Hackers comprometem lançamentos da Ethersphere para roubar chaves de carteira de nós Bee
Hackers injetaram malware nas versões bee‑js 13.3.0 e Swarm Desktop 0.56.2 da Ethersphere, visando chaves privadas e instalando backdoors.
Traduzido do inglês. Ler o original
COINMAG NewsroomNewsroom · via COINMAG
Principais pontos
- Código malicioso foi adicionado a lançamentos legítimos da Ethersphere, comprometendo carteiras de nós Bee.
- O malware procurou arquivos config.yaml e swarm.key para extrair credenciais da carteira e instalou backdoors persistentes.
- Usuários devem atualizar para Swarm Desktop 0.56.3, fixar bee‑js na versão 13.2.0 e recompilar sistemas afetados.
Em 9 de novembro de 2026, a cadeia de distribuição de software da Ethersphere foi sequestrada, permitindo que atacantes publicassem versões maliciosas da biblioteca bee‑js (v13.3.0) e do cliente Swarm Desktop (v0.56.2). Os pacotes comprometidos foram assinados e pareciam legítimos, resultando no roubo de chaves privadas de carteiras de nós Bee e na instalação de backdoors persistentes nas máquinas afetadas.
ETH / USD
Como a violação da cadeia de suprimentos ocorreu
De acordo com a empresa de segurança cibernética Socket, os invasores obtiveram acesso a contas comprometidas no GitHub, incluindo o bot de lançamentos bee‑worker, e alteraram o script de build scripts/generate-version.cjs. O script modificado buscou código adicional de um domínio malicioso (api.frameworkmetrics.xyz) durante a instalação, mesmo que os desenvolvedores nunca invocassem a biblioteca diretamente. O malware então escaneou o host em busca de dois arquivos — config.yaml e data-dir/keys/swarm.key — usando a senha armazenada no primeiro para descriptografar a chave privada no segundo. Com ambos os arquivos, os hackers podiam controlar totalmente uma carteira de nó Bee.
Backdoors e infraestrutura de comando‑e‑controle
A carga útil instalou diferentes ferramentas de acesso remoto conforme o sistema operacional: ScreenConnect no Windows e ferramentas que se disfarçavam como utilitários de desenvolvimento Solidity no macOS e Linux. A Socket rastreou o tráfego de comando‑e‑controle até o contrato Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, previamente associado pela Pluto Security às campanhas SleepyDuck e EtherDuck. Diferente desses ataques anteriores, que usavam extensões falsas, esta violação utilizou lançamentos autênticos da Ethersphere para alcançar os usuários.
Resposta e etapas de remediação
A Ethersphere emitiu dois avisos oficiais confirmando a natureza maliciosa dos lançamentos. O mantenedor darkobas2 explicou que o Swarm Desktop 0.56.2 foi compilado com credenciais de CI roubadas e lançou uma versão limpa (0.56.3) assinada com um novo certificado. Usuários Linux devem aplicar a atualização manualmente, enquanto usuários macOS e Windows podem contar com o mecanismo de atualização automática. Usuários do bee‑js são aconselhados a fixar o pacote na versão 13.2.0. A Socket registrou 65 downloads do binário contaminado do Swarm Desktop e cerca de dez fetches do bee‑js 13.3.0 antes da remoção dos pacotes, embora não haja número definitivo de vítimas ou valor de fundos roubados divulgado.
O que observar a seguir
Analistas monitorarão se as carteiras comprometidas são movimentadas para endereços conhecidos de lavagem e se houver grandes saídas de fundos de BZZ ou contratos de staking relacionados. Investigações adicionais sobre o comprometimento inicial das credenciais do GitHub podem revelar riscos adicionais na cadeia de suprimentos para outros ecossistemas de ferramentas Ethereum.
COINMAG NewsroomNotícias apuradas e escritas pela redação do COINMAG a partir de várias fontes independentes.
Discussão 0