Des hackers s’emparent de bee-js et Swarm Desktop d’Ethersphere pour voler des clés de portefeuille

Le 9 novembre, le système de publication des logiciels d’Ethersphere a été pris en otage par des pirates qui l’ont utilisé pour distribuer des logiciels malveillants via bee-js 13.3.0 et Swarm Desktop 0.56.2.

This malware was programmed to look for Bee node wallet private keys, thereby giving the hackers access to the affected devices. While the bee-js package stayed on npm for about 75 minutes, the Swarm Desktop release remained online for almost eight and a half hours.

Signé, provenanciel et toujours malveillant

Le point inquiétant de cette violation est que le logiciel semblait légitime. La société de cybersécurité Socket a confirmé que bee-js avait une provenance SLSA valide. L'installateur macOS de Swarm Desktop avait été signé et notarié par Apple. Il pouvait être mis à jour automatiquement pour les utilisateurs de Apple Silicon et de Windows.

Les vérifications ont permis d'identifier l'origine du logiciel, mais pas sa sécurité. Les pirates ont inséré du code malveillant dans des flux de travail de confiance. Socket a relié la faille à des comptes GitHub compromis, notamment le bot de publication bee-worker. Cependant, les modalités d'obtention de cet accès restent inconnues.

Ce que le chargeur vole

StepSecurity a découvert que les attaquants avaient modifié les scripts/generate-version.cjs pour télécharger un code malveillant depuis api.frameworkmetrics[.]xyz. Le script s'exécutait automatiquement lorsque les développeurs installaient bee-js 13.3.0, même s'ils n'utilisaient jamais la bibliothèque.

Le malware recherchait ensuite deux fichiers : config.yaml et data-dir/keys/swarm.key. Le premier contenait le mot de passe nécessaire pour déverrouiller la clé de portefeuille chiffrée stockée dans le second. Avec ces deux fichiers, les attaquants pouvaient prendre le contrôle du portefeuille d'un nœud Bee.

Le malware a également installé des portes dérobées pour maintenir un accès distant. Sous Windows, il utilisait ScreenConnect. Sous Linux et macOS, les portes dérobées se faisaient passer pour de légitimes outils de développement Solidity.

Le même portefeuille derrière SleepyDuck

Socket a constaté que le malware utilisait le contrat Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 pour trouver ses serveurs de commande et de contrôle. Pluto Security avait connecté le même contrat aux campagnes SleepyDuck et EtherDuck, qui distribuaient des logiciels malveillants en utilisant des extensions Solidity falsifiées.

Cependant, dans cette violation actuelle, les pirates ont adopté une approche différente. Ils ont attaqué les versions authentiques des logiciels d’Ethersphere au lieu de convaincre les développeurs de télécharger un logiciel falsifié. Cette méthode ressemble à l’attaque précédente de la chaîne d’approvisionnement npm signalée par Cryptopolitan, où les pirates ont distribué des malwares via les paquets du projet WeaveDB d’Arweave.

Ce que les opérateurs doivent faire maintenant

Dans deux avis officiels, Ethersphere a identifié ces deux versions comme malveillantes. Le mainteneur darkobas2 a déclaré dans une demande de tirage (pull request) de récupération que la version 0.56.2 « a été construite et publiée par un attaquant utilisant des identifiants CI volés ». La version propre de remplacement, la 0.56.3, était « le même code que la 0.56.1 », signée avec un nouveau certificat.

Les utilisateurs doivent vérifier leur version Desktop et installer la version 0.56.3 ; les utilisateurs Linux doivent mettre à jour manuellement. Toute personne ayant exécuté le malware doit isoler et reconstruire l’ordinateur, transférer les fonds et la mise (stake) depuis un appareil sain, et révoquer les identifiants. Les utilisateurs de bee-js doivent figer la version 13.2.0. Une simple mise à jour ne supprimera pas un backdoor.

Le socket a enregistré 65 téléchargements de la version Desktop compromise par le 08 h 27 UTC le 9 novembre, incluant des chercheurs, et a estimé environ dix récupérations de bee-js 13.3.0. Il ne s’agit pas d’un décompte des victimes. Aucun bilan confirmé d’appareils infectés ou de fonds volés n’existe.

Lire le marché, pas l'inventer

Sur le tableau de bord de CertiK, les compromissions de portefeuille se classent au deuxième rang en pertes en 2026 (769,1 millions de dollars) et au troisième rang en nombre d’incidents (75). Les compromissions de clé privée se classent cinquièmes en pertes (158 millions de dollars) et quatrièmes en incidents (47). Ces chiffres concernent l’ensemble du secteur, et non les pertes d’Ethersphere.

CoinGecko a coté BZZ autour de 0,0654 $ le 10 novembre, mais aucune vente panique liée à une brèche n’a été établie. L’avertissement principal porte sur la confiance dans les logiciels : des mises à jour authentiques peuvent toujours voler des clés.