Blockchain Dead Drops из экзотического приема для отдельных ботнетов превратились в заметный инструмент государственных и криминальных групп: число таких атак выросло более чем в пять раз за год. Для русскоязычных IT-команд это не история про криптоэнтузиастов, а новый головняк для SOC, DevSecOps и разработчиков, которых все чаще атакуют через фальшивые собеседования, тестовые задания и зараженные репозитории.
По данным Tom's Hardware, рост связывают с активностью северокорейских и иранских групп, а также русскоязычных криминальных операторов. Суть приема проста и неприятна: вместо того чтобы держать вредоносную нагрузку или адреса командных серверов на обычном хостинге, атакующие записывают нужные данные в публичные блокчейны — в транзакции, поля calldata, memo-поля или смарт-контракты. Зараженное устройство потом читает эти данные из сети и понимает, куда идти за следующей командой.
Техника получила название Blockchain Dead Drops, или BDD. В классическом C2-сценарии сам блокчейн не выполняет атаку: он хранит указатель — домен, IP-адрес или другую конфигурацию. Малварь на машине жертвы извлекает и декодирует эти данные, после чего подключается к реальной инфраструктуре злоумышленников уже вне блокчейна. В другом варианте на цепочке лежат фрагменты вредоносного кода или зашифрованные компоненты, которые устройство скачивает и запускает локально.
Опасность не в магии блокчейна, а в его скучных инженерных свойствах: публичность, неизменяемость и репликация по множеству узлов. Домен можно отобрать, репозиторий удалить, сервер отключить, страницу на CDN заблокировать. Запись в публичной сети удалить куда сложнее, а иногда практически нереалистично без ущерба для всей экосистемы. Для атакующих это превращает блокчейн в живучую доску объявлений: даже если основная инфраструктура падает, вредоносное ПО может получить новые координаты.
История у приема не вчерашняя. Еще в 2013 году вариант ботнета Necurs хранил данные о C2-доменах в Namecoin, форке Bitcoin. В 2019-м исследователи фиксировали банковскую малварь, где IP-адреса командных серверов кодировались в Bitcoin-транзакциях, а ботнет Glupteba использовал поле OP_RETURN для хранения вредоносной информации. Новый всплеск начался в середине 2023 года, когда связанная с ClearFake кампания после блокировок инфраструктуры перенесла вредоносный код в смарт-контракты BNB Smart Chain. Этот подход известен как EtherHiding, хотя используется не только в Ethereum-экосистеме.
В 2024 году в игру, по данным Chainalysis, заметно вошли государственные акторы: иранские группы, связанные с Министерством разведки страны, начали встраивать C2-данные в Bitcoin-транзакции. В 2025 году северокорейские операторы применяли EtherHiding в кампаниях с поддельными job interview для разработчиков. Это важная деталь: блокчейн появляется не в самом начале атаки. Сначала жертву все равно нужно заставить запустить код, открыть проект, выполнить тестовое задание или поставить зависимость. Блокчейн уже потом подсказывает зараженной машине, где искать управляющий сервер или полезную нагрузку.
Chainalysis отслеживала активность BDD в пяти крупных блокчейнах и более чем по десятку известных семейств вредоносного ПО. К II кварталу 2026 года группы, связанные с государственными акторами, давали примерно две трети новой квартальной BDD-активности и около половины всей активности такого типа, хотя массово вошли в этот метод только с середины 2024 года. Среднее число ежедневных вредоносных записей в блокчейне выросло с 2,06 до 11,1 — это плюс 440%.
Отдельный ускоритель — доступность открытых AI-инструментов. В отчете рост связывают с тем, что мощные open-weight LLM, в том числе китайского происхождения, снизили порог входа для злоумышленников. Раньше для рабочей реализации Blockchain Dead Drops требовалось неплохо понимать и криптоинфраструктуру, и вредоносные цепочки доставки. Теперь менее опытные операторы могут быстрее собрать код, разобраться с calldata, смарт-контрактами и логикой обновления C2. Это не значит, что ИИ сам атакует компании. Это значит, что он дешевле делает рутину, которую раньше выполнял специалист с редкой смесью навыков.
Защититься простым запретом блокчейн-трафика почти невозможно. Заблокировать Ethereum или BNB Smart Chain в корпоративной сети — значит задеть публичные RPC-эндпоинты Cloudflare, Alchemy и других провайдеров, а заодно легитимные кошельки, DeFi-сервисы, аналитические инструменты и внутренние продукты, если компания с этим работает. Даже жесткая фильтрация не закрывает сценарий полностью: атакующие могут поднять собственные узлы или переключиться на другую цепочку.
Практичнее смотреть на поведение. Для корпоративной защиты ранним сигналом может быть исходящий JSON-RPC-трафик к публичным блокчейн-эндпоинтам с машин, которым вообще незачем читать смарт-контракты: рабочих станций бухгалтерии, CI-серверов без Web3-задач, ноутбуков разработчиков вне профильного проекта. BDD также укладывается в технику MITRE ATT&CK T1102.001 — Web Service: Dead Drop Resolver, так что для детектов не нужно изобретать новую таксономию с нуля.
Парадокс в том, что свойства блокчейна работают и против атакующих. Каждое обновление контракта, каждая ротация адреса, каждый перевод для оплаты транзакций оставляют след с временем и связями между кошельками. Это дает исследователям возможность связывать кампании, искать общие источники финансирования, отслеживать resolver-контракты и инфраструктурные паттерны. Для бизнеса вопрос теперь не в том, запретить ли блокчейн вообще, а в том, умеет ли его SOC отличать нормальный Web3-трафик от машины, которая внезапно начала спрашивать у смарт-контракта, куда ей идти за командами.
