Veille menaces / Attaque
Ethersphere : des versions piégées de bee-js et Swarm Desktop volent les clés de portefeuilles Swarm
Le 9 novembre 2026, un attaquant a publié une version malveillante 13.3.0 de @ethersphere/bee-js sur npm et une version malveillante 0.56.2 de Swarm Desktop via la propre chaîne de publication du projet, avec des comptes GitHub compromis. Le code envoyait à l'attaquant les clés du portefeuille du nœud Swarm et leur mot de passe, et installait une porte dérobée. Les deux versions ont été retirées en quelques heures ; les téléchargements sont restés faibles et aucun vol de fonds n'avait été signalé.
- Secteur
- Tech et SaaS
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- @ethersphere/bee-js, Swarm Desktop, npm
- téléchargements de la version piégée Swarm Desktop 0.56.2, chercheurs compris (maximum, selon Socket)[3]
- 65
- Comment c'est arrivé
- Les utilisateurs ont été touchés par le canal de mise à jour : bee-js piégé lance son chargeur à l'installation, et Swarm Desktop à chaque démarrage, la mise à jour automatique proposant la 0.56.2 aux PC Windows x64 et aux Mac Apple Silicon. Le projet indique que la 0.56.2 « a été construite et publiée par un attaquant avec des identifiants CI volés ». Selon Socket, deux comptes GitHub ont été compromis, celui d'un mainteneur et le robot de publication bee-worker ; la façon dont ils l'ont été n'est pas expliquée.[2][3][5] Vérifié le 10 nov. 2026
- Ce qui a été volé
- Le deuxième étage lit le fichier config.yaml de Swarm Desktop et le fichier swarm.key et les envoie à l'attaquant ; la configuration contient le mot de passe du trousseau en clair, ce qui livre le portefeuille du nœud (xDAI, xBZZ, fonds du chéquier et mise). Un troisième étage installe un shell distant sur macOS et Linux et un client ScreenConnect comme service système sur Windows. Aucun vol de fonds n'avait été signalé.[3][4][5] Vérifié le 10 nov. 2026
- Qui est touché
- Les personnes et les systèmes de build qui ont installé bee-js 13.3.0 (environ 10 téléchargements, scanners et miroirs compris, selon Socket) ou lancé Swarm Desktop 0.56.2 (65 téléchargements à 8 h 27 UTC, chercheurs compris, des maximums selon Socket). L'avis de GitHub indique que tout ordinateur où le paquet est installé ou lancé « doit être considéré comme entièrement compromis ».[1][3] Vérifié le 10 nov. 2026
- Acteur
- Non attribué. Socket relie l'opérateur aux campagnes SleepyDuck et EtherDuck, en citant un contrat Ethereum, un portefeuille, des versions de porte dérobée et un relais ScreenConnect réutilisés.
Chronologie
- Une première tentative de collecte de secrets via les workflows de swarm-desktop et swarm-cli échoue ; Socket estime avec une confiance modérée que rien n'a été pris. [3]
- Peu après minuit UTC, un commit non signé du compte bee-worker et une release GitHub publient bee-js 13.3.0 sur npm, avec une attestation de provenance authentique ; la version est retirée environ 75 minutes plus tard et GitHub publie l'avis GHSA-hh7j-5m3j-23pf. Swarm Desktop 0.56.2 apparaît vers 0 h 36 UTC et est retirée quelques heures plus tard. [1][3][5]
- Le projet publie Swarm Desktop 0.56.3, le même code que la 0.56.1 signé avec un nouveau certificat Developer ID, pour que la mise à jour automatique remplace la version piégée. bee-js 13.2.0 redevient la dernière version. [2][4][5]