9 ноября 2026 года была захвачена цепочка поставок программного обеспечения Ethersphere, что позволило злоумышленникам распространить вредоносные версии библиотеки bee‑js (v13.3.0) и клиента Swarm Desktop (v0.56.2). Скомпрометированные пакеты были подписаны и выглядели легитимно, что привело к краже приватных ключей из кошельков узлов Bee и установке постоянных бэкдоров на затронутых машинах.

ETH / USD
Источник: CoinGecko. Цены ориентировочные.

Как разворачивалась атака на цепочку поставок

По данным кибербезопасной компании Socket, злоумышленники получили доступ к скомпрометированным учетным записям GitHub, включая бота релизов bee‑worker, и изменили сценарий сборки scripts/generate-version.cjs. Измененный сценарий во время установки загружал дополнительный код с вредоносного домена (api.frameworkmetrics.xyz), даже если разработчики никогда напрямую не вызывали библиотеку. Затем вредоносное ПО сканировало хост в поисках двух файлов — config.yaml и data-dir/keys/swarm.key — используя пароль, хранящийся в первом, для расшифровки приватного ключа во втором. Получив оба файла, хакеры могли полностью контролировать кошелёк узла Bee.

Бэкдоры и инфраструктура управления

Вредоносная нагрузка устанавливала различные инструменты удаленного доступа в зависимости от операционной системы: ScreenConnect на Windows, а также инструменты, маскирующиеся под утилиты для разработки на Solidity, на macOS и Linux. Socket проследила трафик управления по контракту Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, который ранее Pluto Security связала с кампаниями SleepyDuck и EtherDuck. В отличие от этих более ранних атак, которые опирались на поддельные расширения, данный инцидент использовал аутентичные релизы Ethersphere для достижения пользователей.

Реакция и меры по устранению

Ethersphere выпустила два официальных уведомления, подтверждающих вредоносный характер релизов. Поддерживающий разработчик darkobas2 объяснил, что Swarm Desktop 0.56.2 был собран с использованием украденных учетных данных CI, и выпустил чистую версию (0.56.3), подписанную новым сертификатом. Пользователям Linux необходимо вручную применить обновление, в то время как пользователи macOS и Windows могут полагаться на механизм автообновления. Пользователям bee‑js рекомендуется зафиксировать пакет на версии 13.2.0. Socket зафиксировала 65 загрузок зараженного бинарного файла Swarm Desktop и около десяти обращений к bee‑js 13.3.0 до удаления пакетов, хотя точное число жертв или сумма украденных средств не были опубликованы.

За чем следить дальше

Аналитики будут отслеживать, переводятся ли скомпрометированные кошельки на известные адреса для отмывания средств, и происходят ли ли массовые оттоки средств из BZZ или связанных контрактов стейкинга. Дальнейшее расследование первоначальной компрометации учетных данных GitHub может выявить дополнительные риски для цепочки поставок в других экосистемах инструментов Ethereum.