Hacker compromettono bee-js e Swarm Desktop di Ethersphere per rubare le chiavi dei wallet

L'9 novembre, il sistema di rilascio del software di Ethersphere è stato compromesso dagli hacker, che lo hanno utilizzato per diffondere malware tramite bee-js 13.3.0 e Swarm Desktop 0.56.2.

Questo malware era programmato per cercare le chiavi private dei wallet Bee node, garantendo così agli hacker l'accesso ai dispositivi compromessi. Sebbene il pacchetto bee-js sia rimasto su npm per circa 75 minuti, la versione di Swarm Desktop è rimasta online per quasi otto ore e mezza.

Firmato, provvisto di provenienza e ancora dannoso

L'aspetto più preoccupante di questa violazione è che il software appariva legittimo. La società di cybersecurity Socket ha confermato che bee-js disponeva di una provenienza SLSA valida. L'installer macOS di Swarm Desktop era stato firmato e notarizzato da Apple. Potrebbe essere aggiornato automaticamente per gli utenti di Apple Silicon e Windows.

I controlli hanno rivelato l'origine del software ma non la sua sicurezza. Gli hacker hanno inserito codice dannoso nei flussi di lavoro fidati. Socket ha collegato l'attacco ad account GitHub compromessi, incluso il bot di rilascio bee-worker. Tuttavia, le modalità con cui è stato ottenuto l'accesso non sono ancora note.

Cosa ruba il loader

StepSecurity ha scoperto che gli aggressori avevano modificato lo script scripts/generate-version.cjs per scaricare codice malevolo da api.frameworkmetrics[.]xyz. Lo script veniva eseguito automaticamente quando gli sviluppatori installavano bee-js 13.3.0, anche se non utilizzavano mai la libreria.

Il malware cercava poi due file: config.yaml e data-dir/keys/swarm.key. Il primo conteneva la password necessaria per sbloccare la chiave crittografata del wallet memorizzata nel secondo. Con entrambi i file, gli attaccanti potevano ottenere il controllo del wallet di un nodo Bee.

Il malware installava anche backdoor per mantenere l'accesso remoto. Su Windows utilizzava ScreenConnect. Su Linux e macOS, le backdoor si facevano passare per legittimi strumenti di sviluppo Solidity.

Lo stesso wallet dietro SleepyDuck

Socket ha rilevato che il malware utilizzava il contratto Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344 per individuare i suoi server di comando e controllo. Pluto Security aveva collegato lo stesso contratto alle campagne SleepyDuck ed EtherDuck, che distribuivano malware tramite estensioni Solidity fasulle.

Tuttavia, nell'attuale violazione, gli hacker hanno adottato un approccio diverso. Hanno attaccato i rilasci autentici del software di Ethersphere invece di convincere gli sviluppatori a scaricare un software falso. Il metodo ricorda il precedente attacco alla catena di approvvigionamento npm segnalato da Cryptopolitan, in cui gli hacker hanno distribuito malware attraverso i pacchetti del progetto WeaveDB di Arweave.

Cosa devono fare gli operatori ora

In due comunicazioni ufficiali, Ethersphere ha identificato entrambi i rilasci come dannosi. Il maintainer darkobas2 ha dichiarato in una richiesta pull di recupero che la versione 0.56.2 "è stata compilata e pubblicata da un attaccante utilizzando credenziali CI rubate". La sostituzione sicura, la 0.56.3, era "lo stesso codice della 0.56.1", firmata con un nuovo certificato.

Gli utenti dovrebbero verificare la propria versione Desktop e installare 0.56.3; gli utenti Linux devono aggiornare manualmente. Chiunque abbia eseguito il malware dovrebbe isolare e ricostruire il computer, spostare fondi e stake su un dispositivo pulito e ruotare le credenziali. Gli utenti di bee-js dovrebbero bloccare la versione 13.2.0. Un semplice aggiornamento non rimuoverà un backdoor.

Socket ha registrato 65 download della versione Desktop compromessa entro le 08:27 UTC dell'9 novembre, inclusi ricercatori, e ha stimato circa dieci fetch di bee-js 13.3.0. Nessuno di questi dati rappresenta un conteggio delle vittime. Non esiste alcun conteggio confermato di macchine infette o fondi rubati.

Leggere il mercato, non inventarlo

Su la dashboard di CertiK, la compromissione dei portafogli è al secondo posto per perdite nel 2026 (769,1 milioni di dollari) e al terzo per numero di incidenti (75). La compromissione delle chiavi private è al quinto posto per perdite (158 milioni di dollari) e al quarto per incidenti (47). Si tratta di figure a livello di settore, non relative alle perdite di Ethersphere.

CoinGecko ha quotato BZZ vicino a 0,0654 $ il 10 novembre, ma non è stata ancora confermata una vendita guidata dal breach. L'avvertimento più importante riguarda la fiducia nel software: gli aggiornamenti autentici possono comunque rubare le chiavi.