Ethersphere 旗下 Swarm 遭遇复杂供应链攻击
TREE NEWS 报道， 去中心化存储项目 Ethersphere（Swarm）遭遇软件供应链攻击。黑客通过入侵 GitHub 账户并劫持官方发布流程，向 npm 软件包 @ethersphere 中注入恶意代码。据安全机构慢雾和 Socket 披露，攻击者利用以太坊智能合约控制后门，可能导致用户私钥泄露。
攻击过程剖析
此次攻击始于 Swarm 项目相关的 GitHub 账户被攻破，攻击者借此操纵了发布流程，将恶意代码发布到 npm 仓库——JavaScript 库的常用分发渠道。一旦安装，后门便可窃取运行 Swarm 节点的开发者和用户的敏感数据，包括私钥。
尤为值得注意的是，攻击者利用以太坊智能合约作为命令与控制（C2）机制。通过去中心化且不可篡改的合约，攻击者使安全团队难以关停后门基础设施。这种将区块链用作弹性 C2 通道的技术，正成为高级威胁行为者的新趋势。
行业影响
供应链攻击是加密生态中日益严重的威胁，因为开源协作和包管理器是开发过程中不可或缺的部分。Swarm 事件凸显了几个关键问题：
- 依赖风险： 开发者常依赖第三方包而未严格验证，造成广泛的攻击面。
- 发布流程安全： 项目必须通过多因素认证和代码签名来保护 CI/CD 管道和 GitHub 账户。
- 去中心化 C2： 利用智能合约进行恶意目的，凸显了区块链技术的双用途性质。
Swarm 的原生代币（BZZ）可能因社区评估损失而面临短期波动。然而，项目的去中心化存储使命依然完整，迅速补救可减轻长期声誉损害。
前瞻视角
此次攻击为整个 Web3 行业敲响了警钟。随着去中心化基础设施项目成熟，其安全实践必须跟上步伐。预计软件供应链将受到更严格审查，Sigstore 等包签名工具的采用将增加，并推动发布流程安全审计的标准化。对用户而言，该事件强调了硬件钱包和警惕密钥管理的重要性——即使与看似信誉良好的项目交互时也是如此。加密社区必须将供应链安全视为集体责任，否则可能侵蚀对去中心化技术根基的信任。
