Non ho visto nulla, però potrebbe essere un virus con un client modificato che non è nemmeno un core pruned, semplicemente verifica solo i nuovi blocchi/mempool. In questo caso andrebbero bloccate le porte 8333 in uscita da PC che non hanno a che vedere con BTC, oltre a far analisi della rete di vari proxy o server centrali che potrebbero fare da ponte.