Хакеры внедрили вредоносное ПО для кражи ключей в приложения Swarm

Компания по кибербезопасности SlowMist предупредила пользователей экосистемы Ethereum об атаке на инфраструктуру выпуска программ Ethersphere. Злоумышленники внедрили вредоносный код в JavaScript-библиотеку @ethersphere/bee-js версии 13.3.0 и настольное приложение Swarm Desktop 0.56.2, предназначенные для взаимодействия с децентрализованной сетью хранения данных Swarm. Программы могли использоваться для кражи ключей криптовалютных кошельков и установки средств скрытого удаленного доступа на компьютеры с Windows, macOS и Linux.

Атака произошла 9 ноября 2026 года и была обнаружена исследователями Socket и SafeDep. По их данным, злоумышленники использовали скомпрометированные учетные данные инфраструктуры публикации Ethersphere, чтобы распространять зараженные версии через официальные каналы. В результате вредоносное ПО могло попасть на устройства пользователей при обычной установке библиотеки или обновлении Swarm Desktop.

Как злоумышленники внедрили вредоносный код

Вредоносная версия @ethersphere/bee-js 13.3.0 распространялась через реестр программных пакетов npm. Исследователи установили, что злоумышленники изменили сценарий установки библиотеки таким образом, чтобы он автоматически загружал и выполнял дополнительный JavaScript-код. Зараженный пакет оставался доступным около 75 минут, прежде чем его удалили из npm.

Примерно через полчаса после публикации bee-js злоумышленники выпустили Swarm Desktop 0.56.2, содержащий аналогичный вредоносный компонент. Приложение распространялось через GitHub, причем версия для macOS была подписана действующим сертификатом разработчика и прошла стандартную проверку Apple. По данным Socket, встроенная система обновлений могла автоматически предложить зараженную версию части пользователей Windows и macOS.

Исследование SafeDep показало, что вредоносный код был предназначен для получения файлов криптокошелька узла Swarm, включая зашифрованный файл с ключом и конфигурацию, содержащую пароль для его разблокировки. Кроме того, программа могла устанавливать дополнительные компоненты для удаленного управления компьютером и сохранения доступа после перезагрузки. Это создавало риск не только для средств, связанных с узлом Swarm, но и для других учетных данных, доступных на зараженном устройстве.

Для управления атакой использовался смарт-контракт Ethereum

Особенностью атаки стало использование смарт-контракта Ethereum для хранения адреса управляющего сервера вредоносной программы. Такой механизм позволял злоумышленникам изменять инфраструктуру управления зараженными компьютерами без повторной установки программного обеспечения. При этом смарт-контракт использовался как инструмент передачи технической информации, а не для эксплуатации уязвимости самого блокчейна Ethereum.

Исследователи Socket установили, что этот смарт-контракт ранее применялся в кампаниях SleepyDuck и EtherDuck, связанных с распространением вредоносных расширений для разработчиков через каталог Open VSX. Совпадения обнаружены также в отдельных компонентах вредоносного ПО и используемой инфраструктуре. Эти данные указывают на вероятную связь атак, однако личности злоумышленников остаются неизвестными.

Зараженные версии удалены, пользователям рекомендована проверка

После обнаружения атаки разработчики Ethersphere удалили зараженные выпуски из официальных каналов распространения. Для библиотеки @ethersphere/bee-js безопасной остается версия 13.2.0, а для Swarm Desktop 9 ноября выпущена чистая версия 0.56.3. Пользователям Linux необходимо устанавливать обновление Swarm Desktop вручную, тогда как на поддерживаемых системах Windows и macOS предусмотрено автоматическое обновление.

Однако замена приложения не гарантирует устранения последствий заражения, если вредоносный код уже выполнялся на компьютере. Исследователи рекомендуют считать такие устройства потенциально скомпрометированными, проверять их на наличие средств удаленного доступа и заменять пароли, токены и криптографические ключи с доверенного устройства. Средства, связанные с потенциально раскрытыми ключами Swarm, рекомендуется переводить на новые адреса.

На момент публикации подтвержденные суммы похищенных криптовалют не раскрывались. Точное количество зараженных устройств также остается неизвестным, поскольку статистика загрузок программ включает обращения исследователей и автоматизированных систем проверки безопасности.