11月9日、ハッカーがEthersphereのソフトウェアリリースシステムを掌握し、bee-js 13.3.0(Ethersphereの分散型ストレージネットワークSwarm向けJavaScriptクライアントライブラリ)およびBeeノード実行用デスクトップアプリケーションSwarm Desktop 0.56.2を通じてマルウェアを配布しました。この悪意のあるコードはBeeノードのウォレット秘密鍵を探し出すように作られており、攻撃者は影響を受けたデバイスへのアクセスを獲得しました。汚染されたbee-jsパッケージはJavaScriptパッケージの主要レジストリであるnpm上に約75分間残存し、侵害されたSwarm Desktopリリースは8時間半近くオンラインのままでした。

署名され、出自が証明されながらも悪意のあるソフトウェア

この侵害が特に懸念されたのは、悪意のあるソフトウェアが正規のものであるように見えたためです。サイバーセキュリティ企業のSocketは、bee-jsに有効なSLSAプロビナンス(ビルドがどのように生成されたかを記録するSupply-chain Levels for Software Artifactsフレームワーク)が付与されていたことを確認しました。また、Swarm DesktopのmacOSインストーラは署名済みでApple公証も受けており、Apple SiliconおよびWindowsユーザー向けに自動アップデートをサポートしていました。これらの検証はソフトウェアの出所を確認しただけで、その安全性まで保証するものではありませんでした。

攻撃者は信頼されたワークフローに悪意のあるコードを注入しました。Socketはこのインシデントを、リリースボットbee-workerを含む侵害されたGitHubアカウントに結び付けていますが、そのアクセスがどのように取得されたかは依然として不明です。

ローダーが窃取するもの

StepSecurityは、攻撃者がscripts/generate-version.cjsを改変し、api.frameworkmetrics[.]xyzから悪意のあるコードをダウンロードするようにしていたことを突き止めました。このスクリプトは、開発者がライブラリを使用したことがなくても、bee-js 13.3.0をインストールすると自動的に実行されました。

マルウェアはその後、config.yamlとdata-dir/keys/swarm.keyの2つのファイルを探しました。前者には、後者に保存された暗号化されたウォレット鍵のロックを解除するためのパスワードが含まれていました。両方を手に入れた攻撃者は、Beeノードのウォレットを掌握することが可能になります。

マルウェアはリモートアクセスを維持するためにバックドアも設置しました。Windowsでは市販のリモートアクセスツールScreenConnectを使用し、LinuxおよびmacOSではバックドアが正規のSolidity開発ツールに偽装していました。

SleepyDuckの背後にあった同じウォレット

Socketは、マルウェアがEthereumコントラクト0xf8a900Db50b3331be6B768bA460BB59f3E40C344を使用してコマンド・アンド・コントロールサーバーを特定していたことを発見しました。Pluto Securityは以前、偽のSolidity拡張機能を通じてマルウェアを spread していたSleepyDuckおよびEtherDuckキャンペーンに、同じコントラクトが関係していたことを指摘しています。

しかし今回は、攻撃者は異なる手法を選択しました。開発者を誘引して偽ソフトウェアをダウンロードさせるのではなく、Ethersphereの正規ソフトウェアリリースそのものを侵害したのです。この手法は、ハッカーがArweaveのWeaveDBプロジェクトパッケージを通じてマルウェアを配布した、Cryptopolitanが報じた過去のnpmサプライチェーン攻撃を彷彿とさせます。

運用者が今すぐ取るべき対策

Ethersphereは2つの公式発表(1、2)において、両リリースが悪意のあるものであると特定しました。メンテナーのdarkobas2は復旧用プルリクエストの中で、0.56.2は「盗まれたCI認証情報を使用して攻撃者がビルドおよび公開したもの」であると述べました。クリーンな代替リリースである0.56.3は「0.56.1と同じコード」で、新しい証明書で署名されています。

ユーザーはDesktopのバージョンを確認し、0.56.3をインストールする必要があります。Linuxユーザーは手動でアップデートしなければなりません。マルウェアを実行した人は、コンピュータを隔離して再構築し、クリーンなデバイスから資金とステーキングを移動し、認証情報をローテーションするべきです。bee-jsユーザーは13.2.0に固定すべきです。アップデートだけではバックドアを削除できません。

Socketは、11月9日の08:27 UTCまでに、研究者を含む汚染されたDesktopリリースのダウンロード65件を記録し、bee-js 13.3.0の取得は約10件と推定しています。いずれも被害者数ではなく、感染マシンや盗難資金の確定した集計は存在しません。復旧が進む中で注目すべき2つの点は、攻撃者がリリースインフラへのアクセスをどのように獲得したか、そして確定した損失が明らかになるかどうかです。

業界全体の背景

CertiKのダッシュボードによると、ウォレット侵害は2026年の損失額(7億6,910万ドル)で第2位、インシデント数(75件)で第3位です。秘密鍵の侵害は損失額で第5位(1億5,800万ドル)、インシデント数で第4位(47件)です。これらは業界全体の数字であり、Ethersphere固有の損失ではありません。

CoinGeckoは11月10日、BZZを約0.0654ドルと評価していますが、侵害に起因する売り飛ばしは確認されていません。より大きな警告はソフトウェアの信頼性に関するものです。正規に見えるアップデートでさえ鍵を盗む可能性があるのです。