Am 9. November 2026 wurde die Software‑Distributionspipeline von Ethersphere hijacked, sodass Angreifer manipulierte Versionen der Bibliothek bee‑js (v13.3.0) und des Swarm‑Desktop‑Clients (v0.56.2) verbreiten konnten. Die kompromittierten Pakete waren signiert und wirkten legitim, was zum Diebstahl privater Schlüssel aus Bee‑Node‑Wallets und zur Installation persistenter Backdoors auf betroffenen Rechnern führte.

ETH / USD
Quelle: CoinGecko. Kurse sind Richtwerte.

Wie der Supply‑Chain‑Angriff ablief

Laut dem Cyber‑Security‑Unternehmen Socket verschafften sich die Angreifer Zugang zu kompromittierten GitHub‑Accounts, darunter dem Release‑Bot bee‑worker, und änderten das Build‑Script scripts/generate-version.cjs. Das modifizierte Skript zog während der Installation zusätzlichen Code von der bösartigen Domain api.frameworkmetrics.xyz, selbst wenn Entwickler die Bibliothek nicht direkt aufriefen. Die Malware scannte anschließend das System nach den Dateien config.yaml und data-dir/keys/swarm.key und nutzte das im erstgenannten gespeicherte Passwort, um den privaten Schlüssel im letzteren zu entschlüsseln. Mit beiden Dateien konnten die Hacker die Bee‑Node‑Wallet vollständig kontrollieren.

Backdoors und Command‑and‑Control‑Infrastruktur

Die Nutzlast installierte je nach Betriebssystem unterschiedliche Remote‑Access‑Tools: ScreenConnect unter Windows und Werkzeuge, die sich als Solidity‑Entwicklungs‑Utilities unter macOS und Linux ausgaben. Socket führte den C2‑Verkehr zu dem Ethereum‑Contract 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 zurück, der zuvor von Pluto Security mit den Kampagnen SleepyDuck und EtherDuck in Verbindung gebracht wurde. Im Gegensatz zu jenen früheren Angriffen, die auf gefälschte Erweiterungen setzten, nutzte dieser Breach authentische Ethersphere‑Releases, um Nutzer zu erreichen.

Reaktion und Gegenmaßnahmen

Ethersphere veröffentlichte zwei offizielle Hinweise, die die bösartige Natur der Releases bestätigten. Maintainer darkobas2 erklärte, dass Swarm Desktop 0.56.2 mit gestohlenen CI‑Credentials gebaut wurde und eine saubere Version (0.56.3) mit einem neuen Zertifikat herausgebracht wurde. Linux‑Nutzer müssen das Update manuell installieren, während macOS‑ und Windows‑Nutzer den Auto‑Update‑Mechanismus nutzen können. Bee‑js‑Nutzer wird geraten, das Paket auf Version 13.2.0 zu pinnen. Socket verzeichnete 65 Downloads der kontaminierten Swarm‑Desktop‑Binärdatei und etwa zehn Abrufe von bee‑js 13.3.0, bevor die Pakete entfernt wurden; eine definitive Opferzahl oder ein Betrag gestohlener Mittel wurde nicht veröffentlicht.

Ausblick

Analysten werden beobachten, ob kompromittierte Wallets zu bekannten Launder‑Adressen transferiert werden und ob größere Mittelabflüsse aus BZZ‑ oder zugehörigen Staking‑Contracts stattfinden. Weitere Untersuchungen zum initialen GitHub‑Credential‑Komprimiss könnten zusätzliche Supply‑Chain‑Risiken für andere Ethereum‑Tool‑Ökosysteme aufdecken.