2026年11月9日、Ethersphere のソフトウェア配布パイプラインがハッカーに乗っ取られ、bee‑js ライブラリ（v13.3.0）と Swarm Desktop クライアント（v0.56.2）の悪意あるバージョンが配布された。改ざんされたパッケージは署名され正規に見え、Beeノードウォレットのプライベートキーが盗まれ、対象マシンに永続的なバックドアがインストールされた。

ETH / USD
出典：CoinGecko。価格は参考値です。

サプライチェーン侵害の経緯

サイバーセキュリティ企業 Socket によると、攻撃者はリリースボット bee‑worker を含む GitHub アカウントに不正アクセスし、build script scripts/generate-version.cjs を改ざんした。改変されたスクリプトはインストール時に悪意あるドメイン (api.frameworkmetrics.xyz) から追加コードを取得し、開発者が直接ライブラリを呼び出さなくても実行された。マルウェアはホスト上の config.yaml と data‑dir/keys/swarm.key の二つのファイルをスキャンし、前者に保存されたパスワードで後者のプライベートキーを復号した。これによりハッカーは Bee ノードウォレットを完全に制御できた。

バックドアと C2 インフラ

ペイロードは OS に応じて異なるリモートアクセスツールをインストールした。Windows では ScreenConnect、macOS と Linux では Solidity 開発ユーティリティを装ったツールが配置された。Socket は C2 通信が Ethereum コントラクト 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 に向けられていることを特定し、これは Pluto Security が SleepyDuck と EtherDuck キャンペーンに結び付けたものと同一である。以前の攻撃が偽拡張機能を利用したのに対し、今回の侵害は正規の Ethersphere リリースを悪用してユーザーに届いた。

対応と修正手順

Ethersphere は二つの公式通知でリリースが悪意あるものであることを確認した。メンテナー darkobas2 は Swarm Desktop 0.56.2 が盗まれた CI 資格情報でビルドされたと説明し、新証明書で署名されたクリーン版 (0.56.3) をリリースした。Linux ユーザーは手動で更新する必要があるが、macOS と Windows ユーザーは自動更新機能で対応できる。bee‑js ユーザーはパッケージをバージョン 13.2.0 に固定することが推奨される。Socket の記録によると、汚染された Swarm Desktop バイナリは 65 回ダウンロードされ、bee‑js 13.3.0 は約10回取得されたが、被害者数や盗難額は公表されていない。

今後の注視点

アナリストは、侵害されたウォレットが既知のマネーロンダリングアドレスへ移動するか、BZZ や関連ステーキングコントラクトから大規模な資金流出があるかを監視する。GitHub 資格情報の初期侵害に関する追加調査が、他の Ethereum ツールエコシステムに対するサプライチェーンリスクを明らかにする可能性がある。