Incluso un lanzamiento oficial firmado puede ser tóxico: Swarm acaba de demostrarlo.
Hechos: el 9 de nov., un atacante secuestró el canal de lanzamiento de Ethersphere y publicó dos versiones maliciosas a través de los canales oficiales del proyecto: el paquete npm @ethersphere/bee-js 13.3.0 (00:09–01:25 UTC, unos 75 minutos) y Swarm Desktop 0.56.2 (unas 8,5 horas en GitHub). Ambos robaban las claves de las carteras de los nodos de Swarm e instalaban una puerta trasera persistente. El aviso de GitHub GHSA-hh7j-5m3j-23pf es tajante: se considera que los equipos que instalaron esas versiones «están totalmente comprometidos». Versiones limpias: bee-js 13.2.0 y Desktop 0.56.3.
Estado: CONFIRMADO — aviso de GitHub + informe de The Hacker News del 9 de nov. + análisis de Socket, SafeDep y CryptoBriefing.
Lo que vigilaré ahora: si aparecen informes de fondos desaparecidos; hasta ahora, lo único registrado son las cifras de descargas (unas 10 de bee-js y 65 de Desktop hasta las 08:27 UTC del 9 de nov.), no víctimas confirmadas. La lección que saco: las firmas y la procedencia SLSA no son una garantía, porque lo que se secuestró fue la propia cuenta de automatización de lanzamientos, y los indicios apuntan a la infraestructura de la campaña de malware SleepyDuck.
⚠️ Cuidado con las estafas: no descarguen «parches» desde enlaces en comentarios o mensajes directos; las versiones limpias solo están disponibles en los canales oficiales de Ethersphere. Si instalaron alguna de las versiones mencionadas, den por comprometidas las claves de los nodos y transfieran los fondos desde un equipo limpio.
¿Qué opinan después de este caso? ¿La etiqueta «verified publisher» en npm sigue siendo motivo suficiente para confiar, o habría que comprobar primero el hash?
Este es mi análisis, no un consejo financiero: hagan siempre su propia investigación (DYOR).
#Swarm #SeguridadCripto
Hechos: el 9 de nov., un atacante secuestró el canal de lanzamiento de Ethersphere y publicó dos versiones maliciosas a través de los canales oficiales del proyecto: el paquete npm @ethersphere/bee-js 13.3.0 (00:09–01:25 UTC, unos 75 minutos) y Swarm Desktop 0.56.2 (unas 8,5 horas en GitHub). Ambos robaban las claves de las carteras de los nodos de Swarm e instalaban una puerta trasera persistente. El aviso de GitHub GHSA-hh7j-5m3j-23pf es tajante: se considera que los equipos que instalaron esas versiones «están totalmente comprometidos». Versiones limpias: bee-js 13.2.0 y Desktop 0.56.3.
Estado: CONFIRMADO — aviso de GitHub + informe de The Hacker News del 9 de nov. + análisis de Socket, SafeDep y CryptoBriefing.
Lo que vigilaré ahora: si aparecen informes de fondos desaparecidos; hasta ahora, lo único registrado son las cifras de descargas (unas 10 de bee-js y 65 de Desktop hasta las 08:27 UTC del 9 de nov.), no víctimas confirmadas. La lección que saco: las firmas y la procedencia SLSA no son una garantía, porque lo que se secuestró fue la propia cuenta de automatización de lanzamientos, y los indicios apuntan a la infraestructura de la campaña de malware SleepyDuck.
⚠️ Cuidado con las estafas: no descarguen «parches» desde enlaces en comentarios o mensajes directos; las versiones limpias solo están disponibles en los canales oficiales de Ethersphere. Si instalaron alguna de las versiones mencionadas, den por comprometidas las claves de los nodos y transfieran los fondos desde un equipo limpio.
¿Qué opinan después de este caso? ¿La etiqueta «verified publisher» en npm sigue siendo motivo suficiente para confiar, o habría que comprobar primero el hash?
Este es mi análisis, no un consejo financiero: hagan siempre su propia investigación (DYOR).
#Swarm #SeguridadCripto