قراصنة يخطفون bee-js وSwarm Desktop من Ethersphere لسرقة مفاتيح المحافظ

في 9 نوفمبر، سيطر القراصنة على نظام إصدارات البرامج التابع لشركة Ethersphere واستخدموه لنشر البرمجيات الخبيثة عبر bee-js 13.3.0 وSwarm Desktop 0.56.2.

تم برمجة هذا البرنامج الضار للبحث عن المفاتيح الخاصة لمحافظ عقد Bee، مما منح المخترقين إمكانية الوصول إلى الأجهزة المتأثرة. بينما ظل حزمة bee-js متاحة على npm لمدة 75 دقيقة تقريباً، بقيت إصدارات Swarm Desktop متاحة عبر الإنترنت لمدة ثماني ساعات ونصف تقريباً.

موقعة، موثقة المصدر، ولا تزال خبيثة

الجانب المقلق في هذا الاختراق هو أن البرمجيات بدت شرعية. أكدت شركة Socket للأمن السيبراني أن bee-js يمتلك أصالة SLSA صالحة. كان مُثبّت Swarm Desktop لنظام macOS موقّعاً ومعتمداً من Apple، كما يمكن تحديثه تلقائياً لمستخدمي معالجات Apple Silicon وأنظمة Windows.

أظهرت الفحوصات مصدر البرنامج ولكن ليس سلامته. قام المخترقون بإدخال كود ضار في سير العمل الموثوق. ربطت Socket الاختراق بحسابات GitHub المخترقة، بما في ذلك بوت الإصدار bee-worker. ومع ذلك، لا يزال من غير المعروف كيفية الحصول على الوصول.

ما يسرقه المُحمّل (loader)

اكتشفت StepSecurity أن المهاجمين عدّلوا السكربت scripts/generate-version.cjs لتنزيل كود ضار من api.frameworkmetrics[.]xyz. يعمل هذا السكربت تلقائياً عند تثبيت المطورين لـ bee-js الإصدار 13.3.0، حتى لو لم يستخدموا المكتبة أبداً.

ثم بحث البرمجية الخبيثة عن ملفين: config.yaml و data-dir/keys/swarm.key. احتوى الأول على كلمة المرور اللازمة لفتح مفتاح المحفظة المشفر المخزن في الملف الثاني. وبوجود الملفين، يمكن للمهاجمين السيطرة على محفظة عقدة Bee.

كما قامت البرمجية الخبيثة بتثبيت أبواب خلفية للحفاظ على الوصول عن بُعد. على نظام Windows، استخدمت ScreenConnect. أما على Linux وmacOS، فتستخفي الأبواب الخلفية كأدوات تطوير Solidity شرعية.

نفس المحفظة خلف SleepyDuck

وجدت Socket أن البرنامج الضار استخدم العقد Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 للعثور على خوادم الأوامر والتحكم الخاصة به. ربطت Pluto Security نفس العقد بحملتي SleepyDuck وEtherDuck، اللتين وزعتا برمجيات خبيثة باستخدام امتدادات Solidity مزيفة.

ومع ذلك، في الانتهاك الحالي، اتبع القراصنة نهجًا مختلفًا. فقد هاجموا الإصدارات الأصلية لبرمجيات Ethersphere بدلاً من إقناع المطورين بتنزيل برمجيات مزيفة. تشبه هذه الطريقة هجوم سلسلة التوريد السابق على npm الذي أبلغت عنه Cryptopolitan، حيث وزّع القراصنة البرمجيات الخبيثة عبر حزم مشروع WeaveDB الخاص بـ Arweave.

ما يحتاج مشغلو الشبكة إلى فعله الآن

في إعلانين رسميين، حددت Ethersphere كلا الإصدارين على أنهما ضارّان. قال المُحافظ darkobas2 في طلب سحب للاستعادة إن الإصدار 0.56.2 "تم بناؤه ونشره بواسطة مهاجم باستخدام بيانات اعتماد CI مسروقة." وكان البديل النظيف، الإصدار 0.56.3، "نفس الكود الموجود في 0.56.1"، وموقَّعًا بشهادة جديدة.

يجب على المستخدمين التحقق من إصدار سطح المكتب وتثبيت 0.56.3؛ ويجب على مستخدمي Linux التحديث يدويًا. يجب على أي شخص شغّل البرمجيات الخبيثة عزل جهاز الكمبيوتر وإعادة بنائه، ونقل الأموال والرهن من جهاز نظيف، وتغيير بيانات الاعتماد. يجب على مستخدمي bee-js تثبيت الإصدار 13.2.0. ولا يكفي مجرد التحديث لإزالة الباب الخلفي.

سجلت Socket 65 عملية تنزيل لإصدار سطح المكتب الملوث بحلول الساعة 08:27 بتوقيت UTC في 9 نوفمبر، بما في ذلك الباحثين، وقيّمت حوالي عشرة عمليات جلب لـ bee-js 13.3.0. ولا يعكس أي من هذين الرقمين عدد الضحايا. لا يوجد تعداد مؤكد للأجهزة المصابة أو الأموال المسروقة.

قراءة السوق، وليس ابتكاره

على لوحة بيانات CertiK، تحتل اختراقات المحافظ المرتبة الثانية من حيث الخسائر لعام 2026 (769.1 مليون دولار) والمرتبة الثالثة من حيث الحوادث (75). ويحتل اختراق المفاتيح الخاصة المرتبة الخامسة من حيث الخسائر (158 مليون دولار) والمرتبة الرابعة من حيث الحوادث (47). وهذه أرقام على مستوى الصناعة وليست خسائر Ethersphere.

سعرت CoinGecko عملة BZZ عند نحو 0.0654 دولار في 10 نوفمبر، لكن لم يتم تأكيد حدوث موجة بيع مدفوعة بالاختراق. التحذير الأكبر يتعلق بثقة البرنامج: فالتحديثات الأصلية يمكنها أيضاً سرقة المفاتيح.