บันทึกคำสั่งมัลแวร์บนบล็อกเชนเพิ่มขึ้น 440% กลุ่มโจมตีที่เชื่อมโยงรัฐเด่นชัด

กิจกรรม ‘บล็อกเชนเดดดรอป’ ซึ่งซ่อนคำสั่งมัลแวร์และที่อยู่เซิร์ฟเวอร์โจมตีไว้บนบล็อกเชนเพิ่มขึ้น 440% ภายในเวลาไม่ถึง 1 ปี ขณะที่ความถาวรของบัญชีธุรกรรมสาธารณะผสานกับเครื่องมือปัญญาประดิษฐ์ (AI) ทำให้การตัดเส้นทางโจมตีด้วยการบล็อกโดเมนเพียงอย่างเดียวทำได้ยากขึ้น

เชนอะไลซิส (Chainalysis) ระบุในรายงานเมื่อวันที่ 17 ว่า บันทึกคำสั่งมัลแวร์เพิ่มจากเฉลี่ย 2.06 รายการต่อวัน เป็น 11.1 รายการต่อวัน หลังการปรากฏของโมเดล AI แบบโอเพนซอร์สประสิทธิภาพสูง อย่างไรก็ตาม บริษัทระบุว่ายังไม่อาจสรุปได้ว่าโมเดล AI ใดโมเดลหนึ่ง หรือ AI เพียงอย่างเดียว เป็นสาเหตุของการเพิ่มขึ้นดังกล่าว

บล็อกเชนเดดดรอปคือวิธีบันทึกที่อยู่คำสั่งและควบคุม (C2) ของมัลแวร์ หรือตำแหน่งของไฟล์อันตรายในขั้นถัดไปไว้ในข้อมูลธุรกรรมหรือสมาร์ตคอนแทรกต์ อุปกรณ์ที่ติดมัลแวร์จะตรวจสอบบัญชีธุรกรรมสาธารณะเพื่อรับที่อยู่เซิร์ฟเวอร์ล่าสุด ขณะที่ผู้โจมตีเพิ่มธุรกรรมใหม่เพื่อเปลี่ยนโครงสร้างพื้นฐานนอกเชน

แม้เซิร์ฟเวอร์หรือโดเมนเดิมถูกบล็อก ผู้โจมตียังสามารถปรับปรุงเส้นทางเชื่อมต่อกับอุปกรณ์ที่ติดมัลแวร์ได้ บล็อกเชนไม่ได้ทำให้มัลแวร์ทำงานโดยอัตโนมัติ แต่ถูกใช้เป็นสมุดที่อยู่ซึ่งเปิดให้เข้าถึงได้ต่อเนื่อง และช่วยยืดอายุแคมเปญโจมตี

ผู้โจมตีก็เปลี่ยนกลุ่มไปเช่นกัน เชนอะลิซิสระบุว่า ในไตรมาส 2 ปี 2026 ผู้โจมตีที่เชื่อมโยงกับรัฐมีสัดส่วนประมาณสองในสามของกิจกรรมบล็อกเชนเดดดรอปที่ตรวจพบใหม่ และคิดเป็นประมาณครึ่งหนึ่งของกิจกรรมทั้งหมดที่ติดตามได้

ในระยะแรก กลุ่มอาชญากรรมไซเบอร์เป็นผู้ใช้งานหลัก แต่กิจกรรมที่เชื่อมโยงกับรัฐเริ่มเด่นชัดตั้งแต่กลางปี 2024 เมื่อผู้โจมตีหันมาใช้บล็อกเชนสาธารณะหลายเครือข่ายแทนเซิร์ฟเวอร์ส่วนกลาง ข้อจำกัดของการบล็อกโดเมนหรือเซิร์ฟเวอร์เพียงจุดเดียวจึงเพิ่มขึ้น

UNC5342 ซึ่งถูกติดตามว่าเชื่อมโยงกับกลุ่มเกาหลีเหนือ ใช้สมาร์ตคอนแทรกต์เป็นช่องทางส่งมัลแวร์ในกระบวนการรับสมัครงานปลอมที่มุ่งเป้านักพัฒนาสินทรัพย์ดิจิทัล Google Threat Intelligence อธิบายว่า JADESNOW loader ตรวจสอบข้อมูลที่จัดเก็บบนบล็อกเชน ก่อนดาวน์โหลดแบ็กดอร์ INVISIBLEFERRET

อีกวิธีการหนึ่งที่เชื่อมโยงกับ UNC5342 ใช้ธุรกรรมของทรอน(TRX) และแอปทอส(APT) เพื่อชี้ไปยังคำสั่งเข้ารหัสที่จัดเก็บบน BNB Smart Chain(BNB) มัลแวร์จะตรวจสอบทรอนก่อน และหากเส้นทางดังกล่าวล้มเหลวจะใช้แอปทอส

การใช้หลายเครือข่ายพร้อมกันทำให้การปิดกั้นเครือข่ายเดียวไม่เพียงพอที่จะลบเส้นทางโจมตี การรับมือจึงจำเป็นต้องติดตามความเชื่อมโยงระหว่างเครือข่ายต่าง ๆ แทนการแยกตรวจสอบข้อมูลธุรกรรมและการเรียกใช้สมาร์ตคอนแทรกต์ตามแต่ละเชน

กิจกรรมที่เชื่อมโยงกับอิหร่านมีการแทรกข้อมูลเส้นทาง C2 ไว้ในธุรกรรมบิตคอยน์(BTC) แม้ธุรกรรมดังกล่าวจะถูกส่งไปยังที่อยู่ที่เชื่อมโยงทางประวัติศาสตร์กับซาโตชิ นากาโมโตะ แต่ไม่ได้หมายความว่าที่อยู่นั้นเกี่ยวข้องกับผู้โจมตี การวิเคราะห์ระบุว่าผู้โจมตีใช้ที่อยู่สาธารณะที่ทุกคนเข้าถึงได้เป็นจุดอ้างอิง

กิจกรรมดังกล่าวไม่ได้จำกัดอยู่เฉพาะกลุ่มที่เชื่อมโยงกับรัฐ กลุ่มอาชญากรรมที่ใช้ภาษารัสเซียใช้สมาร์ตคอนแทรกต์ของโพลิกอน(POL) เป็นตัวตรวจสอบคำสั่ง และมีการติดตามโมเดล ‘มัลแวร์แบบบริการ’ ที่ให้บริการดังกล่าวแก่ผู้โจมตีรายอื่น

สภาพแวดล้อมดังกล่าวเปิดทางให้ผู้โจมตีที่ไม่สามารถสร้างโครงสร้างพื้นฐานของตนเองใช้ C2 บนบล็อกเชนได้ ผู้โจมตีสามารถเก็บคำสั่งและที่อยู่ไว้บนบล็อกเชน ขณะที่การส่งไฟล์อันตรายและการเจาะระบบดำเนินการผ่านเซิร์ฟเวอร์แยกต่างหาก

วิธีการนี้สอดคล้องกับกรณีเดิมที่มีการอัปเดตที่อยู่ดาวน์โหลดมัลแวร์ผ่านสมาร์ตคอนแทรกต์ เมื่อผู้โจมตีเปลี่ยนที่อยู่ที่จัดเก็บไว้ในคอนแทรกต์ ก็สามารถปรับปรุงโครงสร้างพื้นฐานการโจมตีได้โดยไม่ต้องแจกจ่ายมัลแวร์เริ่มต้นใหม่

แนวทางรับมือจึงต้องเปลี่ยนไป การบล็อกบล็อกเชนสาธารณะทั้งเครือข่ายอาจกระทบผู้ใช้งานทั่วไป รวมถึงกระเป๋าสินทรัพย์ดิจิทัลและบริการการเงินแบบกระจายศูนย์ จึงควรเฝ้าระวังคำขอ JSON-RPC ที่น่าสงสัยควบคู่กับกระเป๋าเงิน สมาร์ตคอนแทรกต์ การเคลื่อนย้ายเงิน และประวัติการอัปเดต

หัวใจสำคัญคือการวิเคราะห์ธุรกรรมระหว่างเชน การเรียกใช้คอนแทรกต์ คำขอ RPC และเส้นทางของกระเป๋าเงินร่วมกัน แทนการมุ่งบล็อกโดเมนอันตรายเพียงอย่างเดียว ความถาวรของบล็อกเชนช่วยเพิ่มความยืดหยุ่นให้โครงสร้างพื้นฐานของผู้โจมตี แต่ก็ทิ้งบันทึกที่ผู้ป้องกันสามารถติดตามได้