Des attaquants rangent le code qui pilote leurs logiciels malveillants non plus sur des serveurs, mais dans des transactions et des smart contracts publics. Chainalysis, société d'analyse de chaînes de blocs, appelle cette méthode le blockchain dead drop (BDD) et publie le 17 septembre 2026 un décompte de son usage.
Comment un malware peut-il se piloter depuis une blockchain ?
Le principe tient en deux temps. L'attaquant inscrit sur une chaîne publique soit une charge malveillante, soit un pointeur vers son infrastructure du moment. La machine infectée vient lire cette donnée pour savoir à quel serveur de commande et contrôle se connecter, puis l'opération se poursuit hors chaîne. Ce détour n'augmente pas la puissance de l'attaque. Il en allonge la durée de vie. Une saisie de nom de domaine, la fermeture d'un hébergement ou le retrait d'un dépôt de code ne coupent plus le lien entre l'attaquant et les postes compromis, puisqu'une blockchain publique ne se débranche pas.
De combien l'activité a-t-elle augmenté ?
Chainalysis relève une hausse de 420 % sur douze mois, soit un volume multiplié par 5,2. Le nombre d'écritures malveillantes est passé de 2,06 par jour à 11,1 par jour, une progression de 440 % que la société rattache à l'arrivée, mi-2025, de grands modèles d'IA chinois en open weight publiés sans restriction sur la génération de code malveillant. Monter un dead drop demandait jusque-là une double compétence en cybersécurité et en crypto. L'entreprise dit suivre cette activité sur cinq blockchains et plus d'une douzaine de souches de malwares identifiées. Ces chiffres proviennent de son propre périmètre de détection et n'ont pas été recoupés par un document public d'une agence de sécurité.
Qui écrit ces instructions sur la chaîne ?
Jusqu'au début 2024, la quasi-totalité des instructions publiées venait de cybercriminels à motivation financière. Des groupes liés à des États apparaissent de façon significative à partir de mi-2024. Au deuxième trimestre 2026, ils représentent environ deux tiers de la nouvelle activité chaque trimestre et la moitié du total accumulé. Chainalysis cite trois familles d'acteurs qui développent leurs propres variantes : la Corée du Nord, des opérateurs liés au ministère du Renseignement iranien et des groupes cybercriminels russophones.
Depuis quand la technique existe-t-elle ?
| Date | Épisode |
|---|---|
| 2013 | Une variante du botnet Necurs stocke ses domaines de commande sur Namecoin |
| 2019 | Des adresses IP de commande encodées dans les montants en satoshis d'un malware bancaire |
| 2019 | Le botnet de minage Glupteba écrit dans le champ OP_RETURN de Bitcoin |
| Mi-2023 | ClearFake loge son code dans des smart contracts sur BNB Smart Chain, l'épisode dit EtherHiding |
| Fin 2023 | Le botnet DDoS Smargaft passe à un pilotage par smart contract |
| Fin 2024 | Des acteurs iraniens intègrent des données de commande dans des transactions Bitcoin |
| Début 2025 | La Corée du Nord greffe EtherHiding sur sa ruse des faux entretiens d'embauche |
Le basculement de 2023 répond à une contrainte précise. Cloudflare venait de neutraliser les serveurs par lesquels ClearFake distribuait son voleur d'identifiants, une chaîne d'infection qui reposait sur des scripts malveillants injectés dans des pages web. Les opérateurs ont déplacé le code sur BSC, hors de portée d'un retrait.
Quelles formes prennent ces dépôts ?
Chainalysis distingue trois montages chez les acteurs russes, iraniens et nord-coréens :
- le stockage par transaction, qui publie configurations et pointeurs dans des transactions, parfois réparties sur plusieurs chaînes
- le stockage par contrat, où un smart contract sert d'emplacement durable et ne laisse voir que son déploiement et ses mises à jour
- les portefeuilles fantômes, des adresses dépourvues de paire de clés privées, utilisées pour dissimuler le serveur de commande
La répartition d'une même campagne sur plusieurs réseaux complique le suivi, une logique de circulation entre chaînes à ne pas confondre avec celle des ponts cross-chain, qui déplacent des actifs. Une partie de ces campagnes vise directement les portefeuilles crypto et les identifiants via des logiciels voleurs de données. D'autres installent des chevaux de Troie d'accès à distance, qui donnent à l'attaquant un contrôle durable de la machine compromise.
