Hackers comprometen lanzamientos de Ethersphere para robar claves de carteras de nodos Bee

El 9 de noviembre de 2026, la cadena de distribución de software de Ethersphere fue secuestrada, permitiendo a los atacantes publicar versiones maliciosas de la biblioteca bee‑js (v13.3.0) y del cliente Swarm Desktop (v0.56.2). Los paquetes comprometidos estaban firmados y parecían legítimos, lo que provocó el robo de claves privadas de carteras de nodos Bee y la instalación de puertas traseras persistentes en las máquinas afectadas.

Cómo se desarrolló la brecha de la cadena de suministro

Según la firma de ciberseguridad Socket, los atacantes accedieron a cuentas comprometidas de GitHub, incluido el bot de lanzamientos bee‑worker, y modificaron el script de compilación scripts/generate-version.cjs. El script alterado descargó código adicional de un dominio malicioso (api.frameworkmetrics.xyz) durante la instalación, incluso si los desarrolladores nunca invocaban la biblioteca directamente. El malware luego escaneó el host en busca de dos archivos —config.yaml y data-dir/keys/swarm.key— usando la contraseña almacenada en el primero para descifrar la clave privada del segundo. Con ambos archivos, los hackers pudieron controlar completamente una cartera de nodo Bee.

Puertas traseras e infraestructura de comando y control

La carga instaló diferentes herramientas de acceso remoto según el sistema operativo: ScreenConnect en Windows y herramientas que se hacían pasar por utilidades de desarrollo Solidity en macOS y Linux. Socket rastreó el tráfico de comando y control hasta el contrato de Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, previamente vinculado por Pluto Security a las campañas SleepyDuck y EtherDuck. A diferencia de esos ataques anteriores, que dependían de extensiones falsas, esta brecha utilizó versiones auténticas de Ethersphere para alcanzar a los usuarios.

Respuesta y pasos de remediación

Ethersphere emitió dos avisos oficiales confirmando la naturaleza maliciosa de los lanzamientos. El mantenedor darkobas2 explicó que Swarm Desktop 0.56.2 se construyó con credenciales de CI robadas y lanzó una versión limpia (0.56.3) firmada con un nuevo certificado. Los usuarios de Linux deben aplicar la actualización manualmente, mientras que los de macOS y Windows pueden confiar en el mecanismo de auto‑actualización. Se aconseja a los usuarios de bee‑js fijar el paquete a la versión 13.2.0. Socket registró 65 descargas del binario contaminado de Swarm Desktop y aproximadamente diez obtenciones de bee‑js 13.3.0 antes de que los paquetes fueran retirados, aunque no se ha publicado una cifra definitiva de víctimas ni de fondos robados.

Qué observar a continuación

Los analistas vigilarán si las carteras comprometidas se trasladan a direcciones de lavado conocidas y si se producen salidas masivas de fondos de BZZ o de contratos de staking relacionados. Una investigación más profunda sobre la compromisión inicial de credenciales de GitHub podría revelar riesgos adicionales en la cadena de suministro para otros ecosistemas de herramientas de Ethereum.