Swarm供应链攻击：恶意npm包与桌面端更新威胁节点钱包
TREE NEWS 报道， 去中心化存储项目Swarm的开发团队Ethersphere遭遇供应链攻击。11月9日，攻击者向npm发布了恶意版本的bee-js库（13.3.0），并通过自动更新推送了被植入木马的Swarm Desktop 0.56.2。恶意代码会读取Bee节点的配置文件及加密钱包密钥库，并将其回传给攻击者。由于配置文件中以明文保存了密钥库密码，节点钱包可能因此完全暴露。此外，恶意代码还会在设备上植入远程控制后门。目前npm已下架该版本，Ethersphere也已撤下相关桌面端版本，暂无确认的资金损失。
攻击手法剖析
此次攻击利用了软件供应链中的信任关系。通过篡改官方bee-js包和桌面端自动更新机制，攻击者触达了那些认为自己运行着合法软件的用户。bee-js是用于与Bee节点交互的JavaScript客户端，而Swarm Desktop则为运行节点提供了便捷界面。恶意版本上线不到一天，但可能已被自动更新的节点运营者下载。
这一事件凸显了一个日益增长的趋势：攻击者瞄准开发和分发层，而非区块链本身。智能合约或许经过审计，但用户依赖的交互工具往往缺乏同等 scrutiny。配置文件中明文存储密钥库密码是尤其危险的设计选择，它使简单的文件读取演变为完整的钱包泄露。
行业影响
供应链攻击在加密领域愈发频繁。近几个月，多个项目通过受污染的依赖、恶意浏览器扩展和虚假应用更新面临类似威胁。对节点运营者而言，该事件强调了严格更新政策、签名验证以及将钱包密钥与节点基础设施隔离的必要性。
- 更新前验证：节点运营者应在应用更新前手动验证包签名和校验和。
- 密钥与节点分离：避免明文存储密钥库密码；使用硬件钱包或安全隔离区保护节点资金。
- 监控依赖项：开发团队应实施软件物料清单（SBOM）和自动化依赖扫描。
- 事件响应：Ethersphere迅速移除了恶意版本，但下载过的用户应假设已遭入侵并轮换密钥。
前瞻
随着去中心化存储和基础设施项目成熟，安全性必须超越共识机制，延伸至整个软件生命周期。Swarm事件为加密行业敲响警钟：采用DevSecOps实践，用户应将节点软件视为关键基础设施。尽管尚未确认损失，但攻击表明最薄弱的环节往往是更新通道。项目应考虑实施签名发布、可复现构建以及自动更新的强制多因素验证。监管机构和审计方也可能将软件供应链安全纳入更广泛的加密合规审查。目前，Swarm节点运营者应立即检查系统是否受损，并将资金转移至安全钱包。
