9 ноября 2026 года в процессе автоматизированной сборки Ethersphere произошел сбой, приведший к выпуску вредоносных версий пакета bee-js (13.3.0) и приложения Swarm Desktop (0.56.2). Злоумышленники использовали официальные каналы распространения, задействовав бота bee-worker или украденные учетные данные CI.
Вредоносный код использовал скрипты postinstall для автоматической загрузки дополнительных файлов сразу после установки. Программа искала файлы кошельков Swarm, включая config.yaml и swarm.key, для кражи ключей Ethereum и паролей. Целью атаки были токены xDAI, xBZZ, а также средства на стейкинге и чековых счетах.
ПО также создавало бэкдоры для постоянного доступа к зараженным системам. Согласно отчету, любая машина с установленными скомпрометированными версиями считается полностью взломанной. Инфраструктура атаки связана с кампанией SleepyDuck.
Разработчики Ethersphere рекомендуют пользователям удалить бэкдоры и сменить ключи кошельков. Обновление ПО не гарантирует безопасность, так как скомпрометированные ключи остаются у злоумышленников. Разработчикам, использующим bee-js, предписано провести аудит зависимостей и проверку файлов блокировки.
