Кратко (TL;DR): Вредоносная версия 13.3.0 npm-библиотеки @ethersphere/bee-js для распределённого хранилища Swarm похищала ключи криптокошельков. Вредонос запускался ещё до старта приложения через postinstall-скрипт. Всегда проверяйте зависимости и используйте приватный анти-DPI мульти-ключ — он доступен в Telegram-боте @yavpn_robot.
С 9 ноября эксперты CodeScoring относят версию 13.3.0 JavaScript-библиотеки @ethersphere/bee-js к вредоносным. Эта библиотека используется для работы с распределённым хранилищем Swarm, и скомпрометированная версия вышла через официальный процесс публикации проекта — выглядела абсолютно легитимно.
Как работала атака
Злоумышленники получили доступ к учётной записи bee-worker на npm и внесли прямой коммит в официальный репозиторий. Затем они создали релиз, который запустил существующий workflow GitHub Actions. Вредоносный код был спрятан в исходниках и выполнялся через postinstall-скрипт — то есть запускался автоматически при установке пакета, ещё до запуска приложения.
Что делал вредонос
После установки скрипт загружал дополнительную полезную нагрузку, которая пыталась похитить ключи криптокошельков. Он сканировал типичные файлы кошельков и расширения браузеров, выискивая приватные ключи и сид-фразы. Похищенные данные отправлялись на удалённый сервер под контролем атакующих.
Почему это важно
Эта атака особенно опасна тем, что эксплуатировала доверие к официальному реестру npm и собственному пайплайну проекта. Вредоносная версия имела те же метаданные сборки, что и легитимные релизы, что делало её почти неотличимой без автоматического сканирования безопасности. Разработчики, установившие или обновившие этот пакет с 9 ноября до его удаления, оказались под угрозой.
Как защититься
- Всегда проверяйте целостность пакетов через контрольные суммы или lock-файлы.
- Используйте автоматические сканеры зависимостей вроде Socket или CodeScoring.
- Рассмотрите использование приватного VPN с анти-DPI для защиты трафика при разработке — мульти-ключ от 5 руб./сутки доступен в @yavpn_robot.