9 ноября злоумышленник провёл вредоносный код через официальную цепочку выпуска Ethersphere — разработчика децентрализованного хранилища Swarm. Заражёнными оказались библиотека @ethersphere/bee-js 13.3.0 в npm и приложение Swarm Desktop 0.56.2. При установке они загружали внешний код, который пытался отправить конфигурацию узла и его зашифрованный ключ, а затем закрепиться в Windows, macOS или Linux.

Ключ хранится в формате Ethereum V3: сам по себе он зашифрован, но рядом могла находиться конфигурация с паролем. Поэтому похищение обоих файлов позволяло получить контроль над кошельком Swarm-узла. Вредоносный сценарий bee-js запускался после установки автоматически, если в npm не были отключены install-скрипты; импортировать библиотеку в код для этого не требовалось. Разбор StepSecurity указывает, что версия 13.3.0 оставалась актуальной в npm около 75 минут.

Swarm Desktop 0.56.2 распространялся дольше — примерно восемь с половиной часов. Встроенное обновление могло предложить его пользователям Windows x64 и Mac на Apple Silicon; Intel Mac не получали эту версию автоматически, а Linux-установки требуют ручного обновления. Ethersphere отозвала заражённый выпуск и заменила его чистой версией 0.56.3, а bee-js вернула на 13.2.0.

Удалить пакет недостаточно: GitHub рекомендует считать компьютер полностью скомпрометированным и менять доступные ему ключи и секреты с другого устройства. При этом подтверждённых краж средств и точного числа заражённых машин на срез 10 ноября нет. Оценки примерно в десять загрузок bee-js 13.3.0 и 65 загрузок Swarm Desktop 0.56.2 включают исследователей и автоматические сканеры, поэтому не равны числу пострадавших.