Hackers secuestran bee-js y Swarm Desktop de Ethersphere para robar claves de billetera

El 9 de noviembre, el sistema de lanzamiento de software de Ethersphere fue tomado por hackers, quienes lo utilizaron para distribuir malware mediante bee-js 13.3.0 y Swarm Desktop 0.56.2.

Este malware fue programado para buscar las claves privadas de las billeteras Bee node, otorgando así a los hackers acceso a los dispositivos afectados. Aunque el paquete bee-js permaneció en npm durante aproximadamente 75 minutos, la versión de Swarm Desktop estuvo disponible durante casi ocho horas y media.

Firmado, con procedencia verificada y aún malicioso

Lo preocupante de esta brecha es que el software parecía legítimo. La firma de ciberseguridad Socket confirmó que bee-js tenía una procedencia SLSA válida. El instalador de macOS de Swarm Desktop había sido firmado y notariado por Apple. Podía actualizarse automáticamente para usuarios de Apple Silicon y Windows.

Las verificaciones mostraron el origen del software, pero no su seguridad. Los hackers insertaron código malicioso en flujos de trabajo confiables. Socket vinculó el ataque a cuentas de GitHub comprometidas, incluido el bot de lanzamiento bee-worker. Sin embargo, aún se desconoce cómo se obtuvo el acceso.

Lo que roba el cargador

StepSecurity descubrió que los atacantes habían modificado scripts/generate-version.cjs para descargar código malicioso desde api.frameworkmetrics[.]xyz. El script se ejecutaba automáticamente cuando los desarrolladores instalaban bee-js 13.3.0, incluso si nunca usaban la biblioteca.

El malware buscaba dos archivos: config.yaml y data-dir/keys/swarm.key. El primero contenía la contraseña necesaria para desbloquear la clave de la billetera cifrada almacenada en el segundo. Con ambos archivos, los atacantes podían tomar el control de la billetera de un nodo Bee.

El malware también instaló puertas traseras para mantener el acceso remoto. En Windows, utilizó ScreenConnect. En Linux y macOS, las puertas traseras se hacían pasar por legítimas herramientas de desarrollo de Solidity.

La misma billetera detrás de SleepyDuck

Socket ha encontrado que el malware hacía uso del contrato de Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 para encontrar sus servidores de comando y control. Pluto Security había vinculado el mismo contrato con las campañas SleepyDuck y EtherDuck, que distribuían malware mediante extensiones falsas de Solidity.

Sin embargo, en la brecha actual, los hackers han adoptado un enfoque diferente. Han atacado los lanzamientos auténticos del software de Ethersphere en lugar de convencer a los desarrolladores para que descarguen software falso. El método se asemeja al anterior ataque a la cadena de suministro de npm reportado por Cryptopolitan, donde los hackers distribuyeron malware a través de los paquetes del proyecto WeaveDB de Arweave.

Qué deben hacer los operadores ahora

En dos avisos oficiales, Ethersphere identificó ambos lanzamientos como maliciosos. El mantenedor darkobas2 dijo en una solicitud de extracción de recuperación que 0.56.2 «fue construido y publicado por un atacante usando credenciales de CI robadas». La versión limpia de reemplazo, 0.56.3, era «el mismo código que 0.56.1», firmada con un nuevo certificado.

Los usuarios deben verificar su versión de escritorio e instalar 0.56.3; los usuarios de Linux deben actualizar manualmente. Cualquier persona que ejecutara el malware debe aislar y reconstruir la computadora, mover fondos y staking desde un dispositivo limpio, y rotar las credenciales. Los usuarios de bee-js deben fijar la versión 13.2.0. Una actualización por sí sola no eliminará una puerta trasera.

El socket registró 65 descargas de la versión contaminada de Desktop a las 08:27 UTC del 9 de noviembre, incluidas las de investigadores, y estimó unas diez descargas de bee-js 13.3.0. Ninguna de estas cifras representa el número de víctimas. No existe un recuento confirmado de máquinas infectadas ni de fondos robados.

Leer el mercado, no inventarlo

En el panel de CertiK, la violación de billeteras ocupa el segundo lugar en pérdidas para 2026 (769,1 millones de dólares) y el tercero en incidentes (75). La violación de claves privadas es la quinta en pérdidas (158 millones de dólares) y la cuarta en incidentes (47). Estas son cifras generales de la industria, no corresponden a las pérdidas de Ethersphere.

CoinGecko cotizó BZZ cerca de 0,0654 dólares el 10 de noviembre, pero no se ha establecido una venta masiva impulsada por la brecha. La advertencia más importante tiene que ver con la confianza en el software: las actualizaciones auténticas aún pueden robar claves.