Les instructions malveillantes cachées dans des transactions blockchain ont presque quintuplé en moins d'un an, selon un rapport de Chainalysis publié le 17 septembre. L'entreprise comptait en moyenne 2,06 écritures malveillantes par jour il y a un an ; ce chiffre atteint désormais 11,1.
La technique s'apparente à une boîte aux lettres morte numérique. Plutôt que de dépendre d'un serveur de commande que l'on peut désactiver, les attaquants enfouissent leurs instructions dans des transactions ou des contrats intelligents. Rien sur une blockchain ne peut être supprimé ni bloqué : un appareil infecté n'a qu'à interroger la même adresse encore et encore pour recevoir de nouveaux ordres — où envoyer les données volées, ou vers quel serveur basculer.
Environ deux tiers de cette activité, au dernier trimestre, proviennent de groupes liés à la Corée du Nord et à l'Iran. Les opérateurs nord-coréens, suivis par Google Threat Intelligence sous le nom UNC5342, s'appuient sur Tron, Aptos et BNB Smart Chain. Les acteurs iraniens présumés préfèrent Bitcoin : ils envoient de minuscules paiements vers une adresse historiquement associée à Satoshi Nakamoto pour y fixer les coordonnées de leur infrastructure.
Le pic coïncide presque exactement avec juillet 2025, quand des modèles d'intelligence artificielle chinois puissants et à poids ouverts sont devenus largement accessibles, capables d'écrire du code malveillant avec peu de garde-fous. Le chercheur de Chainalysis Eric Jardine reste prudent sur le lien de causalité : la coïncidence temporelle est nette, dit-il, mais rien ne prouve encore que les attaquants derrière ces transactions aient réellement utilisé ces modèles.
C'est un effet secondaire gênant de la qualité même qui rend les blockchains attractives. La permanence qui protège les utilisateurs ordinaires de la censure protège désormais aussi une infrastructure malveillante que les autorités n'ont aucun moyen réel de démanteler.
