Státem podporované hackerské skupiny podle nové zprávy Chainalysis výrazně rozšířily využívání veřejných blockchainů pro šíření instrukcí k malwaru a správu škodlivé infrastruktury. Během posledních 12 měsíců vzrostl počet případů, kdy útočníci ukládali na blockchain data související s malwarem, o 420 %. Analytici přitom spojují část této aktivity zejména se skupinami napojenými na Severní Koreu a Írán.
Podle zjištění firmy už nejde o okrajovou taktiku, ale o stále častěji používaný nástroj, který útočníkům pomáhá přežít zásahy bezpečnostních týmů a vypínání serverů. Veřejný blockchain totiž nabízí trvalé a snadno dostupné úložiště, k němuž se nakažená zařízení mohou znovu připojit i po narušení běžné infrastruktury. Právě odolnost a obtížná cenzurovatelnost blockchainových sítí z nich podle expertů dělá atraktivní médium i pro kybernetické operace podporované státy.
Státní aktéři dominují nově zjištěné aktivitě
Chainalysis uvádí, že přibližně dvě třetiny nové aktivity v jednotlivých čtvrtletích připadaly na státem podporované útočníky. To naznačuje, že právě sofistikované skupiny s dostatkem zdrojů dnes stojí v čele tohoto posunu. Zpráva konkrétně zmiňuje operátory spojované se Severní Koreou a aktéry, u nichž existuje podezření na vazby k íránským zpravodajským strukturám. Výzkumníci tak potvrzují, že blockchain už není jen cílem útoků kvůli krádežím kryptoměn, ale také nástrojem pro koordinaci škodlivých kampaní.
Jedním z důležitých závěrů zprávy je přiřazení dříve neoznačené aktivity skupině UNC5342, kterou Google Threat Intelligence sleduje jako subjekt napojený na Severní Koreu. Tato operace podle Chainalysis využívala sítě Tron, Aptos a BNB Smart Chain. Útočníci v transakcích ukládali zakódované ukazatele, které nakažená zařízení nasměrovaly k dalším instrukcím. Nešlo tedy o samotný malware uložený celý na řetězci, ale o systém navigace a konfigurace, který malware využíval po kompromitaci zařízení.
Jak fungoval model s Tronem, Aptosem a BNB Chainem
Analýza ukazuje, že transakce na sítích Tron a Aptos obsahovaly zakódované odkazy směřující ke stejné transakci na BNB Smart Chainu. Tron v tomto modelu sloužil jako primární cesta a Aptos jako záložní varianta pro případ, že by první metoda selhala. Samotná transakce na BNB Chainu pak podle Chainalysis obsahovala zašifrované adresy serverů a konfigurační data. Tato data následně umožnila nakaženým zařízením navázat spojení s offchain infrastrukturou používanou pro vzdálený přístup a krádež dat.
Takový přístup je pro obránce problematický zejména proto, že blockchainová data nelze jednoduše odstranit jako běžnou doménu, server nebo repozitář kódu. I když bezpečnostní specialisté vypnou část zázemí útočníků, škodlivé instrukce zapsané na veřejném řetězci zůstávají dostupné. To prodlužuje životnost celé kampaně a zvyšuje náklady na její neutralizaci. Blockchain zde funguje jako trvalý komunikační bod, který lze zneužít k opětovnému oživení operace.
Chainalysis připomíná, že nejde o úplně novou techniku. Už v roce 2025 severokorejští hackeři využili podobný přístup známý jako EtherHiding, při němž ukládali kód zaměřený na krádeže kryptoměn do chytrých kontraktů. Současná vlna je ale podle všeho širší a systematičtější, protože kombinuje více blockchainů a propojuje je s klasickou škodlivou infrastrukturou mimo řetězec. To ukazuje na rostoucí profesionalizaci těchto operací.
AI zrychluje tempo škodlivých zápisů
Zpráva dále upozorňuje na další významný trend. Od července 2025 evidovala Chainalysis nárůst škodlivých blockchainových zápisů o 440 %. Firma tento zlom časově spojuje s obdobím, kdy se objevily výkonné open source modely umělé inteligence z Číny, schopné generovat škodlivý kód při jen omezených bezpečnostních pojistkách.
Vedoucí výzkumu kyberkriminality v Chainalysis Eric Jardine uvedl, že mezi tímto technologickým posunem a nárůstem škodlivé aktivity existuje zřetelná časová souvislost. Zároveň ale zdůraznil, že není možné přímo prokázat, že aktéři publikující škodlivé transakce a kontrakty tyto modely skutečně využívali ke zvýšení své produkce. Jinými slovy, korelace je podle něj patrná, ale přímý důkaz o konkrétním použití AI v jednotlivých kampaních chybí. I tak jde o důležité varování, protože generativní nástroje mohou snižovat bariéry pro tvorbu škodlivého kódu i pro automatizaci podobných operací.
Pro kryptoměnový sektor je tato souvislost zásadní. Veřejné blockchainy byly dlouho vnímány hlavně jako transparentní účetní knihy, které usnadňují dohled nad pohybem prostředků. Nyní se ale ukazuje, že jejich otevřenost a neměnnost mohou útočníci využít i jako výhodu. Kombinace blockchainové infrastruktury a AI nástrojů tak může znamenat novou fázi kybernetických hrozeb, kde se rychlost vývoje útoků výrazně zvýší.
Íránem spojovaní aktéři využili bitcoinový blockchain
Vedle severokorejské stopy popsala Chainalysis také aktivitu, kterou spojuje s aktéry pravděpodobně napojenými na íránské ministerstvo zpravodajství. Tito útočníci podle firmy zapisovali na bitcoinový blockchain zakódovaná směrovací data pro command-and-control komunikaci. Jinak řečeno, veřejný bitcoinový řetězec využívali jako trvalé místo, odkud si nakažená zařízení mohla stahovat nové pokyny.
Firma upozornila, že své hodnocení neopírá jen o samotná blockchainová data. Závěr vychází také z použité rodiny malwaru, metody dekódování, časového rámce a serverové infrastruktury, které odpovídaly dříve popsaným íránským operacím. Samotná blockchainová stopa tedy nebyla jediným důkazem, ale součástí širší analytické skládačky. To je důležité i z pohledu metodologie, protože připsání útoku konkrétnímu státnímu aktérovi bývá v kyberbezpečnosti mimořádně citlivé.
Zajímavým detailem je, že útočníky kontrolované peněženky posílaly malé částky na známou bitcoinovou adresu historicky spojovanou se Satoshim Nakamotem. Podle Chainalysis tato adresa s útočníky nijak nesouvisela. Sloužila pouze jako veřejně známé a trvalé referenční místo, které mohla nakažená zařízení pravidelně kontrolovat kvůli aktualizovaným instrukcím.
Pokud útočníci potřebovali změnit svou serverovou infrastrukturu, stačilo zveřejnit další bitcoinovou transakci s novými daty. Napadená zařízení si poté automaticky stáhla nové informace a přizpůsobila se změně bez nutnosti přímého kontaktu s původním serverem. Jakmile malware získal instrukce z blockchainu, zbytek operace se přesunul mimo řetězec, kde mohlo docházet ke vzdálenému přístupu, krádežím přihlašovacích údajů nebo doručení dalšího škodlivého softwaru.
Proč je blockchain pro útočníky tak atraktivní
Hlavní výhoda spočívá v tom, že veřejné blockchainy jsou navrženy jako odolné, distribuované a obtížně měnitelné systémy. To, co je z pohledu kryptoměn zásadní předností, se v rukou útočníků může změnit v efektivní nástroj pro udržování škodlivé infrastruktury. Instrukce uložené v transakcích nebo chytrých kontraktech nejsou závislé na jednom hostiteli ani na jedné doméně. Bezpečnostní týmy je navíc nemohou jednoduše smazat či vypnout tradičním způsobem.
Dalším faktorem je nenápadnost. Blockchainové transakce jsou běžnou součástí provozu sítí, a tak může být škodlivý zápis na první pohled obtížně odlišitelný od standardní aktivity. Pokud jsou data navíc šifrovaná nebo zakódovaná, je jejich význam bez hlubší analýzy prakticky nečitelný. Útočníci tak získávají komunikační kanál, který je veřejný, trvalý a relativně levný.
To ovšem neznamená, že jsou takové operace neviditelné. Právě specializované analytické firmy typu Chainalysis se zaměřují na rozpoznávání vzorců, přiřazování adres a sledování neobvyklých datových struktur v transakcích. Rostoucí počet podobných případů ale ukazuje, že obranné kapacity budou muset držet tempo s inovacemi na straně útočníků. V sázce přitom není jen bezpečnost kryptoměnového ekosystému, ale i širší oblast firemní a státní kybernetické ochrany.
Dopady na kryptoměnový sektor a bezpečnostní praxi
Zjištění Chainalysis pravděpodobně posílí tlak na pečlivější monitoring veřejných sítí, zejména tam, kde lze do transakcí vkládat dodatečná data nebo kde chytré kontrakty umožňují ukládat a volat vlastní logiku. Burzy, poskytovatelé peněženek i bezpečnostní týmy budou muset věnovat větší pozornost nejen podezřelým převodům prostředků, ale také transakcím, které mohou nést skrytou infrastrukturu pro malware. Bezpečnost blockchainu tak už nelze chápat jen jako ochranu aktiv, ale i jako ochranu informačního prostoru, který blockchain vytváří.
Pro uživatele je podstatné hlavně to, že veřejný blockchain sám o sobě malware do zařízení nedostane. Riziko vzniká ve chvíli, kdy je zařízení již kompromitované a škodlivý software používá blockchain jako zdroj dalších pokynů. Prevence proto zůstává tradiční: aktualizovaný software, důsledná kontrola příloh, opatrnost při instalaci aplikací a oddělení citlivých systémů od rizikového provozu. V kryptu navíc dává smysl využívat hardwarové peněženky a víceúrovňové zabezpečení účtů.
Z širšího pohledu zpráva potvrzuje, že blockchainové sítě se stávají součástí geopolitického kybernetického soupeření. Stejné technologie, které podporují decentralizované finance a globální převody hodnoty, mohou zároveň sloužit i k odolnějším formám škodlivých kampaní. Rok 2026 tak přináší další důkaz, že hranice mezi finanční infrastrukturou a kybernetickým bojištěm se rychle stírá.
