供应链投毒这事，最怕的不是代码被改，是密码就明文躺在配置文件里。

据PANews 11月10日报道，安全机构Socket分析显示，攻击者11月9日向npm发布恶意版本bee-js 13.3.0，并通过自动更新推送被植入木马的Swarm Desktop 0.56.2。恶意代码会读取Bee节点配置文件及加密钱包密钥库并回传攻击者，而配置文件中以明文保存了密钥库密码，节点钱包可能因此暴露，设备还会被植入远程控制后门。

目前npm已下架该版本，Ethersphere也已撤下相关桌面端版本，暂无确认的资金损失。Socket建议受影响用户卸载相关版本，并在干净设备上生成新密钥，转移钱包资金及质押。

两个观察情景：一是若你本机跑过Bee节点或装过Swarm Desktop，密钥库密码明文这一环意味着私钥应按已泄露处理；二是若你只在交易所持有BZZ、未运行节点，本次暴露面与自托管节点钱包并不相同。

你更倾向先卸载相关版本，还是先在干净设备上生成新密钥？

配图1：Swarm 开发包 bee-js 遭投毒，节点钱包私钥或已外泄 · 来源页面截图
图片来源：https://www.panewslab.com/zh/articles/01a1c1ab-16fb-7223-9bfe-d8ea29251353