El grupo de ransomware utiliza contratos inteligentes de Polygon para evadir eliminaciones
Los investigadores de seguridad dicen que un grupo de ransomware de bajo perfil está utilizando contratos inteligentes de Polygon para ocultar y rotar su infraestructura de comando y control.
Resumen
- El ransomware DeadLock, observado por primera vez en julio de 2025, almacena direcciones de proxy rotativas dentro de contratos inteligentes de Polygon para evadir las caídas.
- La técnica se basa únicamente en leer datos en la cadena y no explota vulnerabilidades en Polygon u otros contratos inteligentes.
- Los investigadores advierten que el método es barato, descentralizado y difícil de bloquear, aunque la campaña ha tenido víctimas confirmadas limitadas hasta ahora.
Los investigadores en ciberseguridad advierten que una cepa de ransomware recientemente identificada está usando contratos inteligentes de Polygon de una manera inusual que podría dificultar la interrupción de su infraestructura.
En un informe publicado el 15 de enero, los investigadores de la firma de ciberseguridad Group-IB dijeron que el ransomware, conocido como DeadLock, está abusando de contratos inteligentes de lectura pública en la red Polygon (POL) para almacenar y rotar direcciones de servidores proxy utilizados para comunicarse con las víctimas infectadas.
DeadLock fue observado por primera vez en julio de 2025 y ha permanecido relativamente discreto desde entonces. Group-IB afirmó que la operación tiene un número limitado de víctimas confirmadas y no está vinculada a ningún programa de afiliados de ransomware conocido ni a sitios de filtración de datos públicos.
A pesar de su baja visibilidad, la firma advirtió que las técnicas que se están usando son altamente ingeniosas y podrían representar riesgos graves si son copiadas por grupos más establecidos.
Cómo funciona la técnica
En lugar de depender de servidores tradicionales de comando y control, que a menudo pueden ser bloqueados o desconectados, DeadLock incrusta código que consulta un contrato inteligente específico de Polygon después de que un sistema ha sido infectado y cifrado. Ese contrato almacena la dirección proxy actual utilizada para transmitir la comunicación entre los atacantes y la víctima.
Debido a que los datos se almacenan en la cadena, los atacantes pueden actualizar la dirección proxy en cualquier momento, permitiéndoles rotar la infraestructura rápidamente sin volver a desplegar el malware. Las víctimas no necesitan enviar transacciones ni pagar tarifas de gas, ya que el ransomware solo realiza operaciones de lectura en la blockchain.
Una vez establecido el contacto, las víctimas reciben demandas de rescate junto con amenazas de que los datos robados serán vendidos si no se realiza el pago. Group-IB señaló que este enfoque hace que la infraestructura del ransomware sea mucho más resistente.
No hay un servidor central que pueda ser apagado, y los datos del contrato permanecen disponibles en nodos distribuidos en todo el mundo, lo que hace que las caídas sean significativamente más difíciles.
No hay vulnerabilidad en Polygon involucrada
Los investigadores enfatizaron que DeadLock no está explotando fallos en Polygon en sí mismo ni en contratos inteligentes de terceros, como protocolos de finanzas descentralizadas, carteras o puentes. El ransomware simplemente está abusando de la naturaleza pública e inmutable de los datos en blockchain para ocultar información de configuración, un método similar a técnicas anteriores de “EtherHiding”.
Varios contratos inteligentes vinculados a la campaña fueron desplegados o actualizados entre agosto y noviembre de 2025, según el análisis de Group-IB. Aunque la actividad sigue siendo limitada por ahora, la firma advirtió que el concepto podría ser reutilizado en innumerables variaciones por otros actores de amenazas.
Aunque los usuarios y desarrolladores de Polygon no enfrentan un riesgo directo por la campaña, los investigadores dicen que el caso destaca cómo las blockchains públicas pueden ser mal utilizadas para apoyar actividades criminales fuera de la cadena de manera que son difíciles de detectar y desmantelar.