一句话看懂：攻击者正把恶意软件的控制指令写进公共区块链，使传统服务器被关停后仍能远程操控受感染设备；Chainalysis 数据显示这类活动在无约束开源大模型出现后增长了 440%。
事件核心：发生了什么
据 TechRadar 报道，一种被称为“区块链死信箱”的手法正在被更多黑客采用：攻击者把指令、备用地址或配置信息写入区块链交易数据或智能合约，受感染电脑再从链上读取，而不必依赖托管商控制的中转服务器。由于账本数据分布在全网节点上，删除某台服务器无法抹去已上链的记录。
区块链分析公司 Chainalysis 给出的数字是，此类恶意活动增加了 440%，日均链上条目从 2.06 条升至 11.1 条，时间点与高容量中国开源模型发布后重合。公开信息显示，与朝鲜有关的 UNC5342 组织使用 TRON 和 Aptos 作为备用通道，再通过 BNB Chain 取回加密指令；与伊朗情报部门有关联的行为体把编码后的路由信息塞进比特币交易；讲俄语的犯罪团伙则把这一手法商业化，用 Polygon 合约向不同客户提供基础设施。其中一个运营者控制着 50 多个 BNB Chain 解析合约。
为什么重要
这套玩法的关键不在加密技术本身，而在于它把“可用性”外包给了难以审查的公共账本。防御方若直接封锁区块链流量，会同时影响钱包、去中心化应用、交易所和 DeFi 服务的正常使用，代价过高。攻击者还可以自建节点，进一步降低对可被施压的第三方服务商的依赖。
更值得关注的是 AI 在其中的角色。Chainalysis 认为，在限制较少的开源大模型出现前，搭建可靠的区块链恶意基础设施需要同时掌握恶意软件、加密货币网络和分布式通信知识；如今大模型可以帮经验不足的操作者理解陌生技术并生成组件，门槛明显下降。2026 年第二季度，国家关联组织约占新观察活动的三分之二、整体活动的一半，说明这已不只是普通网络犯罪。
对用户/开发者/创作者的影响
普通用户无需理解链上交易，但应意识到：杀毒软件清除本地文件后，设备仍可能通过读取链上数据被重新下发指令，因此及时更新系统、限制可疑程序联网仍有必要。对开发者和 Web3 团队而言，区块链的公开可查是双刃剑——攻击者留下的零值转账和钱包标识同样是调查线索。Chainalysis 韩国区总经理 Kwon Jun-hyeok 表示，链上记录可以成为追踪攻击者和相关基础设施的重要线索。企业安全团队则需要把“链上外联流量”纳入监测范围，而不是只盯传统 C2 域名。
值得关注的后续
一是主流公链是否会针对零值转账、解析合约等模式推出更细的监测或费率机制；二是开源大模型在恶意代码生成上的限制策略会否收紧，进而影响开源生态的可用性；三是各国监管在反洗钱框架下如何区分合法 DeFi 流量与恶意死信箱，避免误伤正常用户。
来源：TechRadar
