根据 Chainalysis 发布的一份新报告，与国家有关联的网络犯罪分子正越来越多地将公共区块链用作恶意软件指令和基础设施细节的“死投点”（dead drops）。该公司估计，与国家有关联的行为体约占每个季度新增死投点活动的三分之二，而在过去 12 个月中，此类写入操作的频率上升了 420%。

Chainalysis 还报告称，与朝鲜和伊朗有关联的运营商是采用该策略的群体之一，包括其链接到多个网络——Tron、Aptos 和 BNB Smart Chain (BSC)——的活动，这些活动与 Google Threat Intelligence 追踪的与朝鲜有关联的行为体有关。

关键要点

Chainalysis 表示，与国家有关联的威胁行为体推动了约三分之二的季度区块链死投点活动。

区块链“死投点”写入量同比增长 420%，表明链上恶意软件基础设施增长更快。

与朝鲜有关联的群体使用了多链路由，Tron 充当第一条路由，Aptos 作为备用路由指向包含加密指令的 BSC 交易。

Chainalysis 将自 2025 年 7 月以来恶意写入量增加 440% 的部分原因归因于高容量开源 AI 模型的可用性，这些模型能够以有限的保障措施生成恶意代码。

与伊朗有关联的运营商也被怀疑使用比特币区块链发布编码的命令和控制路由数据，受感染设备可以轮询这些数据以获取更新。

公共链上的死投点：为何难以关闭

Chainalysis 将“死投点”策略定义为在公共区块链的交易中嵌入恶意软件指导——例如指向基础设施、服务器地址或配置数据的指针。报告强调了攻击者的一个核心优势：即使域名、服务器或代码存储库被离线，存储的信息仍可以在链上公开访问。

该分析公司警告称，这种持久性使得攻击活动随着时间的推移更具韧性，并增加了防御者的运营负担。响应工作不仅需要破坏单个服务器或端点，还需要应对在分布式账本上永久复制的信息。

Chainalysis 还指出了一种更广泛的模式：国家行为体不仅在使用区块链，而且正在增加使用频率并扩大涉及的区块链网络范围。

与朝鲜有关联的活动通过 Tron、Aptos 和 BSC 路由

报告最具体的发现之一是将此前未归因的、跨越 Tron、Aptos 和 BNB Smart Chain 的区块链活动与 UNC5342 联系起来，这是一个由 Google Threat Intelligence 追踪的与朝鲜有关联的组织。

Chainalysis 描述了嵌入在 Tron 和 Aptos 交易中的编码指针如何将受感染设备引导至同一笔 BSC 交易。在这种设置中，Tron 充当第一条路由路径，而如果主要路径失败，Aptos 则提供备用选项。

Chainalysis 表示，这笔共享的 BSC 交易包含加密的服务器地址和配置数据。一旦受感染设备解密这些数据，它们就会连接到用于远程访问和数据窃取的链下基础设施。

对于投资者和开发者而言，重点不在于任何单一链，而在于恶意软件运营商如何将区块链网络视为灵活的多路由消息系统——即使某些路由或基础设施组件发生变化，该系统也能帮助保持攻击活动的运行。

Chainalysis 还指出，朝鲜黑客此前也曾以类似方式使用公共区块链。例如，2025 年，Cointelegraph 的报道描述了一种名为 EtherHiding 的技术，其中恶意的加密货币窃取代码被放置在智能合约中。

AI 的作用：恶意写入增加，但归因仍不确定

Chainalysis 进一步报告称，自 2025 年 7 月以来，恶意区块链写入量增加了 440%，该公司将这一变化归因于“高容量开源中国人工智能模型能够以有限的保障措施生成恶意代码”的时间点相吻合。

Chainalysis 的网络犯罪研究主管 Eric Jardine 告诉 Cointelegraph，团队观察到该时期与链上恶意活动激增之间存在“明确的时间点关联”。然而，他谨慎地表示，该公司无法证明发布恶意交易和合约的行为体直接使用了这些 AI 模型来提高其产出。

这种区别对于读者从数据中推断出的结论至关重要。增长表明，编写和部署恶意代码的环境可能变得更容易扩展，但 Chainalysis 的证据并未建立从特定模型到特定行为体的直接联系。防御者可能仍会调整其优先级——特别是围绕对手发布新有效载荷的速度——而无需假设归因问题已解决。

与伊朗有关联的操作使用比特币作为更新通道

除了非比特币网络外，Chainalysis 还确定了其怀疑与伊朗情报部有关联的威胁行为体。在其评估中，这些行为体将编码的命令和控制路由数据写入比特币区块链。

Chainalysis 表示，其判断基于多种因素的组合——例如恶意软件家族、使用的解码方法、时间模式和相关服务器基础设施——而不是仅依赖区块链活动。

报告描述了一种机制，其中攻击者控制的钱包向历史上与中本聪（Satoshi Nakamoto）有关联的知名比特币地址发送小额付款。Chainalysis 表示，该地址与攻击者没有联系，并作为一个永久性的公共位置，受感染设备可以在此检查更新指令。

根据 Chainalysis 的说法，攻击者可以通过发布包含更新数据的新比特币交易来刷新其服务器基础设施。一旦恶意软件获取新指令，操作就可以转移到链下进行后续活动，可能包括远程访问、凭证窃取和交付额外恶意软件。

通过使用比特币作为路由更新的可靠公共注册表，这种方法再次强调了同一主题：攻击者可以通过将“下一步去向”信息嵌入到广泛可用的数据中，避免一些传统的单点故障（如关停）。

Chainalysis 的发现表明，防御者应将区块链死投点视为网络操作中不断演变、可能可扩展的一部分——特别是随着多个网络上的链上写入量增加。读者接下来应关注的关键不确定性是，未来的报告是否会缩小关联与直接归因之间的差距——特别是围绕 AI 辅助扩展——以及防御者和平台适应这种更具韧性的恶意软件基础设施的速度有多快。

本文最初以《与国家有关联的黑客推动链上恶意软件激增 420%，Chainalysis 发现》为题发表在 Crypto Breaking News 上——您值得信赖的加密货币新闻、比特币新闻和区块链更新来源。