Un risolutore blockchain è una tecnica per recuperare dati di command-and-control (C2) da una rete blockchain invece che da un normale server web o da un record DNS. Il malware può leggere transazioni, archiviazione di smart contract o metadati on-chain per recuperare un indirizzo, un dominio o la posizione del payload della fase successiva. In alcuni progetti, gli operatori possono aggiornare tali dati on-chain nel tempo, rendendo più difficile bloccare o rimuovere il percorso di controllo del malware.
Questo è importante perché i difensori non possono sempre affidarsi a un singolo indicatore fisso per interrompere il traffico. Se il puntatore C2 è derivato da un registro decentralizzato, un semplice blocco del dominio può fallire e l'uso di sinkhole diventa più difficile. In attacchi reali, gli analisti possono vedere il malware interrogare un'API blockchain, un indirizzo wallet o un contratto, quindi usare il valore restituito per connettersi all'esterno. I difensori cercano un accesso insolito alla blockchain dagli endpoint, decodificano la logica del risolutore e bloccano il comportamento di rete successivo del malware anziché soltanto la sorgente on-chain.