ハッカーがEthersphereのbee-jsとSwarm Desktopを乗っ取り、ウォレット鍵を窃取

11月9日、Ethersphereのソフトウェアリリースシステムは、bee-js 13.3.0とSwarm Desktop 0.56.2を使用してマルウェアを送信するハッカーによって乗っ取られました。

このマルウェアはBeeノードのウォレット秘密鍵を検索するようにプログラムされており、それによってハッカーは影響を受けたデバイスにアクセスすることができました。bee-jsパッケージはnpm上で約75分間存在しましたが、Swarm Desktopのリリース版はほぼ8時間半にわたってオンラインで稼働し続けていました。

署名付き、出所が証明された、そして依然として悪意のあるもの

この侵害事件の懸念すべき点は、ソフトウェアが正当なものであるように見えたことです。サイバーセキュリティ企業Socketは、bee-jsが有効なSLSAプロベナンス（出所証明）を持っていたことを確認しました。Swarm DesktopのmacOSインストーラーは署名され、Appleによる認証も取得されていました。Apple SiliconおよびWindowsユーザーに対しては自動更新が可能でした。

調査によりソフトウェアの起源は特定されましたが、安全性までは確認できませんでした。ハッカーは信頼できるワークフローに悪意あるコードを挿入しました。Socketはこの攻撃を、リリースボットのbee-workerを含む侵害されたGitHubアカウントに関連付けました。ただし、アクセスがどのように取得されたかは未だ不明です。

ローダーが盗むもの

StepSecurityは、攻撃者がscripts/generate-version.cjsを改ざんし、api.frameworkmetrics[.]xyzから悪意のあるコードをダウンロードさせていたことを発見しました。開発者がbee-js 13.3.0をインストールした際、たとえそのライブラリを直接使用しなかったとしても、このスクリプトは自動的に実行されました。

マルウェアはその後、config.yamlとdata-dir/keys/swarm.keyという2つのファイルを検索しました。前者には後者に保存されている暗号化されたウォレットキーの解錠に必要なパスワードが含まれていました。両方のファイルを手に入れた攻撃者は、Beeノードのウォレットを乗っ取ることができました。

マルウェアはまた、リモートアクセスを維持するためのバックドアもインストールしました。WindowsではScreenConnectを使用し、LinuxおよびmacOSでは、これらのバックドアは正当なSolidity開発ツールに成りすましていました。

SleepyDuckの背後にある同じウォレット

Socketの調査により、このマルウェアはコマンド・アンド・コントロール（C2）サーバーを見つけるためにEthereumコントラクト 0xf8a900Db50b3331be6B768bA460BB59f3E40C344を利用していたことが判明しました。Pluto Securityは、同じコントラクトがSleepyDuckおよびEtherDuckキャンペーンに関連付けられていたことを突き止めました。これらのキャンペーンでは、偽のSolidity拡張機能を使用してマルウェアが配布されていました。

ただし、今回の侵害では、ハッカーは異なるアプローチを採用しました。開発者を偽のソフトウェアのダウンロードに誘導するのではなく、Ethersphereの正規のソフトウェアリリースを攻撃したのです。この手法は、Cryptopolitanが報告した以前のnpmサプライチェーン攻撃と似ており、ハッカーはArweaveのWeaveDBプロジェクトパッケージを通じてマルウェアを配布しました。

オペレーターが今すぐ行うべきこと

Ethersphereは2つの公式通知で、両方のリリースが悪意のあるものであることを特定しました。メンテナーのdarkobas2氏は、復旧用プルリクエストにおいて、0.56.2は「盗まれたCI認証情報を使用した攻撃者によってビルドおよび公開された」と述べています。クリーンな代替版である0.56.3は「0.56.1と同じコード」であり、新しい証明書で署名されています。

ユーザーはデスクトップ版を確認し、0.56.3をインストールしてください。Linuxユーザーは手動で更新する必要があります。マルウェアを実行した人は、コンピュータを隔離して再構築し、資金やステーキングをクリーンなデバイスから移動し、認証情報を更新してください。bee-jsユーザーはバージョン13.2.0を固定してください。単なる更新ではバックドアは除去されません。

Socket recorded 65 downloads of the tainted Desktop release by 08:27 UTC on November 9, including researchers, and estimated about ten bee-js 13.3.0 fetches. Neither is a victim count. No confirmed tally of infected machines or stolen funds exists.

市場を発明するのではなく、読むこと

On CertiK’s dashboard, wallet compromise ranks second by 2026 losses ($769.1 million) and third by incidents (75). Private-key compromise is fifth by losses ($158 million) and fourth by incidents (47). Those are industry-wide figures, not Ethersphere losses.

CoinGeckoでは、11月10日にはBZZの価格が0.0654ドル近くまで上昇しましたが、ブレークを原因とする売り出しは確立されていません。より大きな警告は、ソフトウェアの信頼性に関するものです。正規のアップデートでも、鍵が盗まれる可能性があります。