Хакери скомпрометували релізи Ethersphere, щоб викрасти ключі гаманців вузлів Bee

9 листопада 2026 року ланцюжок постачання ПЗ Ethersphere був захоплений, що дозволило нападникам поширити шкідливі версії бібліотеки bee‑js (v13.3.0) та клієнта Swarm Desktop (v0.56.2). Скомпрометовані пакети були підписані та виглядали легітимно, що призвело до викрадення приватних ключів з гаманців вузлів Bee та встановлення постійних бекдорів на постраждалих машинах.

Як розгортався провал ланцюжка постачання

За даними кібербезпекової компанії Socket, нападники отримали доступ до скомпрометованих акаунтів GitHub, зокрема бота релізів bee‑worker, і змінили скрипт збірки scripts/generate-version.cjs. Змінений скрипт під час встановлення отримував додатковий код зі шкідливого домену (api.frameworkmetrics.xyz), навіть якщо розробники ніколи не викликали бібліотеку безпосередньо. Далі шкідливе ПЗ сканувало хост на наявність двох файлів — config.yaml та data-dir/keys/swarm.key — використовуючи пароль, збережений у першому, для розшифрування приватного ключа в другому. Маючи обидва файли, хакери могли повністю контролювати гаманець вузла Bee.

Бекдори та інфраструктура командування та контролю

Навантаження встановлювало різні інструменти віддаленого доступу залежно від операційної системи: ScreenConnect на Windows, а на macOS та Linux — інструменти, що видавали себе за утиліти розробки Solidity. Socket відстежив трафік командування та контролю до контракту Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, який раніше Pluto Security пов’язувала з кампаніями SleepyDuck та EtherDuck. На відміну від тих попередніх атак, які базувалися на підроблених розширеннях, цей провал використав автентичні релізи Ethersphere для досягнення користувачів.

Реакція та кроки з усунення

Ethersphere опублікувала два офіційні повідомлення, підтверджуючи шкідливу природу релізів. Розробник darkobas2 пояснив, що Swarm Desktop 0.56.2 було зібрано зі украденими обліковими даними CI та випустила чисту версію (0.56.3), підписану новим сертифікатом. Користувачам Linux необхідно встановити оновлення вручну, тоді як користувачам macOS та Windows можна покладатися на механізм автооновлення. Користувачам bee‑js радять закріпити пакет на версії 13.2.0. Socket зафіксувала 65 завантажень скомпрометованого бінарника Swarm Desktop та приблизно десять отримань bee‑js 13.3.0 до того, як пакети були видалені, хоча остаточна кількість жертв або сума викрадених коштів не оприлюднена.

Що спостерігати далі

Аналітики стежитимуть за тим, чи переміщуються скомпрометовані гаманці на відомі адреси для відмивання коштів, та чи відбуваються масові виведення коштів з BZZ або пов’язаних контрактів стейкінгу. Подальше розслідування початкового компрометації облікових даних GitHub може виявити додаткові ризики ланцюжка постачання для інших екосистем інструментів Ethereum.

Джерела