Comprendre l'alerte de sécurité Ethereum : une attaque de la chaîne d'approvisionnement de la blockchain ayant affecté le portefeuille Swarm et le rôle joué par les logiciels malveillants de contrat intelligent.
Un logiciel malveillant volant des portefeuilles a été introduit dans l'écosystème Swarm via les canaux officiels de publication, poussant SlowMist à émettre une alerte de sécurité Ethereum grave le 10 novembre 2026. Cette attaque de la chaîne d'approvisionnement a touché le paquet logiciel bee-js d'Ethersphere et l'application Swarm Desktop ; les utilisateurs ont été invités à supprimer les logiciels affectés, à installer des versions propres et à remplacer les clés de portefeuille exposées.
Points clés
- Les versions contaminées sont bee-js 13.3.0 et Swarm Desktop 0.56.2.
- Un contrat intelligent Ethereum aide l'attaquant à gérer l'infrastructure de logiciels malveillants.
- Les mesures de nettoyage incluent non seulement une mise à jour logicielle, mais aussi la suppression de portes dérobées et le changement des clés de portefeuille.
L'alerte de sécurité sur Ethereum provient d'une version publiée compromise
Le processus de publication automatisé d'Ethersphere a été compromis le 9 novembre 2026, et un logiciel malveillant a été distribué via les canaux officiels. Les produits affectés appartiennent à Swarm, un réseau de stockage décentralisé au sein de l'écosystème Ethereum.
Le paquet npm malveillant @ethersphere/bee-js 13.3.0 est apparu vers 00:09 UTC, suivi par Swarm Desktop 0.56.2 vers 00:36 UTC, soit environ 27 minutes plus tard.
SlowMist indique que l'attaquant a pénétré le compte GitHub et a abusé du processus de publication légitime. Ce flux de publication a été compromis, impliquant le robot bee-worker ou des identifiants d'intégration continue volés.
Les paquets altérés contiennent un hook postinstall : ces scripts s'exécutent automatiquement pendant l'installation, sans nécessiter de clic supplémentaire de l'utilisateur. Les scripts concernés se connectent à un serveur contrôlé par les attaquants et téléchargent des charges supplémentaires.
Gestion de l’infrastructure de logiciels malveillants par contrat intelligent
SlowMist indique que l'attaquant utilise un contrat intelligent Ethereum comme dépôt décentralisé de configuration de commande et de contrôle. Cela leur permet de modifier l'adresse du serveur gérant le logiciel malveillant sans avoir à publier une nouvelle version du logiciel malveillant.
Les logiciels malveillants récupèrent et exécutent du JavaScript malveillant. Ce contrat était précédemment lié à SleepyDuck et EtherDuck, des activités malveillantes qui ciblaient les développeurs via des extensions malveillantes sur le marché Open VSX.
Les chercheurs ont découvert un vol de portefeuilles et un accès persistant
Les chercheurs de Socket et de SafeDep ont indépendamment découvert que ces logiciels malveillants visent à voler les fichiers de portefeuille Swarm et à installer des outils d'accès à distance persistants. La publication malveillante pourrait exposer les identifiants et les clés privées du portefeuille, tout en laissant une porte dérobée permanente sur les systèmes affectés.
Les résultats de l'étude indiquent que l'objectif est de vider les jetons xDAI et xBZZ, les fonds du chequebook et les actifs mis en garantie associés aux nœuds Swarm.
Nettoyer la version et remplacer la clé du portefeuille
Dans son avertissement de sécurité sur Ethereum, SlowMist invite les utilisateurs concernés à supprimer immédiatement le paquet contaminé et à revenir à bee-js 13.2.0. Pour les utilisateurs de Swarm Desktop v0.56.2, il est recommandé d'utiliser la version non affectée v0.56.3.
Selon l'avis de sécurité GitHub GHSA-hh7j-5m3j-23pf, tout système ayant installé le paquet contaminé doit être considéré comme « complètement compromis ». Ethereum Swarm a également averti les utilisateurs sur Discord de verrouiller leurs systèmes et de remplacer les versions de bureau affectées.
Les utilisateurs affectés sont invités à supprimer le backdoor et à remplacer complètement leurs clés de portefeuille. Mettre à jour le logiciel seul ne protège pas les actifs associés aux clés compromises, ni ne supprime les mécanismes persistants installés sur l'appareil.
Lisez également : Les identités numériques Ethereum au Bhoutan permettent de vérifier des certificats sans les enregistrer sur la chaîne · Ondo introduit plus de 100 titres américains sur Ethereum : accès 24/7 et prix sur chaîne
Cet article a été généré avec l'aide de l'intelligence artificielle et vérifié par l'équipe d'édition.