هاكرز يحقنون البرمجيات الخبيثة لسرقة المفاتيح في تطبيقات Swarm

حذرت شركة الأمن السيبراني SlowMist مستخدمي نظام Ethereum البيئي من هجوم على بنية الإصدار البرمجية لـ Ethersphere. قام المهاجمون بحقن كود ضار في مكتبة JavaScript @ethersphere/bee-js الإصدار 13.3.0 وتطبيق Swarm Desktop 0.56.2، المصمم للتفاعل مع شبكة تخزين البيانات اللامركزية Swarm. يمكن أن تكون البرامج قد استخدمت لسرقة مفاتيح محافظ العملات المشفرة وتثبيت أدوات وصول عن بعد مخفية على أجهزة Windows وmacOS وLinux.

وقع الهجوم في 9 نوفمبر 2026، وتم اكتشافه من قبل باحثين من Socket وSafeDep. وفقًا لبياناتهم، استخدم المهاجمون بيانات اعتماد بنية النشر لـ Ethersphere المخترقة لتوزيع الإصدارات المصابة عبر القنوات الرسمية. ونتيجة لذلك، كان يمكن أن يصل البرنامج الضار إلى أجهزة المستخدمين أثناء التثبيت العادي للمكتبة أو تحديث Swarm Desktop.

كيفية حقن المهاجمين للكود الضار

تم توزيع النسخة الضارة من @ethersphere/bee-js 13.3.0 عبر سجل حزم npm. وجد الباحثون أن المهاجمين قاموا بتعديل نص تثبيت المكتبة لتنزيل وتنفيذ كود JavaScript إضافي تلقائيًا. بقيت الحزمة المصابة متاحة لمدة حوالي 75 دقيقة قبل إزالتها من npm.

بعد نصف ساعة تقريبًا من نشر bee-js، أصدر المهاجمون Swarm Desktop 0.56.2، الذي يحتوي على مكون ضار مشابه. تم توزيع التطبيق عبر GitHub، مع توقيع نسخة macOS بشهادة مطور صالحة واجتياز التحقق القياسي من Apple. وفقًا لـ Socket، يمكن لنظام التحديث المدمج أن يعرض تلقائيًا النسخة المصابة لبعض مستخدمي Windows وmacOS.

أظهرت أبحاث SafeDep أن الكود الضار كان مصممًا للحصول على ملفات محفظة عقدة Swarm، بما في ذلك ملف المفتاح المشفر والتكوين الذي يحتوي على كلمة المرور لفتحه. بالإضافة إلى ذلك، يمكن للبرنامج تثبيت مكونات إضافية لإدارة الكمبيوتر عن بعد والحفاظ على الوصول بعد إعادة التشغيل. كان هذا يشكل خطرًا ليس فقط على الأموال المرتبطة بعقدة Swarm ولكن أيضًا على بيانات الاعتماد الأخرى المتاحة على الجهاز المصاب.

استخدام عقد ذكية على Ethereum لإدارة الهجوم

كانت ميزة الهجوم استخدام عقد ذكية على Ethereum لتخزين عنوان خادم الأوامر للبرنامج الضار. سمحت هذه الآلية للمهاجمين بتغيير بنية إدارة الأجهزة المصابة دون إعادة تثبيت البرنامج. تم استخدام العقد الذكية كأداة لنقل المعلومات التقنية، وليس لاستغلال ثغرة في بلوكشين Ethereum نفسه.

وجد باحثو Socket أن هذه العقدة الذكية كانت مستخدمة سابقًا في حملات SleepyDuck وEtherDuck، المرتبطة بتوزيع ملحقات ضارة للمطورين عبر كتالوج Open VSX. تم العثور أيضًا على أوجه تشابه في مكونات فردية من البرامج الضارة والبنية التحتية المستخدمة. تشير هذه البيانات إلى وجود ارتباط محتمل بين الهجمات، لكن هويات المهاجمين لا تزال مجهولة.

إزالة الإصدارات المصابة، ونصح المستخدمين بالتحقق

بعد اكتشاف الهجوم، أزال مطورو Ethersphere الإصدارات المصابة من قنوات التوزيع الرسمية. بالنسبة لمكتبة @ethersphere/bee-js، يبقى الإصدار 13.2.0 آمنًا، وتم إصدار نسخة نظيفة 0.56.3 من Swarm Desktop في 9 نوفمبر. يحتاج مستخدمو Linux إلى تثبيت تحديث Swarm Desktop يدويًا، بينما تتوفر تحديثات تلقائية لأنظمة Windows وmacOS المدعومة.

ومع ذلك، فإن استبدال التطبيق لا يضمن القضاء على عواقب العدوى إذا تم تنفيذ الكود الضار بالفعل على الكمبيوتر. يوصي الباحثون باعتبار هذه الأجهزة محتملة الاختراق، وفحصها لأدوات الوصول عن بعد، واستبدال كلمات المرور والرموز والمفاتيح التشفيرية من جهاز موثوق به. يجب نقل الأموال المرتبطة بمفاتيح Swarm المحتملة التعرض إلى عناوين جديدة.

في وقت النشر، لم يتم الكشف عن كميات مؤكدة من العملات المشفرة المسروقة. كما يظل العدد الدقيق للأجهزة المصابة غير معروف، حيث تتضمن إحصائيات تنزيل البرنامج طلبات من الباحثين وأنظمة التحقق الأمني الآلي.