Staatlich verbundene Akteure nutzen öffentliche Blockchains

Mehrere Chainalysis-Berichte zeichnen ein übereinstimmendes Bild: staatlich verbundene oder staatlich gesponserte Cybergruppen nutzen zunehmend öffentliche Blockchains als Malware-Infrastruktur, und Umfang wie Technik dieser Aktivitäten sind stark angestiegen. Chainalysis dokumentierte einen Anstieg von 420 % bei Onchain-Malware-Aktivitäten sowie einen 440%igen Zuwachs an böswilligen Schreibvorgängen in Blockchains seit Mitte 2025, als leistungsfähige chinesische Open-Weight-AI-Modelle ohne Schutzmechanismen verfügbar wurden. Die täglichen bösartigen Onchain-Schreibvorgänge stiegen innerhalb eines Jahres von 2,06 auf 11,1, ein Sprung, den die Firma mit der Wegfall der zuvor erforderlichen Fachkenntnisse erklärt.

Die Akteure nutzen mehrere Netzwerke, darunter Tron, Aptos, BNB Chain, BNB Smart Chain und Bitcoin, um Payloads, Verweise und Command-and-Control-Routing zu platzieren. Chainalysis berichtet, dass mutmaßlich Iran-nahe Betreiber operative Anweisungen direkt in Bitcoin-Transaktionen einbetteten und kleine Zahlungen an eine weithin bekannte Adresse mit historischen Verbindungen zu Satoshi Nakamoto sandten; diese Adresse diente infizierten Geräten als dauerhafter öffentlicher Abrufpunkt, um die Infrastruktur der Angreifer zu dekodieren und zu aktualisieren. Gruppen mit Verbindungen zu Nordkorea, einschließlich Aktivitäten, die UNC5342 zugeschrieben werden, betreiben mehrgleisige Relays über mehrere Chains, sodass eine Störung die gleichzeitige Aktion auf allen betroffenen Netzwerken erfordern würde.

Die Erkenntnisse stehen im Zusammenhang mit weiteren illegalen Finanzströmen: Chainalysis schätzt, dass nordkorea-verknüpfte Akteure 2025 rund 2 Milliarden Dollar an digitalen Vermögenswerten stahlen, ein Anstieg von 51 % gegenüber dem Vorjahr; der Bybit-Angriff in Höhe von 1,5 Milliarden Dollar war der größte einzelne Vorfall. Die kumulierten Diebstähle, die Nordkorea zugerechnet werden, übersteigen nun 6,75 Milliarden Dollar. Die Gesamtsumme illegaler Kryptotransaktionen im Jahr 2025 belief sich auf mindestens 154 Milliarden Dollar, ein Plus von 162 % gegenüber dem Vorjahr, wobei mindestens 104 Milliarden Dollar an sanktionierte Entitäten flossen, ein Anstieg von 694 %; Stablecoins dominierten dieses Volumen. Forscher verweisen auf technische Vorläufer wie Namecoin und EtherHiding, betonen aber, dass staatlich verbundene Gruppen inzwischen einen erheblichen Anteil neuer „blockchain dead drop“-Aktivitäten erzeugen. Die Berichte warnen, dass die Permanenz und Zensurresistenz öffentlicher Ledger diese Kampagnen widerstandsfähig macht: Defender können Blockchain-Verkehr nicht einfach blockieren, ohne legitime Wallets und Apps zu beeinträchtigen, und das Erkennen eingebetteter Anweisungen erschwert Compliance und Ermittlungen.

Open‑Source‑KI treibt Ausweitung

Die neuen Meldungen bestätigen und ergänzen das Bild: Chainalysis führt die Verfügbarkeit uneingeschränkter chinesischer Open‑Source‑KI‑Modelle seit Mitte 2025 mit einem etwa 440%igen Anstieg von Malware‑Anweisungen in On‑Chain‑Transaktionen in Verbindung, wobei die täglichen „blockchain dead drop“-Fälle von rund zwei auf elf stiegen. Die Berichte konkretisieren, dass etwa zwei Drittel der neuen BDD‑Aktivitäten staatlich verbundene Gruppen betreffen und viele bösartige Transaktionen unter 2 USD pro Vorgang liegen. Auffällig ist, dass die nordkoreanisch‑gerichtete Gruppe UNC5342 ihre Operationen über Multi‑Chain‑Relays auf TRON und Aptos ausgeweitet hat, sodass Gegenmaßnahmen koordinierte Eingriffe über mehrere Netzwerke erfordern würden. Gleichzeitig weisen die Autoren darauf hin, dass Open‑Source‑Modelle lokal entschärft werden können, während die On‑Chain‑Transparenz dennoch Aufschluss für Ermittlungen geben kann.