DeadLock 랜섬웨어는 추적을 회피하기 위해 Polygon 스마트 계약을 사용합니다.

Mars Finance에 따르면 Group-IB의 모니터링 결과, DeadLock 랜섬웨어 계열이 보안 탐지를 회피하기 위해 Polygon 스마트 계약을 악용하여 프록시 서버 주소를 배포 및 변경하는 것으로 나타났습니다. 2025년 7월에 처음 발견된 이 악성코드는 HTML 파일 내에서 Polygon 네트워크와 상호 작용하는 임베디드 JavaScript 코드를 사용하며, RPC 목록을 게이트웨이로 활용하여 공격자가 제어하는 ​​서버 주소를 획득합니다. 이 기법은 이전에 발견된 EtherHiding과 유사하게 탈중앙화 원장을 이용하여 숨기기 어려운 은밀한 통신 채널을 구축하는 것을 목표로 합니다. DeadLock은 현재 최소 세 가지 변종이 있으며, 최신 버전은 피해자와 직접 통신하기 위해 암호화된 통신 애플리케이션인 Session을 포함하고 있습니다.