Hacker Simpan Malware di Blockchain, Aktivitas Jahat Naik 440%

Telset.id – Aktivitas jahat berbasis blockchain meningkat 440%, dari 2,06 menjadi 11,1 entri harian setelah kemunculan sistem AI generasi baru. Lonjakan ini menandai pergeseran cara hacker menyimpan instruksi malware di dalam jaringan blockchain publik, sehingga komunikasi dengan komputer yang terinfeksi tetap bertahan meski server konvensional sudah dihapus.

Data tersebut berasal dari temuan Chainalysis yang dikutip TechRadar. Teknik ini memberi penyerang jalur komunikasi alternatif tanpa harus sepenuhnya bergantung pada server biasa yang dikendalikan penyedia hosting. Karena catatan blockchain tersebar di seluruh jaringan, penghapusan server konvensional tidak menghapus informasi yang sudah tersimpan di ledger.

Blockchain dead drops memanfaatkan data transaksi atau smart contract sebagai titik pencarian, sehingga komputer yang terinfeksi dapat mengambil perintah, alamat, atau informasi konfigurasi. Pola ini membuat infrastruktur malware jauh lebih sulit dimatikan dibanding model komunikasi command-and-control tradisional.

AI Menurunkan Hambatan Teknis

Chainalysis menyebut lonjakan aktivitas jahat ini mengikuti kemunculan model terbuka China berkapasitas tinggi yang lebih longgar dalam membatasi permintaan pengembangan malware. Sebelum sistem tersebut muncul, membangun infrastruktur malware berbasis blockchain yang andal menuntut keahlian di bidang perangkat lunak jahat, jaringan cryptocurrency, dan sistem komunikasi terdistribusi.

Kini, alat AI dapat menurunkan hambatan pengetahuan itu dengan membantu operator yang kurang berpengalaman memahami teknologi asing dan menghasilkan komponen yang dibutuhkan untuk komunikasi blockchain. Artinya, kemampuan yang dulu hanya dimiliki aktor mahir kini lebih mudah direplikasi.

Pada kuartal kedua 2026, kelompok yang terkait dengan negara menyumbang sekitar dua pertiga dari aktivitas yang baru teramati. Kelompok tersebut juga mewakili sekitar setengah dari keseluruhan aktivitas yang teramati, menandakan infrastruktur malware berbasis blockchain tidak lagi hanya dijalankan oleh operasi kriminal siber konvensional.

Beberapa aktor juga telah memindahkan target mereka ke wilayah baru. Salt Typhoon Alihkan Target ke Amerika Latin dengan 90% aktivitas menyerang 8 negara, menunjukkan pola pergeseran operasi yang sejalan dengan meningkatnya penggunaan infrastruktur persisten.

Rute Berlapis dan Kesulitan Pertahanan

Operasi yang terkait dengan Korea Utara dan diasosiasikan dengan UNC5342 menggunakan TRON dan Aptos sebagai rute alternatif sebelum mengambil instruksi terenkripsi melalui BNB Chain. Malware mereka dapat memeriksa satu jaringan, berpindah ke jaringan lain bila diperlukan, dan mengambil alamat yang diperbarui tanpa menerima paket malware baru.

Aktor Iran yang diduga memiliki keterkaitan dengan kementerian intelijen negara tersebut menyematkan informasi routing terenkode di dalam transaksi Bitcoin yang dipakai untuk pengambilan malware. Sementara itu, penjahat siber berbahasa Rusia telah mengomersialkan teknik ini dengan menggunakan kontrak Polygon untuk menyediakan infrastruktur berbasis blockchain bagi kampanye malware yang dioperasikan berbagai pelanggan.

Satu operator terkait mengendalikan lebih dari 50 kontrak resolver BNB Chain, sekaligus menjalankan aktivitas yang melibatkan token palsu dan malware pemantau clipboard. Sebagian operator menyembunyikan alamat server di dalam pengenal dompet tanpa private key yang dapat digunakan, lalu memakai transfer bernilai nol untuk memicu pengambilan malware.

Transaksi semacam itu meninggalkan catatan publik yang dapat diperiksa penyidik, sehingga berpotensi memberi petunjuk berguna meski penyerang berupaya menyembunyikan infrastrukturnya. Hal ini menegaskan bahwa catatan on-chain bisa berfungsi sebagai infrastruktur pencarian yang persisten, bukan sekadar sarana finansial dan transaksional.

Pola penyalahgunaan dompet dan aset kripto juga terlihat pada kasus lain. Hacker Klaim White Hat mencuri Rp5 triliun dari dompet Bitcoin Liquid, memperlihatkan bagaimana celah pada ekosistem kripto dapat dieksploitasi untuk kepentingan berbeda.

Defender menghadapi kesulitan karena memblokir lalu lintas blockchain berisiko mengganggu dompet sah, aplikasi terdesentralisasi, bursa, dan layanan keuangan terdesentralisasi yang digunakan di seluruh dunia. Penyerang dapat makin menyulitkan upaya penghentian dengan mengoperasikan node blockchain mereka sendiri, sehingga mengurangi ketergantungan pada penyedia eksternal yang mungkin bisa ditekan atau dinonaktifkan pihak pertahanan.

Kwon Jun-hyeok, General Manager Chainalysis Korea, menyatakan bahwa meski eksploitasi blockchain oleh organisasi terkait negara seperti Korea Utara makin canggih, catatan on-chain yang ditinggalkan penyerang justru dapat menjadi petunjuk penting untuk melacak mereka. Menurutnya, pelacakan jejak tersebut dan identifikasi penyerang beserta infrastruktur terkait melalui intelijen blockchain akan makin penting dalam merespons ancaman siber baru.

Di sisi lain, tantangan keamanan pada perangkat dan sistem juga terus berkembang. Riset 88% Perangkat cyber-physical gagal mengirim product code akurat, menambah lapisan kerentanan yang harus diantisipasi dalam lanskap ancaman yang makin kompleks.

Secara keseluruhan, pergeseran ke infrastruktur malware berbasis blockchain menunjukkan bahwa catatan publik pada jaringan terdistribusi kini memainkan peran ganda. Di satu sisi menjadi jalur komunikasi yang tahan takedown, di sisi lain meninggalkan jejak yang bisa menjadi titik awal investigasi bagi pihak yang mampu membacanya.