TREE NEWS 消息， 去中心化存储项目 Swarm 的开发团队 Ethersphere 遭遇供应链攻击。攻击者于 11 月 9 日向 npm 发布恶意版本 bee-js 13.3.0，并通过自动更新推送植入木马的 Swarm Desktop 0.56.2。恶意代码会读取 Bee 节点配置文件及加密钱包密钥库并回传给攻击者；由于配置文件以明文保存密钥库密码，节点钱包可能因此暴露，代码还会植入远程控制后门。目前 npm 已下架该版本，Ethersphere 已撤下相关桌面端版本，暂无已确认的资金损失。
Swarm 开发包 bee-js 及桌面端遭供应链投毒，节点钱包密钥或泄露
AI 解读
这次事件的要害不在资金损失，而在开发工具链本身成了攻击面：bee-js 是面向开发者的依赖包，桌面端又通过自动更新分发，受影响的往往是运行 Bee 节点、本地保存密钥库的用户，风险从代码层直接传导到私钥层。明文保存密钥库密码这一设计缺陷，放大了单次投毒的实际杀伤力。值得观察的是 Ethersphere 后续如何处置自动更新与密钥存储机制，以及是否出现延迟披露的受损案例。
由 AI 生成，仅供参考。