9 Kasım 2026'da, Ethersphere'ın yazılım dağıtım hattı ele geçirildi ve saldırganlar bee‑js kütüphanesinin (v13.3.0) ve Swarm Desktop istemcisinin (v0.56.2) kötü amaçlı sürümlerini yayınlayabildi. Ele geçirilen paketler imzalı ve meşru görünüyordu; bu da Bee düğüm cüzdanlarından özel anahtarların çalınmasına ve etkilenen makinelerde kalıcı arka kapıların kurulmasına yol açtı.

ETH / USD
Kaynak: CoinGecko. Fiyatlar gösterge niteliğindedir.

Tedarik zinciri ihlalinin nasıl gerçekleştiği

Siber güvenlik firması Socket'a göre, saldırganlar bee‑worker adlı sürüm botu da dahil olmak üzere ele geçirilmiş GitHub hesaplarına erişim sağladı ve build scripti scripts/generate-version.cjs'i değiştirdi. Değiştirilen script, kurulum sırasında (geliştiriciler kütüphaneyi doğrudan çağırmasa bile) kötü amaçlı bir alan adı (api.frameworkmetrics.xyz) üzerinden ek kod çekti. Kötü amaçlı yazılım, hostta iki dosyayı – config.yaml ve data-dir/keys/swarm.key – taradı; birincideki şifreyi kullanarak ikincideki özel anahtarı çözdü. Bu iki dosyayla hackörler bir Bee düğüm cüzdanını tam kontrol edebildi.

Arka kapılar ve komuta‑kontrol altyapısı

Yük, işletim sistemine göre farklı uzaktan erişim araçları kurdu: Windows'ta ScreenConnect, macOS ve Linux'ta ise Solidity geliştirme araçları gibi görünen araçlar. Socket, komuta‑kontrol trafiğini daha önce Pluto Security tarafından SleepyDuck ve EtherDuck kampanyalarına bağlanan Ethereum sözleşmesi 0xf8a900Db50b3331be6B768bA460BB59f3E40C344'e izledi. Önceki sahte uzantı saldırılarının aksine, bu ihlal kullanıcıları hedeflemek için gerçek Ethersphere sürümlerini kullandı.

Yanıt ve düzeltme adımları

Ethersphere, sürümlerin kötü amaçlı olduğunu doğrulayan iki resmi duyuru yayınladı. Bakıcı darkobas2, Swarm Desktop 0.56.2'nin çalınan CI kimlik bilgileriyle derlendiğini ve yeni bir sertifika ile imzalanmış temiz bir sürüm (0.56.3) yayınlandığını açıkladı. Linux kullanıcıları güncellemeyi manuel olarak uygulamalı, macOS ve Windows kullanıcıları ise otomatik güncelleme mekanizmasına güvenebilir. Bee‑js kullanıcılarına paketlerini 13.2.0 sürümüne sabitlemeleri tavsiye edildi. Socket, kirli Swarm Desktop ikili dosyasının 65 kez indirildiğini ve bee‑js 13.3.0'ın yaklaşık on kez çekildiğini kaydetti; ancak kesin bir mağdur sayısı ya da çalınan fon miktarı açıklanmadı.

İlerleyen dönemde neler izlenecek

Analistler, ele geçirilen cüzdanların bilinen kara para aklama adreslerine aktarılıp aktarılmadığını ve BZZ ya da ilgili staking sözleşmelerinden büyük ölçekli fon çıkışlarının olup olmadığını takip edecek. İlk GitHub kimlik bilgisi ihlalinin daha fazla tedarik zinciri riski ortaya çıkarıp çıkarmadığı da araştırılacak.

Kaynaklar