Entiende la alerta de seguridad de Ethereum: un ataque de cadena de suministro de blockchain que afectó billeteras Swarm y el papel del malware de contratos inteligentes.
Canal oficial de lanzamiento de software introdujo malware para robar billeteras en el ecosistema Swarm, lo que llevó a SlowMist a emitir una alerta de seguridad grave para Ethereum el 10 de noviembre de 2026. Este ataque a la cadena de suministro afectó el paquete bee-js de Ethersphere y la aplicación Swarm Desktop; se instó a los usuarios a eliminar el software afectado, instalar una versión limpia y reemplazar las claves de billetera expuestas.
Puntos clave
- Las versiones comprometidas son bee-js 13.3.0 y Swarm Desktop 0.56.2.
- Un contrato inteligente de Ethereum ayudó a los atacantes a gestionar la infraestructura de malware.
- Las medidas de limpieza incluyen no solo actualizaciones de software, sino también la eliminación de puertas traseras y el cambio de claves de billetera.
La alerta de seguridad de Ethereum proviene de una versión lanzada comprometida
El proceso de lanzamiento automatizado de Ethersphere fue comprometido el 9 de noviembre de 2026 y se distribuyó software malicioso a través de canales oficiales. Los productos afectados pertenecen a Swarm, una red descentralizada de almacenamiento dentro del ecosistema Ethereum.
El paquete malicioso @ethersphere/bee-js 13.3.0 de npm apareció alrededor de las 00:09 UTC, seguido por Swarm Desktop 0.56.2 alrededor de las 00:36 UTC, con un intervalo de aproximadamente 27 minutos.
SlowMist indica que el atacante ingresó a la cuenta de GitHub y abusó del proceso de lanzamiento legítimo. Este flujo de lanzamiento fue comprometido, involucrando al robot bee-worker o credenciales de integración continua robadas.
El paquete manipulado contiene un hook postinstall: estos scripts se ejecutan automáticamente durante la instalación sin necesidad de que el usuario haga clic nuevamente. Los scripts relacionados se comunican con un servidor controlado por el atacante y descargan una carga adicional.
Smart contract management of malware infrastructure
SlowMist indica que el atacante utilizó un contrato inteligente de Ethereum como repositorio descentralizado de configuración de comando y control. De esta manera, pueden cambiar la dirección del servidor que administra el malware sin necesidad de publicar nuevamente una versión del malware.
El malware recupera y ejecuta JavaScript malicioso. Este contrato anteriormente estuvo relacionado con SleepyDuck y EtherDuck, actividades maliciosas que targetearon a desarrolladores mediante extensiones maliciosas en el mercado Open VSX.
Los investigadores descubrieron robo de billeteras y acceso persistente
Los investigadores de Socket y SafeDep descubrieron independientemente que estos malware tienen como objetivo robar archivos de billeteras Swarm e instalar herramientas de acceso remoto persistentes. La publicación maliciosa podría exponer credenciales y claves privadas de la billetera, dejando una puerta trasera permanente en los sistemas afectados.
Los resultados del estudio indican que su objetivo es vaciar los tokens xDAI y xBZZ, los fondos del chequebook y los activos apostados asociados con los nodos de Swarm.
Limpieza limpia y reemplazo de la clave de la billetera
En su advertencia de seguridad sobre Ethereum, SlowMist insta a los usuarios afectados a eliminar inmediatamente los paquetes contaminados y revertir a bee-js 13.2.0. Para los usuarios que ejecutan Swarm Desktop v0.56.2, se recomienda utilizar la versión no afectada v0.56.3.
Según el aviso de seguridad de GitHub GHSA-hh7j-5m3j-23pf, cualquier sistema que haya instalado el paquete contaminado debe considerarse “totalmente comprometido”. Ethereum Swarm también advirtió a los usuarios a través de Discord que bloqueen sus sistemas y reemplacen las versiones de escritorio afectadas.
Se recomienda a los usuarios afectados que eliminen el backdoor y reemplacen completamente las claves de su billetera. Actualizar el software por sí solo no protege los activos asociados con las claves comprometidas ni elimina los mecanismos de persistencia implantados en el dispositivo.
Lea también: Las identidades digitales de Ethereum en Bután pueden verificar credenciales sin subir los datos a la cadena. Ondo introduce más de 100 valores estadounidenses en Ethereum: acceso las 24 horas y precios en la cadena.
Este artículo fue generado con la ayuda de inteligencia artificial y revisado por el equipo de edición.