해커들이 Swarm 애플리케이션에서 키를 훔치기 위해 악성코드를 주입하다

사이버 보안 회사 SlowMist는 Ethereum 생태계 사용자들에게 Ethersphere 소프트웨어 릴리스 인프라에 대한 공격에 대해 경고했습니다. 공격자들은 JavaScript 라이브러리 @ethersphere/bee-js 버전 13.3.0과 탈중앙화 데이터 저장 네트워크 Swarm과의 상호작용을 위해 설계된 Swarm Desktop 0.56.2 애플리케이션에 악성 코드를 주입했습니다. 이 프로그램들은 암호화폐 지갑 키를 훔치고 Windows, macOS, Linux 컴퓨터에 숨겨진 원격 액세스 도구를 설치하는 데 사용될 수 있었습니다.

공격은 2026년 11월 9일에 발생했으며 Socket과 SafeDep의 연구원들에 의해 발견되었습니다. 그들의 데이터에 따르면, 공격자들은 손상된 Ethersphere 출판 인프라 자격 증명을 사용하여 공식 채널을 통해 감염된 버전을 배포했습니다. 그 결과, 악성 코드는 라이브러리의 정기 설치 또는 Swarm Desktop의 업데이트 중에 사용자 장치에 도달할 수 있었습니다.

공격자들이 악성 코드를 주입한 방법

@ethersphere/bee-js 13.3.0의 악성 버전은 npm 패키지 레지스트리를 통해 배포되었습니다. 연구원들은 공격자들이 라이브러리 설치 스크립트를 변경하여 추가 JavaScript 코드를 자동으로 다운로드하고 실행하도록 했음을 발견했습니다. 감염된 패키지는 npm에서 제거되기 전 약 75분 동안 이용 가능했습니다.

bee-js가 게시된 지 약 30분 후, 공격자들은 유사한 악성 구성 요소를 포함한 Swarm Desktop 0.56.2를 출시했습니다. 이 애플리케이션은 GitHub를 통해 배포되었으며, macOS 버전은 유효한 개발자 인증서로 서명되어 표준 Apple 검증을 통과했습니다. Socket에 따르면, 내장된 업데이트 시스템은 일부 Windows 및 macOS 사용자에게 감염된 버전을 자동으로 제공할 수 있었습니다.

SafeDep의 연구에 따르면, 악성 코드는 암호화된 키 파일과 이를 해제하는 비밀번호를 포함한 Swarm 노드 지갑 파일을 획득하도록 설계되었습니다. 또한, 이 프로그램은 원격 컴퓨터 관리를 위한 추가 구성 요소를 설치하고 재부팅 후에도 접근을 유지할 수 있었습니다. 이는 Swarm 노드와 관련된 자금뿐만 아니라 감염된 장치에서 사용 가능한 다른 자격 증명에도 위험을 초래했습니다.

공격 관리를 위한 Ethereum 스마트 계약 사용

이 공격의 특징은 악성 프로그램의 명령 서버 주소를 저장하기 위해 Ethereum 스마트 계약을 사용한 것입니다. 이 메커니즘은 소프트웨어를 재설치하지 않고도 감염된 컴퓨터의 관리 인프라를 변경할 수 있도록 했습니다. 스마트 계약은 기술 정보를 전송하는 도구로 사용되었으며, Ethereum 블록체인의 취약점을 악용하는 데 사용된 것은 아닙니다.

Socket 연구원들은 이 스마트 계약이 이전에 SleepyDuck 및 EtherDuck 캠페인에서 사용되었으며, 이는 Open VSX 카탈로그를 통해 개발자용 악성 확장 프로그램을 배포하는 것과 관련이 있음을 발견했습니다. 악성 코드의 개별 구성 요소와 사용된 인프라에서 유사점이 발견되었습니다. 이러한 데이터는 공격 간의 연관 가능성을 나타내지만, 공격자의 신원은 여전히 알려지지 않았습니다.

감염된 버전 제거, 사용자에게 점검 권장

공격이 발견된 후, Ethersphere 개발자들은 공식 배포 채널에서 감염된 릴리스를 제거했습니다. @ethersphere/bee-js 라이브러리의 경우, 버전 13.2.0은 안전하며, Swarm Desktop의 클린 버전 0.56.3이 11월 9일에 출시되었습니다. Linux 사용자는 Swarm Desktop 업데이트를 수동으로 설치해야 하며, 지원되는 Windows 및 macOS 시스템은 자동 업데이트가 가능합니다.

그러나 애플리케이션을 교체하더라도 악성 코드가 이미 컴퓨터에서 실행된 경우 감염 결과를 제거할 수 있다는 보장은 없습니다. 연구원들은 이러한 장치를 잠재적으로 손상된 것으로 간주하고, 원격 액세스 도구를 점검하며, 신뢰할 수 있는 장치에서 비밀번호, 토큰 및 암호화 키를 교체할 것을 권장합니다. 잠재적으로 노출된 Swarm 키와 관련된 자금은 새로운 주소로 이전해야 합니다.

게시 시점에 도난당한 암호화폐의 확인된 금액은 공개되지 않았습니다. 감염된 장치의 정확한 수 또한 알려지지 않았으며, 프로그램 다운로드 통계에는 연구원과 자동 보안 검증 시스템의 요청이 포함되어 있습니다.