Am 9. November übernahmen Hacker die Kontrolle über Etherspheres Software-Release-System und nutzten es, um über bee-js 13.3.0 — Etherspheres JavaScript-Client-Bibliothek für das dezentrale Speichernetzwerk Swarm — und Swarm Desktop 0.56.2, die Desktop-Anwendung zum Betrieb von Bee-Nodes, Schadsoftware zu verbreiten. Der bösartige Code wurde darauf ausgelegt, private Schlüssel von Bee-Node-Wallets aufzuspüren, wodurch die Angreifer Zugriff auf betroffene Geräte erhielten. Das verseuchte bee-js-Paket blieb rund 75 Minuten auf npm, dem wichtigsten Registry für JavaScript-Pakete, während die kompromittierte Swarm-Desktop-Version fast achtseinhalb Stunden online blieb.

Signiert, mit Provenienz versehen und dennoch bösartig

Der Angriff war besonders besorgniserregend, weil die Schadsoftware legitim wirkte. Das Cybersecurity-Unternehmen Socket bestätigte, dass bee-js über eine gültige SLSA-Provenienz verfügte — das Framework „Supply-chain Levels for Software Artifacts“, das dokumentiert, wie ein Build entstanden ist —, während der macOS-Installer von Swarm Desktop signiert und von Apple notarisiert war und Auto-Update-Unterstützung für Apple-Silicon- und Windows-Nutzer bot. Diese Prüfungen bestätigten die Herkunft der Software, nicht aber deren Sicherheit.

Die Angreifer schleusten bösartigen Code in vertrauenswürdige Workflows ein. Socket brachte den Vorfall mit kompromittierten GitHub-Konten in Verbindung, darunter das Release-Bot bee-worker; wie dieser Zugriff erlangt wurde, ist weiterhin unbekannt.

Was der Loader stiehlt

StepSecurity fand heraus, dass die Angreifer scripts/generate-version.cjs verändert hatten, um bösartigen Code von api.frameworkmetrics[.]xyz herunterzuladen. Das Skript lief automatisch, wenn Entwickler bee-js 13.3.0 installierten — selbst wenn sie die Bibliothek nie verwendeten.

Die Schadsoftware suchte anschließend nach zwei Dateien: config.yaml und data-dir/keys/swarm.key. Die erste enthielt das Passwort, das zum Entsperren des verschlüsselten Wallet-Keys in der zweiten Datei nötig war. Mit beiden Dateien konnten die Angreifer die Kontrolle über eine Bee-Node-Wallet übernehmen.

Die Schadsoftware installierte zudem Hintertüren, um den Remote-Zugriff aufrechtzuerhalten. Auf Windows setzte sie ScreenConnect, ein kommerzielles Remote-Access-Tool, ein; auf Linux und macOS gaben sich die Hintertüren als legitime Solidity-Entwicklungswerkzeuge aus.

Dasselbe Wallet hinter SleepyDuck

Socket stellte fest, dass die Schadsoftware den Ethereum-Vertrag 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 nutzte, um ihre Command-and-Control-Server zu finden. Pluto Security hatte denselben Vertrag zuvor mit den Kampagnen SleepyDuck und EtherDuck in Verbindung gebracht, die Schadsoftware über gefälschte Solidity-Erweiterungen verbreiteten.

Diesmal wählten die Angreifer jedoch einen anderen Weg: Sie kompromittierten Etherspheres authentische Software-Releases, statt Entwickler zum Herunterladen von Fälschungen zu verleiten. Die Methode ähnelt einem früheren npm-Lieferkettenangriff, über den Cryptopolitan berichtete, bei dem Hacker Schadsoftware über die Pakete von Arweaves WeaveDB-Projekt verbreiteten.

Was Betreiber jetzt tun müssen

In zwei offiziellen Mitteilungen (1, 2) stufte Ethersphere beide Releases als bösartig ein. Maintainer darkobas2 erklärte in einem Recovery-Pull-Request, dass 0.56.2 „von einem Angreifer mit gestohlenen CI-Zugangsdaten erstellt und veröffentlicht wurde“. Der saubere Ersatz, 0.56.3, sei „derselbe Code wie 0.56.1“, signiert mit einem neuen Zertifikat.

Nutzer sollten ihre Desktop-Version prüfen und 0.56.3 installieren; Linux-Nutzer müssen manuell aktualisieren. Wer die Schadsoftware ausgeführt hat, sollte den Rechner isolieren und neu aufsetzen, Guthaben und Stake von einem sauberen Gerät transferieren und Zugangsdaten rotieren. bee-js-Nutzer sollten Version 13.2.0 pinnen, da ein Update allein eine Hintertür nicht entfernt.

Socket registrierte bis 08:27 UTC am 9. November 65 Downloads der verseuchten Desktop-Version, darunter Forscher, und schätzte etwa zehn Abrufe von bee-js 13.3.0. Keine der beiden Zahlen ist eine Opferzahl, und es gibt keine bestätigte Bilanz infizierter Maschinen oder gestohlener Mittel. Zwei Punkte bleiben im Zuge der Wiederherstellung beobachtenswert: wie die Angreifer Zugriff auf die Release-Infrastruktur erlangten und ob bestätigte Verluste auftreten.

Branchenweiter Kontext

Auf CertiKs Dashboard rangiert Wallet-Kompromittierung nach Verlusten im Jahr 2026 an zweiter Stelle (769,1 Millionen Dollar) und nach Anzahl der Vorfälle an dritter Stelle (75). Private-Key-Kompromittierung liegt bei den Verlusten an fünfter Stelle (158 Millionen Dollar) und bei den Vorfällen an vierter Stelle (47). Diese Zahlen gelten branchenweit, nicht spezifisch für Ethersphere.

CoinGecko notierte BZZ am 10. November bei etwa 0,0654 Dollar, ein angriffsbedingter Verkaufsdruk ist jedoch nicht belegt. Die größere Warnung betrifft das Vertrauen in Software: Auch authentisch wirkende Updates können Keys stehlen.