हैकरों ने एथरस्पियर रिलीज़ को हैक कर बि नोड वॉलेट कुंजियाँ चुराई

9 नवंबर 2026 को, एथरस्पियर के सॉफ्टवेयर वितरण पाइपलाइन को हैक कर, हमलावरों ने bee‑js लाइब्रेरी (v13.3.0) और Swarm Desktop क्लाइंट (v0.56.2) के दुर्भावनापूर्ण संस्करण पुश किए। ये पैकेज साइन किए हुए और वैध दिखे, जिससे बि नोड वॉलेट्स से निजी कुंजियाँ चुराई गईं और प्रभावित मशीनों पर स्थायी बैकडोर स्थापित हुए।

सप्लाई‑चेन उल्लंघन कैसे हुआ

साइबरसिक्योरिटी फर्म Socket के अनुसार, हमलावरों ने GitHub अकाउंट्स, जिसमें रिलीज़ बॉट bee‑worker शामिल है, तक पहुँच प्राप्त की और build script scripts/generate-version.cjs को बदला। संशोधित स्क्रिप्ट ने इंस्टॉलेशन के दौरान एक दुर्भावनापूर्ण डोमेन (api.frameworkmetrics.xyz) से अतिरिक्त कोड फ़ेच किया, भले ही डेवलपर्स ने लाइब्रेरी को सीधे कॉल न किया हो। मैलवेयर ने होस्ट पर दो फाइलें—config.yaml और data-dir/keys/swarm.key—स्कैन कीं, former में संग्रहीत पासवर्ड का उपयोग करके latter में निजी कुंजी डिक्रिप्ट की। दोनों फाइलों के साथ, हैकर बि नोड वॉलेट पर पूर्ण नियंत्रण पा सकते थे।

बैकडोर और कमांड‑एंड‑कंट्रोल इन्फ्रास्ट्रक्चर

पेलोड ने ऑपरेटिंग सिस्टम के अनुसार अलग रिमोट‑एक्सेस टूल्स इंस्टॉल किए: Windows पर ScreenConnect, और macOS व Linux पर Solidity डेवलपमेंट यूटिलिटीज़ के रूप में छिपे टूल्स। Socket ने कमांड‑एंड‑कंट्रोल ट्रैफ़िक को Ethereum कॉन्ट्रैक्ट 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 से जोड़ा, जिसे Pluto Security ने पहले SleepyDuck और EtherDuck अभियानों से जोड़ा था। इन पहले के हमलों के विपरीत, जो नकली एक्सटेंशन पर निर्भर थे, इस उल्लंघन ने प्रामाणिक एथरस्पियर रिलीज़ का उपयोग करके उपयोगकर्ताओं तक पहुँच बनाई।

प्रतिक्रिया और सुधार कदम

एथरस्पियर ने दो आधिकारिक नोटिस जारी किए, जिनमें रिलीज़ के दुर्भावनापूर्ण स्वरूप की पुष्टि की गई। मेंटेनर darkobas2 ने बताया कि Swarm Desktop 0.56.2 चोरी किए गए CI क्रेडेंशियल्स के साथ बनाया गया था और एक साफ़ संस्करण (0.56.3) नया सर्टिफिकेट के साथ साइन किया गया। Linux उपयोगकर्ताओं को मैन्युअल रूप से अपडेट लागू करना होगा, जबकि macOS और Windows उपयोगकर्ता ऑटो‑अपडेट मैकेनिज़्म पर भरोसा कर सकते हैं। Bee‑js उपयोगकर्ताओं को पैकेज को संस्करण 13.2.0 पर पिन करने की सलाह दी गई। Socket ने tainted Swarm Desktop बाइनरी के 65 डाउनलोड और bee‑js 13.3.0 के लगभग दस फ़ेच दर्ज किए, इससे पहले कि पैकेज हटा दिए गए, हालांकि कोई निश्चित पीड़ित संख्या या चोरी‑फंड आंकड़ा जारी नहीं किया गया।

अगला क्या देखें

विश्लेषक यह मॉनिटर करेंगे कि क्या समझौता किए गए वॉलेट्स ज्ञात लॉन्ड्रिंग पतों पर स्थानांतरित किए गए हैं, और क्या BZZ या संबंधित स्टेकिंग कॉन्ट्रैक्ट्स से बड़े पैमाने पर फंड आउटफ़्लो हुआ है। प्रारंभिक GitHub क्रेडेंशियल उल्लंघन की आगे जांच से अन्य Ethereum टूलिंग इकोसिस्टम के लिए अतिरिक्त सप्लाई‑चेन जोखिम उजागर हो सकते हैं।