Le 9 novembre 2026, la chaîne de distribution du logiciel d’Ethersphere a été détournée, permettant aux attaquants de publier des versions malveillantes de la bibliothèque bee‑js (v13.3.0) et du client Swarm Desktop (v0.56.2). Les paquets compromis étaient signés et semblaient légitimes, entraînant le vol de clés privées de portefeuilles de nœuds Bee et l’installation de portes dérobées persistantes sur les machines concernées.

ETH / USD
Source : CoinGecko. Prix indicatifs.

Comment la faille de la chaîne d’approvisionnement s’est déroulée

Selon la société de cybersécurité Socket, les attaquants ont accédé à des comptes GitHub compromis, dont le robot de publication bee‑worker, et ont modifié le script de construction scripts/generate-version.cjs. Le script modifié récupérait du code supplémentaire depuis le domaine malveillant (api.frameworkmetrics.xyz) lors de l’installation, même si les développeurs n’appelaient jamais directement la bibliothèque. Le malware scannait alors l’hôte à la recherche de deux fichiers — config.yaml et data-dir/keys/swarm.key — en utilisant le mot de passe stocké dans le premier pour déchiffrer la clé privée contenue dans le second. Avec ces deux fichiers, les hackers pouvaient contrôler entièrement un portefeuille de nœud Bee.

Portes dérobées et infrastructure de commande‑et‑contrôle

La charge utile installait différents outils d’accès à distance selon le système d’exploitation : ScreenConnect sous Windows, et des outils se faisant passer pour des utilitaires de développement Solidity sous macOS et Linux. Socket a retracé le trafic de commande‑et‑contrôle jusqu’au contrat Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, précédemment lié par Pluto Security aux campagnes SleepyDuck et EtherDuck. Contrairement à ces attaques antérieures, qui s’appuyaient sur de fausses extensions, cette compromission a exploité des versions authentiques d’Ethersphere pour atteindre les utilisateurs.

Réponse et mesures correctives

Ethersphere a publié deux avis officiels confirmant le caractère malveillant des versions. Le mainteneur darkobas2 a expliqué que Swarm Desktop 0.56.2 avait été construit avec des identifiants CI volés et a publié une version propre (0.56.3) signée avec un nouveau certificat. Les utilisateurs Linux doivent appliquer la mise à jour manuellement, tandis que les utilisateurs macOS et Windows peuvent compter sur le mécanisme de mise à jour automatique. Les utilisateurs de bee‑js sont invités à figer le paquet à la version 13.2.0. Socket a enregistré 65 téléchargements du binaire Swarm Desktop contaminé et environ dix récupérations de bee‑js 13.3.0 avant le retrait des paquets, bien qu’aucun chiffre définitif sur le nombre de victimes ou les fonds volés n’ait été communiqué.