Ethersphere官方发布遭入侵：升级软件为何仍不足以保护钱包-币圈通

解析Ethersphere两款官方发布版本遭植入窃密程序，钱包文件与后门风险并存，受影响用户仅升级软件不足以恢复安全。

Ethersphere的自动化发布流程于2026年11月9日遭入侵，导致官方渠道分发的@ethersphere/bee-js npm包13.3.0版及Swarm Desktop 0.56.2版夹带窃取钱包密钥的恶意软件。此次事件的处置重点不仅是替换软件，还包括清除持久化后门和更换受影响的钱包密钥。

官方发布渠道成为恶意代码入口

受污染的bee-js包约于11月9日00:09 UTC发布，Swarm Desktop恶意版本约于00:36 UTC发布，两者相隔约27分钟。攻击通过合法发布流程完成，可能涉及bee-worker机器人或被盗的持续集成（CI）凭证，具体入口尚未确定。

被篡改的软件包包含安装后自动执行的脚本，即postinstall钩子。这些脚本会连接攻击者控制的服务器，下载额外载荷，无需用户再点击确认。由此看，此次供应链攻击突破的是发布环节的信任：即便从官方渠道获取指定版本，安装动作本身仍可能触发恶意代码。

恶意载荷搜寻Swarm节点的钱包相关文件，包括config.yaml和data-dir/keys/swarm.key，并将窃取的文件传给攻击者。后者包含加密的以太坊密钥库，但解锁所需密码以明文形式保存在附近，因此文件加密本身未能阻止攻击者获取钱包访问能力。

研究发现，攻击目标包括xDAI、xBZZ代币，以及Swarm节点关联的支票簿资金和质押资金。这意味着攻击意图同时覆盖可用余额与节点运营投入，但这些目标范围并不等于已经确认的实际损失。

恶意软件还在多个平台的受感染系统中植入持久化后门。攻击所用基础设施与此前名为SleepyDuck的恶意软件行动存在关联；这一关联本身不足以确认幕后攻击者身份。

GitHub安全公告GHSA-hh7j-5m3j-23pf要求，将安装过受污染软件包的机器视为“完全失陷”。Ethereum Swarm也通过Discord敦促用户保护系统、替换受影响的桌面版本，并要求受影响用户清除后门、更换钱包密钥。

这些措施分别对应两类持续风险：后门让攻击者可能继续访问系统，已外泄的密钥则可能在软件修复后仍可用于访问钱包。因此，仅升级到干净版本无法同时解决两者；系统清理与钱包密钥更换需要一并完成。

对在项目中使用bee-js的开发者，排查范围还应覆盖实际安装过受影响版本的构建服务器和开发设备。依赖审计与锁文件检查有助于定位版本暴露，但不能代替对已执行恶意脚本设备的清理。此次事件值得注意的边界是：依赖版本是否受污染，与机器及钱包权限是否已恢复安全，是不同层面的判断。