Las escrituras maliciosas en redes de criptomonedas se dispararon durante el último año, impulsadas por actores vinculados a Estados como Corea del Norte e Irán, según un informe de Chainalysis. La firma advierte que estos grupos están utilizando las redes como una capa de coordinación para programas maliciosos, una práctica que dificulta la interrupción de sus operaciones.

El informe señala que esta actividad aumentó 420% en 12 meses y 440% desde mediados de 2025. El promedio pasó de 2,06 a 11,1 escrituras diarias, en un crecimiento que Chainalysis relaciona con la aparición de modelos de inteligencia artificial de código abierto de alta capacidad desarrollados en China.

Publicidad

Los atacantes dejan en redes públicas un recado que el programa malicioso, una vez instalado, lee para saber qué hacer o a qué servidores conectarse. Chainalysis denomina a esta técnica “depósitos clandestinos en redes de criptomonedas” y la considera una evolución de métodos empleados durante más de una década.

La firma rastrea más de 15 campañas en cinco redes y más de una docena de familias de programas maliciosos. Hasta comienzos de 2024, los ciberdelincuentes concentraban prácticamente toda la actividad. Los grupos vinculados a Estados comenzaron a aparecer de forma significativa a mediados de ese año y, para el segundo trimestre de 2026, representaban cerca de dos tercios de la nueva actividad registrada cada trimestre y la mitad de toda la actividad de depósitos clandestinos detectada.

Gráfico de Chainalysis que muestra en azul los ataques cibercriminales y en naranja los ataques relacionados con Estados. — El gráfico muestra cómo los actores vinculados a Estados pasaron de casi no aparecer en 2024 a concentrar el 51 % de esa actividad en el segundo trimestre de 2026. Fuente: Chainalysis

Uno de los casos corresponde a un grupo atribuido a Corea del Norte que utiliza las redes TRON y Aptos para dirigir dispositivos infectados hacia BNB Chain, donde almacena instrucciones cifradas para programas destinados al robo de credenciales y criptomonedas. Los atacantes pueden actualizar esa infraestructura mediante nuevas transacciones sin reinstalar el programa malicioso.

Chainalysis también identificó operadores vinculados a Irán que almacenan datos para dirigir la comunicación de programas maliciosos mediante el campo OP_RETURN de transacciones de Bitcoin. El nexo iraní se basa en características del programa malicioso, su lógica de descifrado, el momento de las operaciones y la infraestructura utilizada, y no únicamente en la actividad registrada en Bitcoin.

Publicidad

El tercer caso corresponde a grupos de habla rusa que emplean contratos inteligentes en Pol ygon para almacenar referencias hacia servidores controlados por los atacantes, como reportó CriptoNoticias. Chainalysis relacionó uno de estos operadores con campañas de suplantación de stablecoins, robo mediante modificación del portapapeles y más de 50 contratos similares en BNB Chain.

El principal riesgo de estas técnicas no es necesariamente un mayor poder destructivo, sino que permiten mantener operativa una campaña aunque cambien sus servidores o dominios. Sin embargo, esa permanencia también deja una huella útil para los defensores: cada actualización queda registrada en la red y puede ayudar a los investigadores de seguridad a reconstruir la infraestructura de los atacantes, vincular operaciones que parecían independientes y detectar nuevos movimientos.

El uso malicioso de redes de criptomonedas aumenta 440% en un año