9 ноября хакеры захватили контроль над системой выпуска программного обеспечения Ethersphere и использовали её для распространения вредоносного кода через bee-js 13.3.0 — JavaScript-клиентскую библиотеку Ethersphere для децентрализованной сети хранения данных Swarm — и Swarm Desktop 0.56.2, десктопное приложение для запуска узлов Bee. Вредоносный код был создан для поиска приватных ключей кошельков узлов Bee, что даёт злоумышленникам доступ к затронутым устройствам. Заражённый пакет bee-js оставался на npm, основном реестре JavaScript-пакетов, около 75 минут, а скомпрометированный релиз Swarm Desktop оставался в сети почти восемь с половиной часов.

Подписано, с подтверждённым происхождением — и всё равно вредоносно

Этот инцидент вызвал особую обеспокоенность, поскольку вредоносное ПО выглядело легитимным. Компания по кибербезопасности Socket подтвердила, что bee-js имел валидное SLSA-происхождение — метаданные фреймворка Supply-chain Levels for Software Artifacts, документирующие, как была произведена сборка, — а установщик Swarm Desktop для macOS был подписан и нотаризован Apple, с поддержкой автообновления для пользователей Apple Silicon и Windows. Эти проверки подтверждали происхождение ПО, но не его безопасность.

Злоумышленники внедрили вредоносный код в доверенные рабочие процессы. Socket связала инцидент со скомпрометированными аккаунтами GitHub, включая релизного бота bee-worker, однако как был получен доступ, остаётся неизвестным.

Что похищает загрузчик

StepSecurity обнаружила, что злоумышленники изменили scripts/generate-version.cjs для загрузки вредоносного кода с api.frameworkmetrics[.]xyz. Скрипт запускался автоматически при установке bee-js 13.3.0 разработчиками, даже если они никогда не использовали библиотеку.

Затем вредоносное ПО искало два файла: config.yaml и data-dir/keys/swarm.key. В первом содержался пароль, необходимый для разблокировки зашифрованного ключа кошелька, хранящегося во втором. Имея оба файла, злоумышленники могли получить контроль над кошельком узла Bee.

Вредоносное ПО также устанавливало бэкдоры для сохранения удалённого доступа. На Windows оно разворачивало ScreenConnect, коммерческий инструмент удалённого доступа; на Linux и macOS бэкдоры маскировались под легитимные инструменты разработки Solidity.

Тот же кошелёк, что стоял за SleepyDuck

Socket обнаружила, что вредоносное ПО использовало контракт Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 для поиска своих командных серверов. Pluto Security ранее связывала этот же контракт с кампаниями SleepyDuck и EtherDuck, распространявшими вредоносное ПО через поддельные расширения Solidity.

Однако в этот раз злоумышленники пошли другим путём: они скомпрометировали подлинные релизы ПО Ethersphere, вместо того чтобы заманивать разработчиков на скачивание подделок. Этот метод напоминает прежнюю атаку на цепочку поставок npm, о которой сообщал Cryptopolitan, где хакеры распространяли вредоносное ПО через пакеты проекта WeaveDB от Arweave.

Что нужно делать операторам сейчас

В двух официальных уведомлениях (1, 2) Ethersphere признала оба релиза вредоносными. Мейнтейнер darkobas2 заявил в recovery pull request, что 0.56.2 «была собрана и опубликована злоумышленником с использованием украденных учётных данных CI». Чистая замена, 0.56.3, содержит «тот же код, что и 0.56.1» и подписана новым сертификатом.

Пользователям следует проверить версию Desktop и установить 0.56.3; пользователям Linux необходимо обновиться вручную. Всем, кто запускал вредоносное ПО, следует изолировать и переустановить систему, перевести средства и стейкинг с чистого устройства и сменить учётные данные. Пользователям bee-js следует закрепить версию 13.2.0, поскольку одно лишь обновление не удалит бэкдор.

Socket зафиксировала 65 загрузок заражённого релиза Desktop к 08:27 UTC 9 ноября, включая исследователей, и оценила число загрузок bee-js 13.3.0 примерно в десять. Ни одна из этих цифр не является числом жертв, и подтверждённых данных о количестве заражённых машин или похищенных средств нет. По мере продолжения восстановления стоит следить за двумя моментами: как злоумышленники получили доступ к инфраструктуре релизов и появятся ли подтверждённые потери.

Общеотраслевой контекст

По данным дашборда CertiK, компрометация кошельков занимает второе место по потерям в 2026 году ($769,1 млн) и третье по числу инцидентов (75). Компрометация приватных ключей занимает пятое место по потерям ($158 млн) и четвёртое по числу инцидентов (47). Это цифры по всей отрасли, а не специфичные для Ethersphere.

CoinGecko оценивал BZZ около $0,0654 на 10 ноября, однако вызванного взломом распродажи не зафиксировано. Более широкое предупреждение касается доверия к программному обеспечению: даже подлинные на вид обновления могут похищать ключи.