Chainalysis表示，国家关联黑客正越来越多地将公有区块链用作持久的恶意软件指挥基础设施；截至2026年第二季度，与朝鲜和伊朗有关联的团体约占新观察到的区块链“死信箱”活动的三分之二。该公司追踪的全部活动中，国家关联运营者约占一半，高于2024年初微不足道的占比。区块链“死信箱”将恶意软件指令、命令与控制地址或指针存储在交易和智能合约中，使受感染设备无需重新感染即可获取更新。在高容量开放权重中国AI模型出现后，恶意区块链写入操作从每天2.06次增至11.1次，不到一年内增加440%；不过，Chainalysis表示，这些数据无法确定某个单一模型，也不能证明增长完全由AI导致。与朝鲜有关联的UNC5342利用TRON和Aptos作为进入BNB Smart Chain的冗余路径，而与伊朗有关联的运营者则将路由数据嵌入比特币交易中。俄语犯罪团体也通过恶意软件即服务模式提供基于区块链的基础设施。公有账本的永久性使其难以被删除，但也为防御者提供了可供监测的交易历史、钱包关系和解析器更新。随着攻击者更加依赖公有网络，RPC和应用程序接口（API）提供商可能成为关键干预点。