导语：Chainalysis 最新报告显示，过去12个月，攻击者将恶意软件指令或基础设施信息写入公共区块链的活动激增420%，其中约三分之二的新活动与受国家支持的黑客有关，朝鲜和伊朗相关组织成为主要采用者。
朝鲜相关组织将 Tron、Aptos 与 BSC 交易串联
Chainalysis 表示，其将 Tron、Aptos 和 BNB Smart Chain（BSC）上此前未归因的活动，与 Google Threat Intelligence 追踪的朝鲜相关组织 UNC5342 联系起来。报告称，Tron 和 Aptos 交易中的编码指针会将受感染设备指向同一笔 BSC 交易，其中 Tron 作为第一路由，Aptos 作为备用路径。
该 BSC 交易包含加密的服务器地址和配置数据，用于将受感染的设备连接至链下基础设施，进而支持远程访问和数据窃取。
区块链“死投”提升恶意活动持久性
Chainalysis 指出，使用公共区块链会提高恶意软件活动的持久性，因为即使相关域名、服务器或代码仓库被关闭，存储在链上的信息仍然可以访问。2025年，朝鲜黑客曾使用名为 EtherHiding 的类似技术，将加密货币窃取代码放入智能合约。
图片来源：Chainalysis
AI 工具加速恶意区块链写入
Chainalysis 还记录到，自2025年7月以来，恶意区块链写入增加了440%。该公司称，当时高容量开源中国人工智能模型已能够在有限安全防护下生成恶意代码。Chainalysis 网络犯罪研究负责人 Eric Jardine 对 Cointelegraph 表示，公司发现了一个“明确的时间点关联”，但无法证明发布恶意交易和合约的行为者使用了这些模型来增加输出。
伊朗相关行为者将指令写入比特币区块链
Chainalysis 还识别出疑似与伊朗情报部有关的威胁行为者，将编码后的命令与控制路由数据写入比特币区块链。公司表示，这一评估基于恶意软件家族、解码方法、时间以及服务器基础设施，并与此前报道的伊朗行动相关联，而非仅依赖区块链活动。
报告称，攻击者控制的钱包向一个与比特币创始人中本聪有历史关联的知名比特币地址发送了小额付款。Chainalysis 表示，该地址与攻击者没有连接，但充当一个永久公开位置，受感染设备可在此检查更新指令。
攻击者可以通过发布另一笔比特币交易来更改其服务器基础设施，随后受感染设备将自动获取新信息。一旦恶意软件获得这些指令，相关操作便转向链下，可能包括远程访问、凭据窃取以及投递更多恶意软件。