黑客劫持 Ethersphere 的 bee-js 和 Swarm Desktop，窃取钱包密钥

11月9日，Ethersphere的软件发布系统遭黑客接管，并被用于通过bee-js 13.3.0和Swarm Desktop 0.56.2分发恶意软件。

该恶意软件被编程以查找Bee节点钱包的私钥，从而使黑客能够访问受感染的设备。bee-js包在npm上停留了约75分钟，而Swarm Desktop版本则在线了近8.5小时。

已签名、有溯源记录，但仍具恶意性

此次漏洞令人担忧之处在于，该软件看起来是合法的。网络安全公司Socket确认bee-js具有有效的SLSA溯源证明。Swarm Desktop的macOS安装程序已签名并通过Apple公证。它可为Apple Silicon和Windows用户自动更新。

检查结果显示了软件的来源，但未能证明其安全性。黑客将恶意代码植入受信任的工作流程中。Socket 将该攻击与遭入侵的 GitHub 账户关联起来，其中包括发布机器人 bee-worker。然而，获取访问权限的具体方式目前仍不清楚。

加载器窃取的内容

StepSecurity发现攻击者修改了scripts/generate-version.cjs脚本，以便从api.frameworkmetrics[.]xyz下载恶意代码。当开发者安装bee-js 13.3.0时，该脚本会自动运行，即使他们从未使用过该库。

该恶意软件随后搜索两个文件：config.yaml 和 data-dir/keys/swarm.key。前者包含解锁存储在后者中的加密钱包密钥所需的密码。同时拥有这两个文件后，攻击者即可控制 Bee 节点钱包。

该恶意软件还安装了后门以维持远程访问。在 Windows 上，它使用了 ScreenConnect；在 Linux 和 macOS 上，这些后门伪装成合法的 Solidity 开发工具。

SleepyDuck 背后的同一钱包

Socket发现，该恶意软件利用以太坊合约0xf8a900Db50b3331be6B768bA460BB59f3E40C344来寻找其命令与控制服务器。Pluto Security将同一合约与SleepyDuck和EtherDuck活动联系起来，这些活动通过伪造的Solidity扩展分发恶意软件。

然而，在本次违规事件中，黑客采取了不同的手段。他们并未诱骗开发者下载伪造软件，而是直接攻击了 Ethersphere 的官方软件发布版本。该方法与 Cryptopolitan 此前报道的 npm 供应链攻击类似，黑客通过 Arweave 的 WeaveDB 项目包分发了 恶意软件。

运营商现在需要做什么

在两份 官方 公告中，Ethersphere 确认这两个版本均存在恶意代码。维护者 darkobas2 在一份 恢复性拉取请求 中表示，0.56.2 版本“由使用被盗 CI 凭据的攻击者构建并发布”。干净的替代版本 0.56.3 “与 0.56.1 的代码相同”，并使用新证书进行了签名。

用户应检查其桌面版并安装 0.56.3；Linux 用户必须手动更新。任何运行过恶意软件的人都应隔离并重建计算机，从干净的设备上转移资金和质押资产，并轮换凭据。bee-js 用户应将版本固定为 13.2.0。仅更新软件并不能移除后门。

Socket 截至11月9日08:27 UTC，记录到65次针对受污染的桌面版客户端的下载，其中包括研究人员，并估计约有10次 bee-js 13.3.0 的拉取。这些均非受害数量。目前尚无关于受感染机器或被盗资金的确认统计。

解读市场，而非创造市场

在CertiK的仪表盘上，钱包泄露按2026年损失金额（7.691亿美元）排名第二，按事件数量排名第三（75起）。私钥泄露按损失金额（1.58亿美元）排名第五，按事件数量排名第四（47起）。这些数据为行业整体数据，而非Ethersphere的损失情况。

CoinGecko 于11月10日将BZZ定价约为0.0654美元，但尚未出现由漏洞引发的抛售潮。更值得警惕的是软件信任问题：即使是官方更新也可能窃取密钥。