Entenda o alerta de segurança da Ethereum: um ataque de cadeia de suprimentos da blockchain que afetou a carteira Swarm e o papel do malware de contrato inteligente.
Canais oficiais de lançamento de software introduziram malware que rouba carteiras no ecossistema Swarm, levando a SlowMist a emitir um alerta de segurança grave para Ethereum em 10 de novembro de 2026. Este ataque à cadeia de suprimentos afetou o pacote bee-js da Ethersphere e o aplicativo Swarm Desktop; os usuários foram incentivados a remover os softwares afetados, instalar versões limpas e substituir as chaves das carteiras expostas.
Pontos principais
- As versões contaminadas são bee-js 13.3.0 e Swarm Desktop 0.56.2.
- Um contrato inteligente da Ethereum ajudou o atacante a gerenciar a infraestrutura de malware.
- As medidas de limpeza incluem não apenas atualizações de software, mas também a remoção de portas traseiras e a troca de chaves de carteira.
Alerta de segurança da Ethereum originado de versão lançada comprometida
O processo de lançamento automático da Ethersphere foi comprometido em 9 de novembro de 2026, distribuindo software malicioso por canais oficiais. Os produtos afetados pertencem ao Swarm, uma rede descentralizada de armazenamento dentro do ecossistema Ethereum.
O pacote npm malicioso @ethersphere/bee-js 13.3.0 apareceu por volta das 00:09 UTC, seguido pelo Swarm Desktop 0.56.2 por volta das 00:36 UTC, com um intervalo de aproximadamente 27 minutos.
A SlowMist afirmou que o atacante invadiu a conta do GitHub e abusou do fluxo de lançamento legítimo. O fluxo de lançamento foi comprometido, envolvendo o robô bee-worker ou credenciais de integração contínua roubadas.
Os pacotes comprometidos contêm um hook postinstall: esses scripts são executados automaticamente durante a instalação, sem necessidade de clique adicional do usuário. Os scripts relacionados se conectam a servidores controlados pelos atacantes e baixam cargas adicionais.
Gerenciamento de infraestrutura de malware por contratos inteligentes
A SlowMist afirmou que o atacante utilizou um contrato inteligente da Ethereum como repositório descentralizado de configuração de comando e controle. Isso permite que eles alterem os endereços dos servidores que gerenciam o malware sem precisar publicar uma nova versão do malware.
Malware retrieves and executes malicious JavaScript. This contract was previously associated with SleepyDuck and EtherDuck, malicious activities that targeted developers through malicious extensions on the Open VSX marketplace.
Pesquisadores descobriram roubo de carteiras e acesso persistente
Pesquisadores do Socket e do SafeDep descobriram independentemente que esses malwares têm como objetivo roubar arquivos de carteira Swarm e instalar ferramentas de acesso remoto persistentes. A publicação maliciosa pode expor credenciais e chaves privadas da carteira, além de deixar uma porta dos fundos permanente nos sistemas afetados.
Os resultados da pesquisa indicam que o objetivo é esvaziar os tokens xDAI e xBZZ, os fundos do chequebook e os ativos stakeados associados aos nós do Swarm.
Limpe a versão e troque a chave da carteira
Em seu aviso de segurança sobre Ethereum, a SlowMist orienta os usuários afetados a remover imediatamente os pacotes contaminados e retornar para o bee-js 13.2.0. Para usuários que executam o Swarm Desktop v0.56.2, recomenda-se usar a versão não afetada v0.56.3.
De acordo com o aviso de segurança do GitHub GHSA-hh7j-5m3j-23pf, qualquer sistema que tenha instalado o pacote contaminado deve ser considerado “totalmente comprometido”. O Ethereum Swarm também alertou os usuários, por meio do Discord, para bloquear os sistemas e substituir as versões desktop afetadas.
Usuários afetados são aconselhados a remover a porta dos fundos e substituir completamente as chaves da carteira. Atualizar apenas o software não protege os ativos associados às chaves comprometidas pelos atacantes, nem remove os mecanismos de persistência implantados no dispositivo.
Leia também: A identidade digital Ethereum do Butão pode verificar credenciais sem colocar dados na cadeia · Ondo traz mais de 100 títulos americanos para a Ethereum: acesso 24/7 e precificação em cadeia
Este artigo foi gerado com a ajuda de inteligência artificial e revisado pela equipe de edição.