Ransomware-Gruppe nutzt Polygon-Smart-Contracts, um Abschaltungen zu umgehen

Sicherheitsforscher sagen, dass eine unauffällige Ransomware-Gruppe Polygon-Smart-Contracts nutzt, um ihre Kommando- und Kontrollinfrastruktur zu verbergen und zu rotieren.
Zusammenfassung

• DeadLock-Ransomware, erstmals im Juli 2025 beobachtet, speichert rotierende Proxy-Adressen in Polygon-Smart-Contracts, um Zwangsmaßnahmen zu entgehen.
• Die Technik basiert ausschließlich auf dem Lesen von On-Chain-Daten und nutzt keine Schwachstellen in Polygon oder anderen Smart Contracts aus.
• Forscher warnen, dass die Methode kostengünstig, dezentralisiert und schwer zu blockieren ist, obwohl die Kampagne bisher nur wenige bestätigte Opfer hat.

Cybersecurity-Forscher warnen, dass eine kürzlich identifizierte Ransomware-Variante Polygon-Smart-Contracts auf ungewöhnliche Weise nutzt, was es erschweren könnte, ihre Infrastruktur zu stören.

In einem Bericht vom 15. Januar erklärten Forscher der Cybersicherheitsfirma Group-IB, dass die Ransomware, bekannt als DeadLock, öffentlich lesbare Smart Contracts im Polygon (POL)-Netzwerk missbraucht, um Proxy-Server-Adressen zu speichern und zu rotieren, die zur Kommunikation mit infizierten Opfern verwendet werden.

DeadLock wurde erstmals im Juli 2025 beobachtet und ist seitdem relativ unauffällig geblieben. Group-IB sagte, dass die Operation eine begrenzte Anzahl bestätigter Opfer hat und nicht mit bekannten Ransomware-Partnerprogrammen oder öffentlichen Datenleak-Seiten verbunden ist.

Trotz seiner geringen Sichtbarkeit warnte das Unternehmen, dass die verwendeten Techniken äußerst erfinderisch sind und ernsthafte Risiken darstellen könnten, wenn sie von etablierten Gruppen kopiert werden.

Wie die Technik funktioniert

Anstatt auf traditionelle Kommando- und Kontrollserver zu setzen, die oft blockiert oder offline genommen werden können, integriert DeadLock Code, der nach einer Infektion und Verschlüsselung eine bestimmte Polygon-Smart-Contract abfragt. Dieser Contract speichert die aktuelle Proxy-Adresse, die zur Weiterleitung der Kommunikation zwischen Angreifern und Opfer verwendet wird.

Da die Daten on-chain gespeichert werden, können die Angreifer die Proxy-Adresse jederzeit aktualisieren, was ihnen ermöglicht, die Infrastruktur schnell zu rotieren, ohne Malware neu bereitstellen zu müssen. Opfer müssen keine Transaktionen senden oder Gas-Gebühren zahlen, da die Ransomware nur Leseoperationen auf der Blockchain durchführt.

Sobald Kontakt besteht, erhalten die Opfer Lösegeldforderungen zusammen mit Drohungen, dass gestohlene Daten verkauft werden, falls keine Zahlung erfolgt. Group-IB bemerkte, dass dieser Ansatz die Infrastruktur der Ransomware deutlich widerstandsfähiger macht.

Es gibt keinen zentralen Server, der abgeschaltet werden kann, und die Contract-Daten bleiben auf verteilten Knoten weltweit verfügbar, was Zwangsmaßnahmen erheblich erschwert.

Keine Polygon-Schwachstelle beteiligt

Die Forscher betonten, dass DeadLock keine Schwachstellen in Polygon selbst oder in Drittanbieter-Smart-Contracts wie DeFi-Protokollen, Wallets oder Bridges ausnutzt. Die Ransomware missbraucht lediglich die öffentliche und unveränderliche Natur der Blockchain-Daten, um Konfigurationsinformationen zu verbergen – eine Methode, die Ähnlichkeiten mit früheren “EtherHiding”-Techniken aufweist.

Laut Analyse von Group-IB wurden zwischen August und November 2025 mehrere Smart Contracts im Zusammenhang mit der Kampagne bereitgestellt oder aktualisiert. Obwohl die Aktivität derzeit noch begrenzt ist, warnte das Unternehmen, dass das Konzept in unzähligen Variationen von anderen Bedrohungsakteuren wiederverwendet werden könnte.

Während Polygon-Nutzer und Entwickler nicht direkt von der Kampagne betroffen sind, zeigt der Fall, wie öffentliche Blockchains missbraucht werden können, um Off-Chain-Kriminalität zu unterstützen, was schwer zu erkennen und zu zerschlagen ist.