SwarmのEthersphere、ノードウォレットの鍵を狙うnpmサプライチェーン攻撃を受ける

TREE NEWS 情報： 分散型ストレージプロジェクトSwarmを手がける開発チームEthersphereは、サプライチェーン攻撃を受けた。11月9日に悪意あるバージョンのbee-js 13.3.0がnpmに公開され、トロイの木馬化されたSwarm Desktop 0.56.2が自動アップデート経由で配布された。このコードはBeeノードの設定ファイルと暗号化されたウォレットのキーストアを読み取り、攻撃者に送信する。設定ファイルにはキーストアのパスワードが平文で保存されているため、ノードウォレットが露出する可能性がある。さらにリモートコントロール用のバックドアもインストールされる。npmは該当バージョンを削除し、Ethersphereはデスクトップ版のリリースを取り下げた。現時点で資金の損失は確認されていない。