NEW YORK — «Che cosa può trasformare la blockchain, il registro pubblico nato per garantire trasparenza, nel nascondiglio perfetto di un virus?». È la domanda al centro del rapporto che Chainalysis, società americana di analisi delle criptovalute, ha pubblicato giovedì 17 settembre: i casi di istruzioni malware scritte dentro transazioni e smart contract sono cresciuti del 440 per cento in meno di un anno, riferisce Bloomberg. Oggi la media è di 11 nuove scritture malevole al giorno. Un anno fa erano 2.

La tecnica ha un nome preso in prestito dallo spionaggio: «blockchain dead drop», la casella morta dove l’agente lascia il messaggio senza mai incontrare il destinatario. Il codice d’attacco resta inciso nella transazione e il dispositivo infetto lo recupera quando serve. Il vantaggio è la permanenza: nessuno può cancellarlo, nessuna polizia può sequestrare il server di comando, perché il server non esiste.

Da dove viene l’impennata? Chainalysis indica una data precisa: metà 2025, quando si sono diffusi potenti modelli di intelligenza artificiale open source cinesi privi di restrizioni sulla generazione di codice malevolo. Prima di quel momento la curva era piatta. Poi la scalata, fino a quintuplicare.

Ma la coincidenza temporale è una prova? Qui la società frena da sola. Eric Jardine, responsabile della ricerca sul cybercrimine di Chainalysis, parla di una «chiara associazione temporale», precisando però che non è dimostrato che proprio quei modelli siano stati usati. La spiegazione tecnica la offre Vitaly Kamluk, fondatore della società di cybersicurezza TitanHex: i modelli aperti si eseguono in proprio, si modificano, e soprattutto si possono privare dei filtri anti-crimine — quelli che nei servizi commerciali bloccano la richiesta «scrivimi un virus».

Pyongyang e Teheran in testa

Chi c’è dietro gli attacchi? Non più soltanto criminali comuni. I gruppi sostenuti da Stati — Corea del Nord e Iran in testa — valgono ormai circa due terzi della nuova attività trimestrale, partendo da quota quasi zero. Per due regimi strangolati dalle sanzioni, il furto di criptovalute non è un crimine tra gli altri: è politica economica, una fonte di valuta che nessun embargo può chiudere.

Quanto rende, questa nuova tecnica? È l’unica domanda a cui il rapporto non risponde: Chainalysis non ha quantificato né gli attacchi riusciti né le somme sottratte. Un ordine di grandezza lo dà TRM Labs, altra società di analisi del settore: nel primo semestre del 2026 gli attacchi al mondo cripto sono saliti di circa il 150 per cento, a 207 casi, con perdite comunque sotto il miliardo di dollari.

Resta il problema più scomodo: come ci si difende da un codice che vive nella blockchain? Bloccare quel traffico è impossibile senza mandare in tilt ogni portafoglio digitale e ogni applicazione legittima. Il punto debole, però, sta altrove: il contagio iniziale non passa dalla blockchain, ma dai soliti canali — attacchi alla catena di fornitura del software, download infetti. È lì che la partita si può ancora vincere.

E c’è un rovescio della medaglia che lavora per gli investigatori. La stessa permanenza che protegge gli attaccanti li inchioda: ogni aggiornamento caricato resta inciso per sempre nel registro pubblico, e permette di mappare le loro infrastrutture e collegare campagne apparentemente slegate. La casella morta, una volta scoperta, diventa un archivio a disposizione dell’accusa. Per sempre.