Pyongyang graba malware en blockchains públicas para blindarlo de decomisos

Patricia López · Mundo · 2026-09-17

Chainalysis documenta un salto del 420% en instrucciones de ataque escritas en Tron, Aptos y BNB Chain. Corea del Norte e Irán explotan la inmutabilidad de las redes descentralizadas como ventaja táctica.

Hackers vinculados a Corea del Norte e Irán incrementaron en un 420% durante los últimos doce meses el almacenamiento de instrucciones de malware e información de infraestructura en blockchains públicas, según reveló hoy Chainalysis. La firma de análisis on-chain documentó el uso de Tron, Aptos y BNB Chain como infraestructura de comando y control, junto con transacciones en Bitcoin para operaciones atribuidas a inteligencia iraní. La técnica, bautizada como blockchain dead drops (BDD), marca un cambio táctico: en lugar de servidores centralizados vulnerables al decomiso, estos actores estatales ahora explotan la inmutabilidad de las redes descentralizadas como ventaja operativa permanente.

La arquitectura es simple y eficaz. Los atacantes escriben payloads —cargas útiles de código malicioso— en transacciones on-chain o contratos inteligentes. Dispositivos infectados recuperan esas instrucciones bajo demanda, sin necesidad de conectarse a un servidor tradicional. Una vez grabada en blockchain, la información no puede ser borrada por ninguna autoridad: ni decomisada, ni censurada, ni desconectada. «La permanencia de las blockchains da longevidad a las campañas; pueden comunicarse con máquinas comprometidas sin temor a perder su retransmisión de comando y control», explica Chainalysis en su informe.

Pyongyang graba malware en blockchains públicas para blindarlo de decomisos

Tres cadenas, una sola operación

Chainalysis conectó actividad previamente no atribuida en Tron, Aptos y BNB Smart Chain al grupo UNC5342, rastreado por Google Threat Intelligence y vinculado a Corea del Norte. La arquitectura funciona como un relevo encriptado: punteros codificados en transacciones de Tron y Aptos dirigen dispositivos infectados hacia una misma transacción en BNB Chain, donde reside el comando actualizado. Tron actúa como ruta principal; Aptos, como respaldo si falla la primera.

En la práctica, significa que neutralizar una campaña de este tipo exige cooperación técnica y legal a escala global, algo que rara vez ocurre con la velocidad necesaria. La descentralización, diseñada para proteger a usuarios de censura arbitraria, también protege a quienes la usan con fines hostiles.

Irán recurre a Bitcoin y a Satoshi

Chainalysis también identificó actores que sospecha están vinculados al Ministerio de Inteligencia de Irán escribiendo datos de enrutamiento de comando y control codificados en la blockchain de Bitcoin. Las billeteras controladas por los atacantes enviaron pequeños pagos a una dirección históricamente asociada con Satoshi Nakamoto, el creador seudónimo de Bitcoin. La firma aclara que la dirección no tiene conexión con los atacantes y simplemente sirve como ubicación pública permanente que dispositivos infectados pueden consultar para obtener instrucciones actualizadas.

La atribución a Irán no se basa únicamente en la actividad on-chain: Chainalysis correlacionó familia de malware, método de decodificación, timing de operaciones e infraestructura conocida. El uso de una dirección pública emblemática como punto de referencia muestra sofisticación en el diseño: ningún servidor que cerrar, ninguna IP que bloquear. Solo datos inmutables en una red distribuida. Como ya publicamos, billeteras asociadas con la Guardia Revolucionaria iraní recibieron al menos $3.000 millones en activos digitales durante 2025, una señal clara de que entidades sancionadas adoptaron cripto como canal principal de evasión.

Pyongyang graba malware en blockchains públicas para blindarlo de decomisos

IA china y escala industrial

Chainalysis registró un incremento adicional del 440% en escrituras maliciosas en blockchain desde julio de 2025, momento en que modelos de inteligencia artificial de código abierto chinos de alta capacidad se volvieron capaces de producir código malicioso con salvaguardas limitadas. La correlación temporal es clara: de 2,06 escrituras maliciosas diarias a 11,1 en el último año.

Sin embargo, Eric Jardine, responsable de investigación de cibercrimen en Chainalysis, precisó a Cointelegraph que encontraron «una asociación temporal clara en un momento específico», pero no pudieron probar que los actores que publican transacciones y contratos maliciosos hayan usado esos modelos para aumentar su producción. La hipótesis es plausible; la evidencia directa, ausente.

Precedentes y profesionalización

La táctica no es completamente nueva. En 2016, el <abbr title="Ransomware que cifraba archivos y exigía pago en Bitcoin">ransomware</abbr> Cerber comenzó a usar transacciones de Bitcoin para localizar sus servidores de comando y control. Entre 2019 y 2021, el <abbr title="Red de dispositivos infectados controlados remotamente">botnet</abbr> Glupteba empleó la blockchain de Bitcoin para encontrar servidores de respaldo cuando su infraestructura principal caía. Lo que ha cambiado es la escala y la profesionalización: actores estatales ahora producen aproximadamente dos tercios de la nueva actividad cada trimestre, según Chainalysis.

Corea del Norte ya no es un grupo de hackers oportunistas. Es una agencia de finanzas alternativa del régimen, con operaciones de robo, lavado y desarrollo de infraestructura integradas. Los $2.020 millones robados en 2025 —frente a los $1.300 millones de 2024— sugieren que la capacidad de ataque crece más rápido que la defensa.

Las redes explotadas —Tron, Aptos, BNB Chain— no han sido comprometidas. Los atacantes abusan de su estructura descentralizada para alojar instrucciones que no pueden ser eliminadas fácilmente. BNB Chain, por ejemplo, no tiene un interruptor de apagado ni una autoridad central que pueda censurar transacciones específicas sin consenso de validadores. La inmutabilidad que protege a usuarios honestos también protege el comando militar de Pyongyang.

Pyongyang graba malware en blockchains públicas para blindarlo de decomisos

Para traders e inversores que operan en <abbr title="Finanzas descentralizadas, protocolos cripto sin intermediarios">DeFi</abbr> o usan exchanges centralizados, esto amplía el perímetro de riesgo. La infraestructura de comando está distribuida, descentralizada y resiliente a sanciones convencionales. El informe de Chainalysis coincide temporalmente con reportes previos sobre la adopción intensiva de cripto por estados sancionados como herramienta de evasión, un patrón que ahora se extiende desde el movimiento de fondos hacia la infraestructura técnica de ataque. La pregunta abierta es qué pueden hacer las redes públicas al respecto cuando el problema no es un bug de código, sino el mal uso deliberado de una característica de diseño.