Nostr è un protocollo decentralizzato di messaggistica e pubblicazione basato su eventi firmati. Gli utenti controllano l'identità con coppie di chiavi pubbliche/private, e i client distribuiscono i dati del profilo e i messaggi attraverso relay indipendenti invece di un unico server centrale. Poiché il protocollo è aperto e basato su relay, i metadati del profilo possono essere aggiornati senza modificare un binario malware o un dominio visibile alla vittima.
In ambito di sicurezza informatica, questa flessibilità conta. Gli aggressori possono nascondere i dettagli di comando e controllo nei campi del profilo, negli elenchi di relay o in altri metadati pubblicamente visibili, quindi far sì che un implant interroghi i relay per recuperare il server della fase successiva. Questo può rendere l'infrastruttura più difficile da bloccare nelle blocklist e più semplice da ruotare. I difensori cercano query sospette ai relay, modifiche insolite del profilo collegate all'infrastruttura della minaccia e binari che recuperano le destinazioni da servizi pubblici decentralizzati invece di codificarle in modo fisso.