 2,06 à 11,1 en moins d’un an.
Chainalysis appelle cette technique les « blockchain dead drops » (BDD). Selon l’entreprise, des opérateurs liés à des États tels que la Corée du Nord et l’Iran génèrent désormais la majorité de cette activité.
De la résistance à la censure à un atout pour le hacking
Dans son dernier rapport, Chainalysis souligne que les hackers stockaient auparavant du code malveillant sur des serveurs centralisés susceptibles d’être saisis, bloqués ou mis hors ligne. Désormais, les attaquants les stockent sur des blockchains publiques.
« Nous appelons cette technique “blockchain dead drops” (BDD). Les BDD stockent les payloads dans des transactions on-chain et des smart contracts où les appareils infectés peuvent les récupérer à la demande. La permanence des blockchains confère une longévité aux campagnes cyber des acteurs malveillants : ils peuvent communiquer avec les machines compromises sans craindre de perdre leur relai de commande et contrôle (C2) », peut-on lire dans le rapport.
L’entreprise insiste sur le fait que le danger réside dans la durabilité, et non dans la puissance. Les campagnes survivent aux saisies de domaines, à la fermeture des hébergeurs et aux suppressions de dépôts. Cette technique remonte à 2013, lorsqu’une variante du botnet Necurs stockait des domaines sur un fork de Bitcoin (BTC) appelé Namecoin.
Elle s’est propagée en 2023 aux blockchains compatibles EVM, sous le nom d’EtherHiding. Plus tard, Google a identifié l’utilisation de cette méthode par l’UNC5342 de Corée du Nord dans le cadre de faux entretiens d’embauche.
Chainalysis attribue l’explosion récente à la mi-2025. C’est à ce moment-là que des modèles chinois puissants en open-weight, dépourvus de garde-fous contre la génération de code malveillant, ont été lancés. Cela a supprimé la barrière de compétences qui rendait jusque-là les dead drops rares, explique l’entreprise.
La propagation dépasse désormais largement la crypto. Selon des chercheurs de Netskope, l’attaque de supply chain ChainDrop a touché plus de 440 packages npm en août 2026.
Suivez-nous sur X pour recevoir toute l’actualité en temps réel
Pyongyang, Téhéran et les forums russes écrivent leurs propres manuels
Les cybercriminels représentaient presque toute l’activité des dead drops jusqu’au début 2024. Au deuxième trimestre 2026, les groupes liés aux États généraient environ les deux tiers de la nouvelle activité chaque trimestre, et la moitié du total.
L’UNC5342 de Corée du Nord utilise désormais un relais sur trois blockchains. Des pointeurs sur TRON (TRX) et Aptos (APT) orientent les appareils infectés vers des dispositifs chiffrés sur la BNB Smart Chain.
« L’attaquant fait tourner son infrastructure en publiant de nouvelles transactions, et chaque appareil précédemment infecté capte automatiquement le changement. Interrompre l’opération nécessiterait une intervention simultanée sur les trois blockchains », précise l’équipe.
Des opérateurs présumés des renseignements iraniens envoient de petits paiements Bitcoin à une adresse bien connue liée à Satoshi Nakamoto. Selon Chainalysis, le malware recherche des données dans chaque transaction, puis les décode pour récupérer l’infrastructure actuelle de l’attaquant.
En parallèle, des criminels russophones commercialisent cette capacité sous forme de service. Un smart wallet opérateur sur Polygon (POL) contrôle une flotte de smart contracts de résolution, chacun semblant servir un client payant différent.
Les défenseurs ne peuvent pas simplement bloquer le trafic blockchain sans interrompre tous les wallet ou applications légitimes, comme le souligne le rapport. La même permanence qui protège les attaquants rend cependant chaque mise à jour visible sur le registre public.
Reste à savoir si les enquêteurs parviendront à transformer cette traçabilité en arrestations avant que les outils d’intelligence artificielle ne créent de nouveaux opérateurs à un rythme toujours plus soutenu.
Abonnez-vous à notre chaîne YouTube pour retrouver toutes les analyses de nos experts et journalistes
