Blockchain C2 è un metodo di comando e controllo che utilizza l'infrastruttura blockchain per pubblicare o recuperare istruzioni, dati di configurazione o altri piccoli messaggi di controllo per il malware. Anziché fare affidamento solo su un server o un dominio fisso, un operatore può memorizzare riferimenti in transazioni blockchain, smart contract o metadati correlati che l'host infetto può leggere e a cui può agire di conseguenza.
Questo è importante perché i record blockchain sono distribuiti, difficili da manomettere e spesso complicati da bloccare senza influire sul traffico legittimo. Ciò può rendere più lenti il takedown e il sinkholing, e offre agli attaccanti un canale di controllo più resiliente. Negli attacchi reali, il blockchain C2 viene spesso usato per recuperare la fase successiva, ruotare gli indirizzi o aggiornare le impostazioni del payload. I difensori cercano query blockchain insolite provenienti dai sistemi degli utenti, interazioni sospette con wallet o contract e malware che abbina letture blockchain a logiche di esecuzione locale crittografate.