Group-IB 모니터링에 따르면, DeadLock 랜섬웨어 계열은 보안 탐지를 회피하기 위해 Polygon 스마트 계약을 악용하여 프록시 서버 주소를 배포하고 순환시키고 있습니다. 2025년 7월에 처음 발견된 이 악성코드는 HTML 파일 내에서 Polygon 네트워크와 상호 작용하는 임베디드 JavaScript 코드를 사용하며, RPC 목록을 게이트웨이로 활용하여 공격자가 제어하는 ​​서버 주소를 획득합니다. 이러한 기법은 이전에 발견된 EtherHiding과 유사하며, 분산 원장을 이용하여 숨기기 어려운 은밀한 통신 채널을 구축하는 것을 목표로 합니다. DeadLock은 현재 최소 세 가지 변종이 있으며, 최신 버전은 피해자와 직접 통신하기 위해 암호화된 통신 애플리케이션인 Session을 포함하고 있습니다.