Pada 9 November 2026, pipeline distribusi perangkat lunak Ethersphere diretas, memungkinkan penyerang mendorong versi berbahaya dari pustaka bee-js (v13.3.0) dan klien Swarm Desktop (v0.56.2). Paket yang dikompromikan tersebut ditandatangani dan tampak sah, yang mengakibatkan pencurian kunci privat dari dompet node Bee serta instalasi backdoor persisten pada mesin yang terdampak.

ETH / USD
Sumber: CoinGecko. Harga bersifat indikatif.

Bagaimana pelanggaran rantai pasokan ini terjadi

Menurut perusahaan keamanan siber Socket, para penyerang mendapatkan akses ke akun GitHub yang dikompromikan, termasuk bot rilis bee-worker, dan mengubah skrip build scripts/generate-version.cjs. Skrip yang dimodifikasi tersebut mengambil kode tambahan dari domain berbahaya (api.frameworkmetrics.xyz) selama instalasi, bahkan jika pengembang tidak pernah memanggil pustaka tersebut secara langsung. Malware kemudian memindai host untuk dua file—config.yaml dan data-dir/keys/swarm.key—menggunakan kata sandi yang disimpan di file pertama untuk mendekripsi kunci privat di file kedua. Dengan kedua file tersebut, peretas dapat sepenuhnya mengendalikan dompet node Bee.

Backdoor dan infrastruktur command-and-control

Payload tersebut menginstal alat akses jarak jauh yang berbeda tergantung pada sistem operasi: ScreenConnect di Windows, dan alat yang menyamar sebagai utilitas pengembangan Solidity di macOS dan Linux. Socket melacak lalu lintas command-and-control ke kontrak Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, yang sebelumnya dikaitkan oleh Pluto Security dengan kampanye SleepyDuck dan EtherDuck. Berbeda dengan serangan sebelumnya yang mengandalkan ekstensi palsu, pelanggaran ini memanfaatkan rilis Ethersphere yang autentik untuk menjangkau pengguna.

Tanggapan dan langkah remediasi

Ethersphere menerbitkan dua pemberitahuan resmi yang mengonfirmasi sifat berbahaya dari rilis tersebut. Pemelihara darkobas2 menjelaskan bahwa Swarm Desktop 0.56.2 dibangun dengan kredensial CI yang dicuri dan merilis versi bersih (0.56.3) yang ditandatangani dengan sertifikat baru. Pengguna Linux harus menerapkan pembaruan secara manual, sementara pengguna macOS dan Windows dapat mengandalkan mekanisme auto-update. Pengguna bee-js disarankan untuk mengunci paket ke versi 13.2.0. Socket mencatat 65 unduhan biner Swarm Desktop yang terkontaminasi dan sekitar sepuluh pengambilan bee-js 13.3.0 sebelum paket tersebut dihapus, meskipun tidak ada jumlah korban pasti atau angka dana yang dicuri yang dirilis.

Apa yang perlu diperhatikan selanjutnya

Para analis akan memantau apakah dompet yang dikompromikan dipindahkan ke alamat pencucian uang yang diketahui, dan apakah terjadi aliran dana besar-besaran dari BZZ atau kontrak staking terkait. Penyelidikan lebih lanjut mengenai kompromi kredensial GitHub awal mungkin akan mengungkapkan risiko rantai pasokan tambahan untuk ekosistem alat Ethereum lainnya.