اختراق حزمتي Swarm يعرّض مفتاح العقدة للخطر ويطال 65 تنزيلًا
الحقائق الرئيسية
نُشرت في 9 نوفمبر 2026 نسختان خبيثتان من برمجيات Ethersphere المرتبطة بشبكة التخزين اللامركزية Swarm: bee-js 13.3.0 وSwarm Desktop 0.56.2، بحسب The Hacker News. حمّلت النسختان شيفرة تهدف إلى سرقة مفتاح محفظة العقدة الذي يحتفظ به Swarm Desktop، إلى جانب كلمة المرور المخزنة لفتح المفتاح. كما تضمنت الشيفرة تثبيت باب خلفي على أنظمة Windows وmacOS وLinux، ما يوسع الخطر من بيانات المحفظة إلى الجهاز نفسه. ويمثل ذلك اختراقًا لسير إصدار البرمجيات، إذ وصلت الشيفرة الخبيثة إلى قنوات نشر يعتمد عليها المستخدمون للحصول على تحديثات موثوقة. ولم تكن هناك تقارير عن سرقة أموال وقت نشر التغطية.
كانت bee-js 13.3.0 أحدث نسخة على منصة npm لنحو 75 دقيقة، بين 00:09 و01:25 بالتوقيت العالمي يوم 9 نوفمبر، وفقًا للتغطية. ونُفذت الشيفرة عند تثبيت الحزمة عبر برنامج postinstall، ما لم تكن نصوص التثبيت معطلة. وقال تحليل Socket إن أي مشروع ثبّت الحزمة أو أعاد حل تبعية بنطاق يقبل الإصدارات 13 خلال تلك النافذة، مع تفعيل نصوص التثبيت، شغّل المُحمّل الخبيث. وكان الإصدار النظيف السابق هو bee-js 13.2.0، المنشور في 15 أكتوبر، وتضمنت ملاحظاته ميزات وإصلاحات مرتبطة بالتخزين والطوابع البريدية. وبذلك دخلت النسخة الخبيثة بعد إصدار سابق نظيف بنحو أسابيع، عبر تحديث ظهر للمستخدمين كإصدار اعتيادي.
أما Swarm Desktop 0.56.2 فظهر على GitHub قرابة 00:36 بالتوقيت العالمي، وسُحب بعد نحو 8.5 ساعة، بحسب The Hacker News. وكان التحديث التلقائي قادرًا على عرضه لأجهزة Windows x64 وأجهزة Mac المزودة بمعالجات Apple Silicon. ووصل عداد تنزيل الإصدار إلى 65 بحلول 08:27 بالتوقيت العالمي، وهو رقم شمل باحثين، بحسب التغطية. وقدّر تحليل Socket تنزيل bee-js 13.3.0 بنحو 10 مرات، بما في ذلك التنزيلات التي نفذتها ماسحات أمنية ومرايا. وتختلف هذه الأرقام في طريقة احتسابها، لكنها ترصد وصول الإصدارين إلى مستخدمين وأنظمة خارج نطاق نشرهما الأول.
قال تحليل Socket إن حسابي GitHub تعرضا للاختراق، أحدهما لمشرف والآخر هو حساب أتمتة الإصدار bee-worker. وذكر سجل التغيير الذي أشار إليه التقرير أن إصدار Swarm Desktop 0.56.2 نشره مهاجم باستخدام بيانات اعتماد CI مسروقة. وفي ما يخص bee-js، نُشرت الحزمة عبر سير النشر الموثوق للمشروع خلال 73 ثانية، بحسب Socket، وحملت إثبات منشأ صالحًا يربطها بالمستودع وسير العمل الرسميين. لكن تحليل StepSecurity قال إن الشيفرة الخبيثة كانت موجودة بالفعل في المصدر الذي بناه سير العمل. ويثبت إثبات المنشأ مسار البناء، بينما لا يثبت أن الشيفرة خضعت للمراجعة؛ وهكذا استُخدمت آلية الإصدار الرسمية لنشر نسخة ضارة.
وتقف مكتبة bee-js وراء Swarm Desktop وأداة swarm-cli، فيما يشغّل التطبيق عقدة Swarm على جهاز المستخدم ويحفظ مفاتيحها الخاصة هناك، بحسب The Hacker News. لذلك تركز الحمولة على مفتاح محفظة العقدة في Swarm Desktop وكلمة المرور المخزنة لفتحه، ولا يثبت ذلك استهداف كل محافظ Bee node. ويشير تثبيت الباب الخلفي إلى أن نطاق الاستجابة يتجاوز تغيير بيانات المحفظة، إذ قد تظل برمجيات خبيثة على النظام بعد إزالة الحزمة. وصنّف تنبيه GitHub الأمني bee-js 13.3.0 إصدارًا متأثرًا، واعتبر أي جهاز ثُبّتت عليه الحزمة أو شُغّلت عليه مخترقًا بالكامل. وأوصى التنبيه بتدوير الأسرار والمفاتيح من جهاز آخر.
سحب المشرفون Swarm Desktop 0.56.2 واستبدلوه بالإصدار النظيف 0.56.3 في 9 نوفمبر، وفقًا للتغطية؛ ويحتاج مستخدمو Linux إلى استبدال الحزمة يدويًا. لكن تنبيه GitHub حذر من أن إزالة الحزمة وحدها لا تضمن إزالة كل البرمجيات الخبيثة الناتجة عن تثبيتها. ولذلك أوصى باعتبار الجهاز الذي ثبّت الحزمة أو شغّلها مخترقًا بالكامل، وتدوير الأسرار والمفاتيح باستخدام جهاز آخر. ويحدد التنبيه bee-js 13.3.0 بوصفه الإصدار المتأثر، فيما يوضح تحليل Socket أن المشروعات التي حلت تبعياتها خلال نافذة النشر مع تفعيل نصوص التثبيت قد تكون شغّلت المُحمّل. ولم تكن هناك تقارير عن أموال مسروقة وقت نشر التغطية.