11月9日，Ethersphere软件发布系统遭黑客劫持

11月9日，Ethersphere的软件发布系统遭到黑客入侵。攻击者利用该系统通过bee-js 13.3.0和Swarm Desktop 0.56.2版本分发恶意软件。该恶意软件被设计用于搜寻Bee节点钱包的私钥，从而使黑客能够访问受感染设备。在此期间，bee-js包在npm上停留了约75分钟，而Swarm Desktop的版本则在线存在了近8.5小时。

已签名、有溯源证明，但依然具有恶意性

此次泄露事件令人担忧之处在于，该软件看起来完全合法。网络安全公司Socket确认，bee-js拥有有效的SLSA（软件供应链安全）溯源证明。Swarm Desktop的macOS安装程序经过签名并通过Apple公证，支持Apple Silicon和Windows用户的自动更新检查。虽然这些检查验证了软件的来源，但并未确保其安全性。黑客将恶意代码插入到受信任的工作流中。Socket将该攻击与受损的GitHub账户联系起来，其中包括发布机器人bee-worker，但获取访问权限的具体途径尚不清楚。

加载器窃取的内容

StepSecurity发现，攻击者修改了scripts/generate-version.cjs脚本，使其从api.frameworkmetrics[.]xyz下载恶意代码。当开发者安装bee-js 13.3.0时，该脚本会自动运行，即使他们从未使用过该库。

随后，恶意软件搜索两个文件：config.yaml和data-dir/keys/swarm.key。第一个文件包含解锁存储在第二个文件中的加密钱包密钥所需的密码。拥有这两个文件后，攻击者即可控制Bee节点钱包。此外，恶意软件还安装了后门以维持远程访问。在Windows上，它使用了ScreenConnect；在Linux和macOS上，后门伪装成合法的Solidity开发工具。

SleepyDuck背后的同一钱包

Socket发现，恶意软件利用以太坊合约0xf8a900Db50b3331be6B768bA460BB59f3E40C344来寻找其命令与控制服务器。Pluto Security曾将该合约与SleepyDuck和EtherDuck活动联系起来，这两起活动通过伪造的Solidity扩展程序分发恶意软件。然而，在本次事件中，黑客采取了不同的手段：他们攻击的是Ethersphere的真实软件发布，而不是诱骗开发者下载虚假软件。这种方法类似于Cryptopolitan之前报告的npm供应链攻击，当时黑客通过Arweave的WeaveDB项目包分发恶意软件。

运营商现在需要做什么

Ethersphere在两份官方通知中指出，上述两个版本均存在恶意代码。维护者darkobas2在一份恢复拉取请求中表示，0.56.2版本“是由使用被盗CI凭据的攻击者构建并发布的”。干净的替代版本0.56.3“与0.56.1代码相同”，并使用新证书签名。

用户应检查桌面版并安装0.56.3；Linux用户必须手动更新。任何运行过恶意软件的人都应隔离并重建计算机，从干净的设备转移资金和质押，并轮换凭据。bee-js用户应将版本锁定在13.2.0。仅更新无法移除后门。

截至11月9日UTC时间08:27，Socket记录了65次对受污染桌面版本的下载，包括研究人员在内，并估计约有10次对bee-js 13.3.0的获取。这些数据并非受害者总数，目前也没有关于受感染机器或被盗资金的确认统计。

Ethersphere bee-js和Swarm Desktop黑客攻击暴露钱包密钥

观察市场，而非创造市场

在CertiK的数据面板上，钱包被盗按2026年损失金额（7.691亿美元）排名第二，按事件数量（75起）排名第三。私钥被盗按损失金额（1.58亿美元）排名第五，按事件数量（47起）排名第四。这些都是行业整体数据，而非Ethersphere的损失情况。

CoinGecko在11月10日将BZZ价格定价为接近0.0654美元，但尚未出现由泄露引发的抛售潮。更大的警示在于软件信任问题：即使是真实的更新也可能导致密钥泄露。