9 ноября система выпуска программного обеспечения Ethersphere была захвачена хакерами, которые использовали её для распространения вредоносного ПО через bee-js 13.3.0 и Swarm Desktop 0.56.2.
Это вредоносное ПО было запрограммировано на поиск частных ключей кошельков Bee node, что дало хакеров доступ к зараженным устройствам. В то время как пакет bee-js оставался на npm в течение около 75 минут, выпуск Swarm Desktop оставался онлайн почти восемь с половиной часов.
Подписано, с подтверждённым происхождением и всё ещё вредоносное
Тревожный момент этого инцидента заключается в том, что программное обеспечение выглядело легитимным. Компания Socket подтвердила наличие у bee-js действительного происхождения SLSA. Установщик Swarm Desktop для macOS был подписан и получил одобрение Apple. Он мог автоматически обновляться для пользователей Apple Silicon и Windows.
Проверки выявили источник программного обеспечения, но не его безопасность. Хакеры внедрили вредоносный код в доверенные рабочие процессы. Компания Socket связала взлом с компрометированными аккаунтами GitHub, включая бота выпуска bee-worker. Однако способ получения доступа остаётся неизвестным.
Что крадёт загрузчик
StepSecurity обнаружила, что злоумышленники изменили скрипт scripts/generate-version.cjs для загрузки вредоносного кода с api.frameworkmetrics[.]xyz. Скрипт автоматически запускался при установке bee-js версии 13.3.0 разработчиками, даже если они никогда не использовали эту библиотеку.
Затем вредоносная программа искала два файла: config.yaml и>Вредоносная программа также установила бэкдоры для сохранения удалённого доступа. В Windows она использовала ScreenConnect. В Linux и macOS бэкдоры маскировались под легитимные инструменты разработки на Solidity.
Тот же кошелек, что и у SleepyDuck
Компания Socket установила, что вредоносное ПО использовало контракт Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 для поиска своих серверов командования и управления. Pluto Security связала этот же контракт с кампаниями SleepyDuck и EtherDuck, которые распространяли вредоносные программы с помощью поддельных расширений Solidity.
Однако в данном случае инцидента хакторы применили иной подход. Они атаковали подлинные выпуски программного обеспечения Ethersphere, а не пытались убедить разработчиков загрузить вредоносное ПО. Этот метод напоминает предыдущую атаку на цепочку поставок npm, о которой сообщал Cryptopolitan, где хакторы распространяли вредоносное ПО через пакеты проекта WeaveDB от Arweave.
Что операторам необходимо сделать сейчас
В двух официальных уведомлениях Ethersphere указала, что оба выпуска являются вредоносными. Разработчик darkobas2 заявил в запросе на восстановление, что версия 0.56.2 «была собрана и опубликована злоумышленником с использованием украденных учетных данных CI». Чистая замена, версия 0.56.3, содержала «тот же код, что и 0.56.1», и была подписана новым сертификатом.
Пользователям следует проверить свою настольную версию и установить 0.56.3; пользователям Linux необходимо обновиться вручную. Всем, кто запустил вредоносное ПО, следует изолировать компьютер и выполнить его полную переустановку, перенести средства и стейкинг на чистое устройство, а также изменить учётные данные. Пользователям bee-js следует закрепить версию 13.2.0. Одного лишь обновления недостаточно для удаления бэкдора.
Сокет recorded зафиксировал 65 скачиваний заражённой версии Desktop к 08:27 UTC 9 ноября, включая исследования, и оценил около десяти загрузок bee-js 13.3.0. Ни то, ни другое не является подсчётом жертв. Подтверждённых данных о количестве заражённых машин или украденных средствах нет.
Чтение рынка, а не его изобретение
На панели CertiK компрометация кошельков занимает второе место по убыткам в 2026 году ($769,1 млн) и третье место по инцидентам (75). Компрометация закрытого ключа занимает пятое место по убыткам ($158 млн) и четвёртое место по инцидентам (47). Это отраслевые показатели, а не потери Ethersphere.
CoinGecko оценил BZZ примерно в $0,0654 10 ноября, но распродажи из-за взлома ещё не подтверждены. Более серьёзная угроза касается доверия к программному обеспечению: подлинные обновления всё ещё могут красть ключи.
Подписывайтесь на страницы новостей криптовалют -
