eth_call verso un nodo Polygon: comando e controllo su blockchain
Una richiesta eth_call verso un nodo RPC pubblico di Polygon dentro il codice di un sito WordPress indica che le istruzioni dell'attaccante sono conservate in un contratto su blockchain invece che su un server: è la tecnica nota come EtherHiding, e serve a rendere il canale di comando impossibile da chiudere con una segnalazione di abuso. WPsec.it ha documentato un caso reale di questa famiglia nel giugno 2026.
Famiglia: EtherHiding, comando e controllo on-chain · Aggiornato il 30 agosto 2026
Le stringhe esatte
Se hai trovato una di queste stringhe sul tuo sito, sei nella pagina giusta.
eth_callpolygon-rpcblastapi0xb68d1809
Dove si trova
- Nel codice JavaScript ricostruito a runtime, quindi visibile solo dopo la decodifica
- Come richiesta di rete verso domini di nodi RPC pubblici, osservabile negli strumenti per sviluppatori del browser
Cosa fa
- Legge un valore da un contratto su blockchain: quel valore contiene l'indirizzo o il codice da eseguire nella fase successiva.
- Elimina il punto debole delle infrastrutture tradizionali: non c'è un dominio da bloccare né un hosting a cui segnalare l'abuso.
- Permette all'attaccante di cambiare il carico aggiornando il contratto, senza toccare i siti infetti.
Come verificare
Comandi di sola lettura: non modificano nulla. Sostituisci ESEMPIO.it con il tuo dominio ed esegui dalla radice del sito.
Cerca riferimenti a chiamate RPC nel codice del sito
grep -rn --include='*.js' --include='*.php' -E 'eth_call|polygon-rpc|blastapi|drpc\.org|publicnode' wp-content/Osserva le richieste di rete uscenti dalla pagina
Apri gli strumenti per sviluppatori del browser, scheda Rete, e ricarica la pagina cercando richieste verso domini di nodi blockchain
Cosa non basta fare
- Segnalare il dominio all'hosting dell'attaccante: in questa famiglia non c'è un hosting da segnalare.
- Bloccare un indirizzo IP: i nodi RPC usati sono servizi pubblici legittimi, condivisi con usi leciti.
Cosa fare
- Concentrati sul sito, non sull'infrastruttura dell'attaccante: la sola cosa che puoi chiudere è la via di ingresso.
- Conserva l'indirizzo del contratto e il selettore della chiamata: identificano la campagna e servono a riconoscere una eventuale reinfezione.
- Verifica la presenza dello stesso caricatore su tutti i siti ospitati sullo stesso account: queste campagne colpiscono per hosting, non per sito.