了解以太坊安全警报：一次影响 Swarm 钱包的区块链供应链黑客攻击，以及智能合约恶意软件所扮演的角色。
官方软件发布渠道将窃取钱包的恶意软件带入了 Swarm 生态系统，促使 SlowMist 于 2026 年 11 月 10 日发出一则严重的以太坊安全警报。此次供应链攻击波及 Ethersphere 的 bee-js 软件包和 Swarm Desktop 应用，用户被敦促删除受影响软件、安装干净版本，并更换已暴露的钱包密钥。
要点
- 被污染的版本分别是 bee-js 13.3.0 和 Swarm Desktop 0.56.2。
- 一个以太坊智能合约帮助攻击者管理恶意软件基础设施。
- 清理措施不仅包括软件更新，还包括移除后门和更换钱包密钥。
以太坊安全警报源于被入侵的发布版本
Ethersphere 的自动化发布流程在 2026 年 11 月 9 日遭到入侵，并通过官方渠道分发恶意软件。受影响的产品属于 Swarm，这是以太坊生态中的一个去中心化存储网络。
恶意的 @ethersphere/bee-js 13.3.0 npm 软件包大约在 UTC 时间 00:09 出现，随后 Swarm Desktop 0.56.2 又在大约 UTC 时间 00:36 出现，间隔约 27 分钟。
SlowMist 表示，攻击者闯入了 GitHub 账户，并滥用了合法的发布流程。此次发布工作流被突破，涉及 bee-worker 机器人或被盗的持续集成凭证。
被篡改的软件包包含 postinstall 钩子：这类脚本会在安装过程中自动执行，无需用户再次点击。相关脚本会联系攻击者控制的服务器并下载额外载荷。
智能合约管理恶意软件基础设施
SlowMist 表示，攻击者使用一个以太坊智能合约作为去中心化的指挥与控制配置仓库。这样一来，他们就能更改管理恶意软件的服务器地址，而无需再次发布恶意软件版本。
恶意软件会检索并执行恶意 JavaScript。该合约此前还与 SleepyDuck 和 EtherDuck 有关，这些恶意活动曾通过 Open VSX 市场上的恶意扩展针对开发者。
研究人员发现钱包窃取与持久化访问
Socket 和 SafeDep 的研究人员独立发现，这些恶意软件旨在窃取 Swarm 钱包文件，并安装持久化的远程访问工具。恶意发布可能会暴露钱包凭证和私钥，同时在受影响系统上留下永久后门。
研究结果显示，其目标是清空与 Swarm 节点相关的 xDAI 和 xBZZ 代币、chequebook 资金以及质押资产。
清理干净版本并更换钱包密钥
在其以太坊安全警告中，SlowMist 敦促受影响用户立即删除被污染的软件包，并回退到 bee-js 13.2.0。对于运行 Swarm Desktop v0.56.2 的用户，建议改用未受影响的 v0.56.3 版本。
根据 GitHub 安全公告 GHSA-hh7j-5m3j-23pf，任何安装过被污染软件包的系统都应被视为“完全受损”。Ethereum Swarm 还通过 Discord 提醒用户锁定系统，并更换受影响的桌面版本。
受影响用户被建议清除后门，并彻底更换钱包密钥。仅仅更新软件并不能保护已经被攻击者获取密钥所关联的资产，也无法清除设备上植入的持久化机制。
另请阅读：不丹的以太坊数字身份可在不将数据上链的情况下验证凭证 · Ondo 将 100 多种美国证券引入以太坊：全天候访问与链上定价
本文由人工智能协助生成，并经编辑团队审核。
