Peretas Terkait Korea Utara dan Iran Menggunakan Blockchain untuk Infrastruktur Malware
Peretas yang terkait dengan Korea Utara menggunakan Tron, Aptos, dan BNB Chain untuk mempertahankan infrastruktur malware, sementara aktor yang diduga terkait dengan Iran menyematkan instruksi dalam transaksi Bitcoin. Menurut laporan Chainalysis, peretas yang berafiliasi dengan negara menyumbang sekitar dua pertiga dari aktivitas baru setiap kuartal. Jumlah kali penyerang menyimpan instruksi malware atau informasi infrastruktur di blockchain publik meningkat sebesar 420% selama 12 bulan terakhir.
Temuan Chainalysis
Chainalysis mengidentifikasi operator yang terkait dengan Korea Utara dan Iran di antara aktor negara yang mengadopsi teknik ini. Dalam salah satu temuan laporan tersebut, perusahaan analitik ini menghubungkan aktivitas yang sebelumnya tidak teratribusi yang mencakup Tron, Aptos, dan BNB Smart Chain (BSC) ke UNC5342, sebuah kelompok yang terkait dengan Korea Utara yang dilacak oleh Google Threat Intelligence. Penunjuk yang terkode dalam transaksi Tron dan Aptos mengarahkan perangkat yang terinfeksi ke transaksi BSC yang sama, dengan Tron berfungsi sebagai rute pertama dan Aptos sebagai cadangan.
Transaksi BSC berisi alamat server terenkripsi dan data konfigurasi yang menghubungkan perangkat yang terkompromi ke infrastruktur offchain yang digunakan untuk akses jarak jauh dan pencurian data. Chainalysis menyatakan bahwa penggunaan blockchain publik meningkatkan daya tahan kampanye malware, karena informasi yang disimpan tetap dapat diakses setelah domain, server, atau repositori kode ditutup.
Teknik EtherHiding dan Peningkatan Aktivitas Berbahaya
Pada tahun 2025, peretas Korea Utara menggunakan teknik serupa yang disebut EtherHiding untuk menempatkan kode pencuri crypto dalam kontrak pintar. Perusahaan juga mencatat peningkatan 440% dalam penulisan blockchain berbahaya sejak Juli 2025, ketika mereka mengatakan model kecerdasan buatan sumber terbuka dari China berkapasitas tinggi mulai mampu menghasilkan kode berbahaya dengan perlindungan terbatas.
Eric Jardine, pemimpin penelitian kejahatan siber di Chainalysis, mengatakan kepada Cointelegraph bahwa mereka menemukan “asosiasi titik waktu yang jelas,” tetapi tidak dapat membuktikan bahwa aktor yang menerbitkan transaksi dan kontrak berbahaya telah menggunakan model tersebut untuk meningkatkan output mereka.
Aktor Ancaman Terkait Iran
Chainalysis juga mengidentifikasi aktor ancaman yang mereka curigai terkait dengan Kementerian Intelijen Iran, yang menulis data pengendalian dan komando yang terkode ke dalam blockchain Bitcoin. Penilaian ini didasarkan pada keluarga malware, metode dekode, waktu, dan infrastruktur server yang terkait dengan operasi Iran yang dilaporkan sebelumnya, bukan hanya aktivitas blockchain.
Dompet yang dikendalikan penyerang mengirimkan pembayaran kecil ke alamat Bitcoin yang terkenal dengan hubungan historis ke pencipta Bitcoin, Satoshi Nakamoto. Chainalysis menyatakan bahwa alamat tersebut tidak memiliki hubungan dengan penyerang dan berfungsi sebagai lokasi publik permanen yang dapat diperiksa oleh perangkat yang terinfeksi untuk instruksi terbaru. Para penyerang dapat mengubah infrastruktur server mereka dengan menerbitkan transaksi Bitcoin lain, setelah itu perangkat yang terinfeksi secara otomatis akan mengambil informasi baru. Setelah malware memperoleh instruksi tersebut, operasi berpindah ke offchain untuk aktivitas yang dapat mencakup akses jarak jauh, pencurian kredensial, dan pengiriman malware tambahan.
