ethersphere

O commit do bee-js 13.3.0 da Ethersphere adicionou um postinstall que solicita um script remoto e o executa dinamicamente; no mesmo dia, um commit do Swarm Desktop 0.56.2 também adicionou execução remota de código.

A OX Security relatou o caso como uma invasão da cadeia de suprimentos e afirmou que o código malicioso poderia acessar dados de carteiras locais. Ter instalado o pacote não significa que a carga maliciosa tenha sido executada; o impacto depende de ele ter sido executado e do ambiente. Desenvolvedores podem verificar os arquivos de lock e as explicações dos mantenedores sobre as correções.

O que você considera mais importante: fixar dependências ou proteger as credenciais de publicação?

Fontes: [commit oficial do bee-js](https://github.com/ethersphere/bee-js/commit/de2f74e784b2eafa0d66fbb6d88b42ea11ee34cf)｜[commit oficial do Swarm Desktop](https://github.com/ethersphere/swarm-desktop/commit/2de727046706062d38edfbbf8340f32d1eb2bdfb)｜[análise da OX Security](https://www.ox.security/blog/ethersphere-hijacked-with-crypto-stealing-malware-via-github-npm/)
Divulgação: este artigo pode ser elegível para receber recompensas do programa Write to Earn da Binance Square; a elegibilidade e as recompensas estão sujeitas às regras da plataforma e aos resultados efetivos. Não é aconselhamento de investimento.
#Ethersphere #Segurança