黑客注入恶意软件以窃取Swarm应用程序中的密钥

网络安全公司SlowMist警告以太坊生态系统用户注意对Ethersphere软件发布基础设施的攻击。攻击者在JavaScript库@ethersphere/bee-js版本13.3.0和用于与去中心化数据存储网络Swarm交互的Swarm Desktop 0.56.2应用程序中注入了恶意代码。这些程序可能被用于窃取加密货币钱包密钥，并在Windows、macOS和Linux计算机上安装隐藏的远程访问工具。

攻击发生在2026年11月9日，由Socket和SafeDep的研究人员发现。根据他们的数据，攻击者使用被破坏的Ethersphere发布基础设施凭据通过官方渠道分发感染版本。因此，恶意软件可能在常规安装库或更新Swarm Desktop时到达用户设备。

攻击者如何注入恶意代码

恶意版本的@ethersphere/bee-js 13.3.0通过npm包注册表分发。研究人员发现攻击者更改了库安装脚本，以自动下载和执行额外的JavaScript代码。感染包在被从npm移除前大约可用75分钟。

在发布bee-js大约半小时后，攻击者发布了Swarm Desktop 0.56.2，包含类似的恶意组件。该应用程序通过GitHub分发，macOS版本使用有效的开发者证书签名并通过标准的Apple验证。根据Socket的说法，内置更新系统可能会自动向某些Windows和macOS用户提供感染版本。

SafeDep的研究显示，恶意代码旨在获取Swarm节点钱包文件，包括加密密钥文件和包含解锁密码的配置。此外，该程序还可以安装额外的组件用于远程计算机管理，并在重启后保持访问。这不仅对与Swarm节点相关的资金构成风险，还对感染设备上可用的其他凭据构成威胁。

用于管理攻击的以太坊智能合约

攻击的一个特点是使用了一个以太坊智能合约来存储恶意程序命令服务器的地址。这一机制允许攻击者在不重新安装软件的情况下更改感染计算机的管理基础设施。智能合约被用作传输技术信息的工具，而不是用于利用以太坊区块链本身的漏洞。

Socket研究人员发现，这个智能合约以前在SleepyDuck和EtherDuck活动中被使用，这些活动与通过Open VSX目录分发恶意扩展程序给开发者有关。在恶意软件的个别组件和使用的基础设施中也发现了相似之处。这些数据表明攻击之间可能存在联系，但攻击者的身份仍然未知。

感染版本已移除，建议用户检查

在发现攻击后，Ethersphere开发者从官方分发渠道中移除了感染版本。对于@ethersphere/bee-js库，版本13.2.0仍然安全，并且在11月9日发布了干净的Swarm Desktop 0.56.3版本。Linux用户需要手动安装Swarm Desktop更新，而支持的Windows和macOS系统则有自动更新可用。

然而，如果恶意代码已经在计算机上执行，替换应用程序并不能保证消除感染后果。研究人员建议将此类设备视为潜在受感染，检查它们是否有远程访问工具，并从可信设备更换密码、令牌和加密密钥。与潜在暴露的Swarm密钥相关的资金应转移到新地址。

截至发布时，被盗加密货币的确认金额尚未披露。感染设备的确切数量也仍然未知，因为程序下载统计包括来自研究人员和自动化安全验证系统的请求。