Il 9 novembre, hacker hanno preso il controllo del sistema di rilascio software di Ethersphere e lo hanno utilizzato per diffondere malware tramite bee-js 13.3.0 — la libreria client JavaScript di Ethersphere per la rete di archiviazione decentralizzata Swarm — e Swarm Desktop 0.56.2, l'applicazione desktop per l'esecuzione dei nodi Bee. Il codice malevolo era progettato per cercare le chiavi private dei wallet dei nodi Bee, dando agli attaccanti accesso ai dispositivi interessati. Il pacchetto bee-js compromesso è rimasto su npm, il principale registry per i pacchetti JavaScript, per circa 75 minuti, mentre la versione compromessa di Swarm Desktop è rimasta online per quasi otto ore e mezza.

Firmato, con provenienza verificata, e comunque malevolo

La violazione era particolarmente preoccupante perché il software malevolo sembrava legittimo. L'azienda di cybersecurity Socket ha confermato che bee-js aveva una provenienza SLSA valida — il framework Supply-chain Levels for Software Artifacts, che documenta come una build è stata prodotta — mentre l'installer macOS di Swarm Desktop era stato firmato e autenticato da Apple, con supporto all'aggiornamento automatico per gli utenti Apple Silicon e Windows. Quei controlli verificavano l'origine del software, ma non la sua sicurezza.

Gli attaccanti hanno inserito codice malevolo in flussi di lavoro affidabili. Socket ha collegato l'incidente ad account GitHub compromessi, incluso il release bot bee-worker, anche se resta sconosciuto come sia stato ottenuto tale accesso.

Cosa ruba il loader

StepSecurity ha scoperto che gli attaccanti hanno modificato scripts/generate-version.cjs per scaricare codice malevolo da api.frameworkmetrics[.]xyz. Lo script veniva eseguito automaticamente quando gli sviluppatori installavano bee-js 13.3.0, anche se non utilizzavano mai la libreria.

Il malware cercava quindi due file: config.yaml e data-dir/keys/swarm.key. Il primo conteneva la password necessaria per sbloccare la chiave del wallet crittografata memorizzata nel secondo. Con entrambi i file in mano, gli attaccanti potevano prendere il controllo di un wallet di un nodo Bee.

Il malware installava anche backdoor per mantenere l'accesso remoto. Su Windows distribuiva ScreenConnect, uno strumento commerciale di accesso remoto; su Linux e macOS le backdoor si mascheravano da legittimi strumenti di sviluppo Solidity.

Lo stesso wallet dietro SleepyDuck

Socket ha scoperto che il malware utilizzava il contratto Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 per localizzare i propri server di comando e controllo. Pluto Security aveva in precedenza collegato lo stesso contratto alle campagne SleepyDuck ed EtherDuck, che diffondevano malware tramite falsi estensioni Solidity.

Questa volta, tuttavia, gli attaccanti hanno scelto una strada diversa: compromettere le versioni autentiche del software di Ethersphere anziché indurre gli sviluppatori a scaricare falsi. La tecnica ricorda un precedente attacco alla supply chain npm riportato da Cryptopolitan, in cui hacker hanno diffuso malware tramite i pacchetti del progetto WeaveDB di Arweave.

Cosa devono fare ora gli operatori

In due comunicati ufficiali (1, 2), Ethersphere ha identificato entrambe le versioni come malevole. Il maintainer darkobas2 ha dichiarato in una pull request di ripristino che la 0.56.2 "era stata compilata e pubblicata da un attaccante utilizzando credenziali CI rubate." La sostituzione pulita, la 0.56.3, era "lo stesso codice della 0.56.1", firmata con un nuovo certificato.

Gli utenti dovrebbero verificare la versione del proprio Desktop e installare la 0.56.3; gli utenti Linux devono aggiornare manualmente. Chiunque abbia eseguito il malware dovrebbe isolare e ricostruire la macchina, spostare fondi e stake da un dispositivo pulito e ruotare le credenziali. Gli utenti di bee-js dovrebbero bloccare la versione 13.2.0, poiché un semplice aggiornamento non rimuoverà una backdoor.

Socket ha registrato 65 download della versione Desktop compromessa entro le 08:27 UTC del 9 novembre, inclusi ricercatori, e stima circa dieci fetch di bee-js 13.3.0. Nessuna delle due cifre è un conteggio delle vittime, e non esiste alcun bilancio confermato di macchine infette o fondi rubati. Due dettagli restano da seguire mentre il ripristino continua: come gli attaccanti abbiano ottenuto l'accesso all'infrastruttura di rilascio, e se emergano perdite confermate.

Contesto a livello di settore

Sulla dashboard di CertiK, il compromissione dei wallet è seconda per perdite nel 2026 (769,1 milioni di dollari) e terza per incidenti (75). Il compromissione delle chiavi private è quinta per perdite (158 milioni di dollari) e quarta per incidenti (47). Queste cifre sono a livello di settore, non specifiche di Ethersphere.

CoinGecko riportava BZZ vicino a 0,0654 dollari il 10 novembre, ma non è stato accertato alcun ribasso legato alla violazione. L'avvertimento più ampio riguarda la fiducia nel software: persino aggiornamenti dall'aspetto autentico possono rubare le chiavi.