DELINCUENTES UTILIZAN BITCOIN PARA ESCONDER INSTRUCCIONES Y CONTROLAR MALWARE.
Una computadora está infectada. El delincuente necesita comunicarse con ella, pero en lugar de utilizar directamente un servidor clandestino, hace algo inesperado: publica información dentro de una blockchain para que el programa malicioso pueda encontrarla.
Y lo más inquietante es que, aunque las autoridades desactiven el servidor del atacante, esa información puede seguir disponible.
Esta técnica se conoce como Blockchain Dead Drops (BDD) y fue documentada en una investigación publicada por Chainalysis el 17 de septiembre de 2026.
Para comprender su importancia, primero hay que entender cómo funcionan muchos programas maliciosos.
Cuando un delincuente infecta una computadora, puede necesitar comunicarse con ella para enviar instrucciones, descargar otros programas o conseguir información robada.
Normalmente utiliza servidores controlados por su organización.... Pero esos servidores tienen un problema: pueden ser identificados, bloqueados o desactivados.
¿Y SI EL DELINCUENTE CONSIGUIERA QUE SUS INSTRUCCIONES ESTUVIERAN DISPONIBLES EN UN REGISTRO QUE NO PUEDE BORRARSE FÁCILMENTE?
Ahí aparece la blockchain.
Sabemos que Bitcoin permite registrar transferencias de criptomonedas. Pero algunas transacciones también pueden contener pequeñas cantidades de información adicional.
Los atacantes descubrieron que podían aprovechar esos espacios para publicar datos que sus programas maliciosos fueran capaces de interpretar.
¿CÓMO FUNCIONA EL ATAQUE?
Imaginemos que una persona recibe una falsa propuesta laboral, descarga un archivo aparentemente legítimo y termina instalando malware en su computadora.
El programa necesita localizar el servidor desde el cual recibirá instrucciones.
Pero en lugar de tener una dirección fija, sabe que debe consultar determinada información publicada en una blockchain.
Cuando realiza esa consulta, encuentra datos codificados que le permiten identificar dónde está la infraestructura del atacante.
Con esa información, puede establecer comunicación y continuar el ataque.
Dependiendo del malware, los delincuentes podrían intentar robar contraseñas, acceder remotamente al dispositivo o sustraer información relacionada con billeteras de criptomonedas.
Ahora imaginemos que los investigadores descubren el servidor utilizado por los atacantes y consiguen desactivarlo.
En una campaña tradicional, eso podría interrumpir las comunicaciones.
Pero con Blockchain Dead Drops, el delincuente puede publicar una nueva transacción con información actualizada.
El malware consulta nuevamente la blockchain, encuentra la nueva ubicación y puede restablecer el contacto con la infraestructura criminal.
No necesita necesariamente infectar otra vez la computadora.
Y acá aparece uno de los hallazgos más sorprendentes de la investigación.
UTILIZARON UNA DIRECCIÓN HISTÓRICA RELACIONADA CON SATOSHI NAKAMOTO.
Chainalysis identificó actividad que atribuye provisionalmente a operadores vinculados con los servicios de inteligencia de algunos países asiáticos.
Estos atacantes enviaban pequeñas cantidades de Bitcoin ($BTC ) a una dirección históricamente relacionada con Satoshi Nakamoto, el creador de Bitcoin.
Pero el objetivo no era pagarle a Satoshi.
Las transacciones contenían información codificada que el malware podía consultar para localizar la infraestructura utilizada por los delincuentes... La dirección funcionaba como un punto de referencia público.
No necesitaban controlarla ni conocer sus claves privadas. Solamente aprovechaban que las transacciones relacionadas con ella podían consultarse públicamente.
Y no fue el único caso....
VARIOS PAISES LLEVAN EL PROCEDIMIENTO TODAVÍA MÁS LEJOS.
Investigadores identificaron una variante que utilizaba tres blockchains diferentes: TRON, Aptos y BNB Smart Chain.
El programa malicioso podía consultar primero una red y utilizar otra como alternativa si no conseguía la información necesaria.
Las referencias conducían a datos almacenados en una tercera blockchain, donde se encontraba información que permitía continuar la comunicación con los atacantes.
Era una forma de incorporar caminos alternativos para mantener operativa la infraestructura criminal.
Chainalysis también identificó operaciones de delincuentes que utilizaban contratos inteligentes en Polygon para mantener información de sus servidores, incluso como parte de servicios de malware ofrecidos a otros criminales.
¿QUÉ TAN EXTENDIDA ESTÁ ESTA TÉCNICA?
Según Chainalysis, la actividad maliciosa identificada mediante registros de información en blockchains aumentó aproximadamente un 420 % durante los doce meses anteriores a su informe.
La investigación documentó diferentes campañas relacionadas con grupos criminales y actores estatales.
Es importante aclarar algo: esta técnica no nació en 2026. Existen antecedentes desde hace más de una década. Lo relevante es la expansión y las nuevas variantes investigadas durante este año... Tampoco significa que Bitcoin, Ethereum o las demás redes estén infectadas.
Los delincuentes no están tomando el control de las blockchains. Están aprovechando que permiten publicar y consultar información resistente a la eliminación.
Por eso el problema no se soluciona simplemente bloqueando una criptomoneda.
La defensa requiere detectar la infección inicial, identificar comunicaciones anómalas, analizar las transacciones utilizadas por los atacantes y bloquear su infraestructura operativa.
LO QUE DEJA ESTA INVESTIGACIÓN ES UNA ADVERTENCIA ENORME PARA LA CIBERSEGURIDAD...
Durante años, los investigadores buscaron los servidores desde donde los delincuentes controlaban sus programas maliciosos.
Ahora deben contemplar operaciones donde parte de esa información se encuentra distribuida entre registros públicos que ningún proveedor individual puede apagar.
Y existe una contradicción fascinante. Cada transacción utilizada por los atacantes también deja un registro permanente que los investigadores pueden estudiar.
🧠 LOS DELINCUENTES ENCONTRARON UNA MANERA DE HACER MÁS RESISTENTE SU INFRAESTRUCTURA. PERO, AL HACERLO, TAMBIÉN ESTÁN DEJANDO HUELLAS QUE PUEDEN PERSEGUIRLOS DURANTE AÑOS.
La blockchain no distingue entre quien publica información legítima y quien intenta utilizarla para facilitar un delito....
Esa responsabilidad sigue dependiendo de las personas, los programas y los sistemas que interpretan sus datos.
Porque la tecnología que fue diseñada para conservar registros financieros también puede terminar conservando las instrucciones utilizadas en una operación de ciberespionaje....
FUENTE: CHAINALYSIS (17/09/2026):
https://www.chainalysis.com/blog/etherhiding-blockchain-dead-drops
#Blockchain #Bitcoin #BTC #Ciberseguridad #Malware