2026년 11월 9일, Ethersphere의 소프트웨어 배포 파이프라인이 탈취돼 공격자가 bee‑js 라이브러리(v13.3.0)와 Swarm Desktop 클라이언트(v0.56.2)의 악성 버전을 배포했습니다. 탈취된 패키지는 서명되어 정품처럼 보였으며, Bee 노드 지갑의 개인 키를 탈취하고 영향을 받은 머신에 지속적인 백도어를 설치했습니다.

ETH / USD
출처: CoinGecko. 참고용 가격입니다.

공급망 침해 전개 과정

사이버보안 업체 Socket에 따르면, 공격자는 릴리즈 봇 bee‑worker를 포함한 손상된 GitHub 계정에 접근해 build script scripts/generate-version.cjs를 변조했습니다. 수정된 스크립트는 설치 과정에서 악성 도메인(api.frameworkmetrics.xyz)으로부터 추가 코드를 받아왔으며, 개발자가 라이브러리를 직접 호출하지 않아도 실행되었습니다. 이후 악성코드는 호스트에서 config.yaml과 data-dir/keys/swarm.key 파일을 검색해 전자를 이용해 후자의 개인 키를 복호화했습니다. 두 파일을 모두 확보함으로써 해커는 Bee 노드 지갑을 완전하게 장악할 수 있었습니다.

백도어 및 명령·제어 인프라

페이로드는 운영체제에 따라 다른 원격 접근 도구를 설치했습니다: Windows에서는 ScreenConnect, macOS와 Linux에서는 Solidity 개발 유틸리티로 위장한 도구를 사용했습니다. Socket은 명령·제어 트래픽이 이전에 Pluto Security가 SleepyDuck 및 EtherDuck 캠페인과 연관 지은 이더리움 계약 0xf8a900Db50b3331be6B768bA460BB59f3E40C344로 연결된 것을 추적했습니다. 이전 공격과 달리 이번 침해는 가짜 확장 프로그램이 아니라 정식 Ethersphere 릴리스를 악용해 사용자에게 도달했습니다.

대응 및 복구 조치

Ethersphere는 두 차례 공식 공지를 통해 해당 릴리스가 악성임을 확인했습니다. 유지관리자 darkobas2는 Swarm Desktop 0.56.2가 도난된 CI 인증 정보로 빌드됐으며, 새로운 인증서로 서명된 클린 버전(0.56.3)을 배포했다고 설명했습니다. Linux 사용자는 수동으로 업데이트해야 하고, macOS와 Windows 사용자는 자동 업데이트 메커니즘을 이용할 수 있습니다. bee‑js 사용자는 패키지를 13.2.0 버전으로 고정하도록 권고되었습니다. Socket은 오염된 Swarm Desktop 바이너리 65건 다운로드와 bee‑js 13.3.0 약 10건 다운로드가 있었으며, 패키지가 삭제되기 전까지 정확한 피해자 수나 도난된 자금 규모는 공개되지 않았습니다.

다음 관찰 포인트

분석가들은 탈취된 지갑이 알려진 세탁 주소로 이동하는지, BZZ 또는 관련 스테이킹 계약에서 대규모 자금 유출이 발생하는지를 모니터링할 예정입니다. 초기 GitHub 인증 정보 탈취와 관련된 추가 공급망 위험이 다른 이더리움 툴링 생태계에 존재하는지도 조사될 것입니다.