Op 9 november namen hackers de controle over het software-releasesysteem van Ethersphere over en gebruikten het om malware te verspreiden via bee-js 13.3.0 — de JavaScript-clientbibliotheek van Ethersphere voor het gedecentraliseerde opslagnetwerk Swarm — en Swarm Desktop 0.56.2, de desktopapplicatie voor het draaien van Bee-nodes. De kwaadwillende code was gebouwd om te zoeken naar de privésleutels van Bee-node-wallets, waarmee de aanvallers toegang kregen tot getroffen apparaten. Het besmette bee-js-pakket bleef ongeveer 75 minuten op npm, het belangrijkste register voor JavaScript-pakketten, staan, terwijl de gecompromitteerde Swarm Desktop-release bijna achteneenhalf uur online bleef.

Ondertekend, van gecontroleerde herkomst, en toch kwaadwillend

Het datalek was bijzonder zorgwekkend omdat de kwaadwillende software legitiem leek. Cybersecuritybedrijf Socket bevestigde dat bee-js over geldige SLSA-provenance beschikte — het Supply-chain Levels for Software Artifacts-framework, dat documenteert hoe een build is geproduceerd — terwijl het macOS-installatieprogram van Swarm Desktop was ondertekend en door Apple genotariseerd, met ondersteuning voor automatische updates voor gebruikers van Apple Silicon en Windows. Die controles verifieerden de herkomst van de software, maar niet de veiligheid ervan.

De aanvallers plaatsten kwaadwillende code in vertrouwde workflows. Socket koppelde het incident aan gecompromitteerde GitHub-accounts, waaronder de release-bot bee-worker, hoewel onduidelijk blijft hoe die toegang is verkregen.

Wat de loader steelt

StepSecurity ontdekte dat de aanvallers scripts/generate-version.cjs hadden aangepast om kwaadwillende code te downloaden van api.frameworkmetrics[.]xyz. Het script werd automatisch uitgevoerd wanneer ontwikkelaars bee-js 13.3.0 installeerden, zelfs als ze de bibliotheek nooit gebruikten.

De malware zocht vervolgens naar twee bestanden: config.yaml en data-dir/keys/swarm.key. Het eerste bevatte het wachtwoord dat nodig was om de versleutelde wallet-sleutel in het tweede bestand te ontgrendelen. Met beide in handen konden aanvallers de controle over een Bee-node-wallet overnemen.

De malware installeerde ook backdoors om externe toegang te behouden. Op Windows werd ScreenConnect ingezet, een commerciele tool voor externe toegang; op Linux en macOS camoufleerden de backdoors zich als legitieme Solidity-ontwikkeltools.

Dezelfde wallet achter SleepyDuck

Socket ontdekte dat de malware het Ethereum-contract 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 gebruikte om zijn command-and-control-servers te vinden. Pluto Security had hetzelfde contract eerder gekoppeld aan de SleepyDuck- en EtherDuck-campagnes, die malware verspreidden via valse Solidity-extensies.

Deze keer kozen de aanvallers echter een andere route: het compromitteren van de authentieke softwarereleases van Ethersphere in plaats van ontwikkelaars te verleiden tot het downloaden van vervalsingen. De techniek lijkt op een eerdere npm supply-chain-aanval die Cryptopolitan meldde, waarbij hackers malware verspreidden via de WeaveDB-projectpakketten van Arweave.

Wat beheerders nu moeten doen

In twee officiële meldingen (1, 2) bestempelde Ethersphere beide releases als kwaadwillend. Maintainer darkobas2 verklaarde in een herstel-pull request dat 0.56.2 "was built and published by an attacker using stolen CI credentials." De schone vervanging, 0.56.3, was "same code as 0.56.1," ondertekend met een nieuw certificaat.

Gebruikers moeten hun Desktop-versie controleren en 0.56.3 installeren; Linux-gebruikers moeten handmatig bijwerken. Iedereen die de malware heeft uitgevoerd, moet de computer isoleren en opnieuw opbouwen, fondsen en stake vanaf een schoon apparaat verplaatsen en inloggegevens vernieuwen. bee-js-gebruikers moeten versie 13.2.0 vastzetten, aangezien een update alleen een backdoor niet verwijdert.

Socket registreerde 65 downloads van de besmette Desktop-release vóór 08:27 UTC op 9 november, waaronder onderzoekers, en schatte ongeveer tien downloads van bee-js 13.3.0. Geen van beide cijfers is een slachtofferantallen, en er bestaat geen bevestigde telling van geïnfecteerde machines of gestolen fondsen. Twee details blijven de moeite waard om te volgen nu het herstel vordert: hoe de aanvallers toegang tot de release-infrastructuur verkregen, en of er bevestigde verliezen naar voren komen.

Sectorbrede context

Op het dashboard van CertiK staat wallet-compromittering tweede qua verliezen in 2026 (769,1 miljoen dollar) en derde qua incidenten (75). Compromittering van privésleutels staat vijfde qua verliezen (158 miljoen dollar) en vierde qua incidenten (47). Deze cijfers gelden voor de hele sector, niet specifiek voor Ethersphere.

CoinGecko noteerde BZZ op 10 november rond $0,0654, maar er is geen door het datalek veroorzaakte verkoopgolf vastgesteld. De bredere waarschuwing betreft vertrouwen in software: zelfs authentiek lijkende updates kunnen sleutels stelen.