Chainalysis รายงานว่าผู้โจมตีกำลังโพสต์คำสั่งมัลแวร์ลงบนบล็อกเชนบ่อยขึ้นถึง 440% นับตั้งแต่มีโมเดล AI แบบโอเพ่นซอร์สจากจีนแบบไร้ข้อจำกัด จำนวนการเขียนโค้ดที่เป็นอันตรายต่อวันบนเชนเพิ่มขึ้นจาก 2.06 เป็น 11.1 ภายในเวลาไม่ถึงปี
Chainalysis เรียกเทคนิคนี้ว่า blockchain dead drops (BDD) โดยบริษัทพบว่าผู้ดำเนินการที่เชื่อมโยงกับรัฐจากเกาหลีเหนือและอิหร่านเป็นผู้ก่อกิจกรรมส่วนใหญ่ในขณะนี้
การต้านทานการเซ็นเซอร์กลายเป็นจุดแข็งของแฮกเกอร์
ในรายงานล่าสุด Chainalysis ชี้ให้เห็นว่าในอดีตแฮกเกอร์เคยเก็บโค้ดอันตรายไว้บนเซิร์ฟเวอร์แบบศูนย์กลางซึ่งอาจถูกยึด ถูกบล็อก หรือถูกปิดได้ แต่ในตอนนี้ผู้โจมตีกลับนำโค้ดไปไว้บนบล็อกเชนสาธารณะ
เราขอเรียกเทคนิคนี้ว่า blockchain dead drops (BDD) ซึ่ง BDD จะเก็บ payloads ไว้ในธุรกรรมบนเชนและสมาร์ทคอนแทรกต์ เพื่อให้เครื่องที่ติดมัลแวร์สามารถดึงข้อมูลเมื่อใดก็ได้ ความถาวรของบล็อกเชนช่วยให้ผู้ไม่ประสงค์ดีดำเนินแคมเปญไซเบอร์ได้นานขึ้น เพราะพวกเขาสามารถสื่อสารกับเครื่องที่ถูกเจาะได้โดยไม่ต้องกลัวว่าจะเสียเซิร์ฟเวอร์ควบคุมและสั่งการ (C2) ตามรายงานระบุ
บริษัทเน้นย้ำว่าความอันตรายอยู่ที่ความคงทน ไม่ใช่ความรุนแรงของการโจมตี ซึ่งแคมเปญเหล่านี้สามารถอยู่รอดแม้จะถูกยึดโดเมน ลบโฮสติ้ง หรือถอน repository โดยเทคนิคนี้มีมาตั้งแต่ปี 2013 เมื่อบ็อตเน็ต Necurs รุ่นหนึ่ง นำโดเมนไปเก็บไว้บนโฟร์คของ Bitcoin (BTC) ที่ชื่อ Namecoin
ในปี 2023 เทคนิคนี้ก้าวสู่เชนที่รองรับ Ethereum Virtual Machine (EVM) ในชื่อ EtherHiding ซึ่งต่อมา Google พบว่า UNC5342 ของเกาหลีเหนือใช้วิธีนี้ในการสัมภาษณ์งานปลอม
Chainalysis ระบุว่าจุดเปลี่ยนของคลื่นโจมตีนี้เกิดขึ้นช่วงกลางปี 2025 เมื่อมีการเปิดตัวโมเดลแบบ open-weight จากจีนที่ไม่มีขอบเขตในการสร้างโค้ดอันตราย ส่งผลให้ใครก็สามารถใช้ dead drops ได้ง่ายขึ้นกว่าที่เคย
แต่ละการกระจายตัวของเทคนิคนี้กำลังเลยขอบเขตโลกคริปโตไปไกลแล้ว โดยนักวิจัยจาก Netskope เผยว่าในเดือนสิงหาคม 2026 การโจมตี supply chain ที่ชื่อ ChainDrop ส่งผลกระทบกับ npm package กว่า 440 ชิ้น
ติดตามเราได้ที่ X เพื่อรับข่าวสารล่าสุดแบบเรียลไทม์
เปียงยาง เตหะราน และฟอรั่มรัสเซียเขียนคู่มือของตัวเอง
อาชญากรไซเบอร์เป็นผู้รับผิดชอบเกือบทุกกิจกรรม dead drop จนถึงต้นปี 2024 แต่ตั้งแต่ไตรมาส 2 ปี 2026 กลุ่มที่เชื่อมโยงกับรัฐกลับเป็นผู้สร้างกิจกรรมใหม่ถึงราวสองในสามของแต่ละไตรมาส และคิดเป็นครึ่งหนึ่งของกิจกรรมทั้งหมด
UNC5342 ของเกาหลีเหนือ ขณะนี้ดำเนินการรีเลย์ผ่านสามเชน โดยตัวชี้บน TRON (TRX) และ Aptos (APT) จะนำอุปกรณ์ที่ติดมัลแวร์ไปยังอุปกรณ์ที่เข้ารหัสไว้บน BNB Smart Chain
ผู้โจมตีจะหมุนเวียนโครงสร้างพื้นฐานโดยเผยแพร่ธุรกรรมใหม่ และทุกอุปกรณ์ที่ติดมัลแวร์ก่อนหน้านี้จะรับรู้การเปลี่ยนแปลงโดยอัตโนมัติ การขัดขวางปฏิบัติการนี้จำเป็นต้องดำเนินการพร้อมกันบนทั้งสามเชน ทีมงานระบุ
ขณะเดียวกัน ผู้ปฏิบัติการข่าวกรองของอิหร่านที่ต้องสงสัยจะส่งการชำระเงิน Bitcoin จำนวนน้อยไปยังที่อยู่ที่เป็นที่รู้จัก ซึ่งเชื่อมโยงกับ Satoshi Nakamoto Chainalysis ระบุว่ามัลแวร์จะค้นหาข้อมูลในแต่ละธุรกรรม จากนั้นจะถอดรหัสเพื่อดึงโครงสร้างพื้นฐานของผู้โจมตีในปัจจุบันออกมา
ในขณะที่อาชญากรที่พูดภาษารัสเซียต่างจำหน่ายความสามารถนี้เป็นบริการ ตัวดำเนินการหนึ่งบน Polygon (POL) ควบคุมชุดของสัญญา Resolver แต่ละอันดูเหมือนให้บริการลูกค้าที่ชำระเงินคนละราย
รายงานระบุว่า ผู้ป้องกันไม่สามารถบล็อกทราฟฟิกบนบล็อกเชนได้โดยตรงโดยไม่ทำให้ทุก wallet และแอป legitimate ใช้งานไม่ได้ อย่างไรก็ตาม ความคงทนแบบเดียวกับที่ปกป้องผู้โจมตีนั้นทำให้ทุกการอัปเดตปรากฏอยู่ในบัญชีแยกประเภทสาธารณะ
นักสืบจะสามารถเปลี่ยนร่องรอยเหล่านั้นให้เป็นการจับกุมให้เร็วกว่าที่เครื่องมือ AI สร้างผู้ดำเนินการใหม่ได้หรือไม่ยังคงเป็นคำถามที่เปิดกว้างอยู่
สมัครรับข้อมูลช่อง YouTube ของเรา เพื่อรับชมผู้นำและนักข่าวเสนอข้อมูลเชิงลึกอย่างเชี่ยวชาญ
