El 9 de noviembre, hackers tomaron el control del sistema de publicación de software de Ethersphere y lo utilizaron para distribuir malware a través de bee-js 13.3.0 —la biblioteca cliente de JavaScript de Ethersphere para la red de almacenamiento descentralizado Swarm— y Swarm Desktop 0.56.2, la aplicación de escritorio para ejecutar nodos Bee. El código malicioso fue diseñado para buscar las claves privadas de las billeteras de los nodos Bee, otorgando a los atacantes acceso a los dispositivos afectados. El paquete comprometido de bee-js permaneció en npm, el registro principal de paquetes de JavaScript, durante aproximadamente 75 minutos, mientras que la versión comprometida de Swarm Desktop estuvo en línea cerca de ocho horas y media.

Firmado, con procedencia verificada y aun así malicioso

Este brecha era particularmente preocupante porque el software malicioso parecía legítimo. La empresa de ciberseguridad Socket confirmó que bee-js contaba con procedencia SLSA válida —el marco Supply-chain Levels for Software Artifacts, que documenta cómo se produjo una compilación—, mientras que el instalador de macOS de Swarm Desktop había sido firmado y notarizado por Apple, con soporte de actualización automática para usuarios de Apple Silicon y Windows. Estas verificaciones confirmaban el origen del software, pero no su seguridad.

Los atacantes insertaron código malicioso en flujos de trabajo confiables. Socket vinculó el incidente a cuentas de GitHub comprometidas, incluido el bot de publicaciones bee-worker, aunque cómo se obtuvo ese acceso sigue siendo desconocido.

Qué roba el cargador

StepSecurity descubrió que los atacantes modificaron scripts/generate-version.cjs para descargar código malicioso desde api.frameworkmetrics[.]xyz. El script se ejecutaba automáticamente cuando los desarrolladores instalaban bee-js 13.3.0, incluso si nunca usaban la biblioteca.

El malware luego buscaba dos archivos: config.yaml y data-dir/keys/swarm.key. El primero contenía la contraseña necesaria para desbloquear la clave de billetera cifrada almacenada en el segundo. Con ambos archivos en mano, los atacantes podían tomar el control de una billetera de nodo Bee.

El malware también instaló puertas traseras para mantener el acceso remoto. En Windows, desplegó ScreenConnect, una herramienta comercial de acceso remoto; en Linux y macOS, las puertas traseras se disfrazaban de herramientas legítimas de desarrollo de Solidity.

La misma billetera detrás de SleepyDuck

Socket descubrió que el malware utilizó el contrato de Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 para localizar sus servidores de comando y control. Pluto Security había vinculado previamente el mismo contrato a las campañas SleepyDuck y EtherDuck, que difundían malware a través de extensiones falsas de Solidity.

En esta ocasión, sin embargo, los atacantes tomaron un camino diferente: comprometer las versiones auténticas de software de Ethersphere en lugar de atraer a los desarrolladores a descargar falsificaciones. La técnica se parece a un ataque previo de cadena de suministro en npm reportado por Cryptopolitan, en el que hackers distribuyeron malware a través de los paquetes del proyecto WeaveDB de Arweave.

Lo que los operadores deben hacer ahora

En dos avisos oficiales (1, 2), Ethersphere identificó ambas versiones como maliciosas. El mantenedor darkobas2 declaró en un pull request de recuperación que 0.56.2 "fue compilada y publicada por un atacante utilizando credenciales de CI robadas". El reemplazo limpio, 0.56.3, era "el mismo código que 0.56.1", firmado con un certificado nuevo.

Los usuarios deben verificar su versión de Desktop e instalar 0.56.3; los usuarios de Linux deben actualizar manualmente. Quien haya ejecutado el malware debe aislar y reconstruir la máquina, mover fondos y stake desde un dispositivo limpio y rotar las credenciales. Los usuarios de bee-js deben fijar la versión 13.2.0, ya que una simple actualización no eliminará una puerta trasera.

Socket registró 65 descargas de la versión comprometida de Desktop hasta las 08:27 UTC del 9 de noviembre, incluidos investigadores, y estimó alrededor de diez descargas de bee-js 13.3.0. Ninguna de las dos cifras representa un conteo de víctimas, y no existe un recuento confirmado de máquinas infectadas ni de fondos robados. Dos detalles siguen siendo dignos de atención mientras continúa la recuperación: cómo los atacantes obtuvieron acceso a la infraestructura de publicación y si surge alguna pérdida confirmada.

Contexto a nivel de la industria

En el panel de CertiK, el compromiso de billeteras ocupa el segundo lugar en pérdidas de 2026 ($769.1 millones) y el tercero en incidentes (75). El compromiso de claves privadas ocupa el quinto lugar en pérdidas ($158 millones) y el cuarto en incidentes (47). Esas cifras corresponden a toda la industria, no específicamente a Ethersphere.

CoinGecko cotizó BZZ cerca de $0.0654 el 10 de noviembre, pero no se ha establecido ninguna venta masiva provocada por la brecha. La advertencia más amplia concierne a la confianza en el software: incluso las actualizaciones de apariencia auténtica pueden robar claves.