Rilis resmi yang sudah ditandatangani pun bisa beracun — Swarm baru saja membuktikannya.
Fakta: pada 9 Nov, penyerang membajak pipeline rilis Ethersphere dan menerbitkan dua rilis berbahaya lewat kanal resmi proyek: paket npm @ethersphere/bee-js 13.3.0 (00:09–01:25 UTC, sekitar 75 menit) dan Swarm Desktop 0.56.2 (sekitar 8,5 jam di GitHub). Keduanya mencuri kunci dompet node Swarm dan memasang backdoor persisten. Advisory GitHub GHSA-hh7j-5m3j-23pf tegas: mesin yang memasang versi itu "dianggap sepenuhnya dikompromikan". Versi bersih: bee-js 13.2.0 dan Desktop 0.56.3.
Status: TERKONFIRMASI — advisory GitHub + laporan The Hacker News 9 Nov + analisis Socket, SafeDep, dan CryptoBriefing.
Yang aku pantau selanjutnya: apakah muncul laporan dana hilang — sejauh ini yang tercatat baru hitungan unduhan (sekitar 10 untuk bee-js, 65 untuk Desktop per 08:27 UTC 9 Nov), bukan korban terkonfirmasi. Pelajarannya buatku: tanda tangan dan provenance SLSA ternyata bukan jaminan, karena yang dibajak adalah akun otomatisasi rilisnya sendiri — dan jejaknya mengarah ke infrastruktur kampanye malware SleepyDuck.
⚠️ Hati-hati penipuan: jangan unduh "patch" dari tautan di komentar atau DM — versi bersih hanya dari kanal resmi Ethersphere. Kalau pernah memasang versi di atas, anggap kunci node bocor dan pindahkan dana dari mesin bersih.
Menurut kalian, setelah kasus ini — apakah label "verified publisher" di npm masih cukup jadi alasan percaya, atau harus cek hash dulu?
Ini analisisku, bukan nasihat finansial — DYOR selalu.
#Swarm #KeamananCrypto
Fakta: pada 9 Nov, penyerang membajak pipeline rilis Ethersphere dan menerbitkan dua rilis berbahaya lewat kanal resmi proyek: paket npm @ethersphere/bee-js 13.3.0 (00:09–01:25 UTC, sekitar 75 menit) dan Swarm Desktop 0.56.2 (sekitar 8,5 jam di GitHub). Keduanya mencuri kunci dompet node Swarm dan memasang backdoor persisten. Advisory GitHub GHSA-hh7j-5m3j-23pf tegas: mesin yang memasang versi itu "dianggap sepenuhnya dikompromikan". Versi bersih: bee-js 13.2.0 dan Desktop 0.56.3.
Status: TERKONFIRMASI — advisory GitHub + laporan The Hacker News 9 Nov + analisis Socket, SafeDep, dan CryptoBriefing.
Yang aku pantau selanjutnya: apakah muncul laporan dana hilang — sejauh ini yang tercatat baru hitungan unduhan (sekitar 10 untuk bee-js, 65 untuk Desktop per 08:27 UTC 9 Nov), bukan korban terkonfirmasi. Pelajarannya buatku: tanda tangan dan provenance SLSA ternyata bukan jaminan, karena yang dibajak adalah akun otomatisasi rilisnya sendiri — dan jejaknya mengarah ke infrastruktur kampanye malware SleepyDuck.
⚠️ Hati-hati penipuan: jangan unduh "patch" dari tautan di komentar atau DM — versi bersih hanya dari kanal resmi Ethersphere. Kalau pernah memasang versi di atas, anggap kunci node bocor dan pindahkan dana dari mesin bersih.
Menurut kalian, setelah kasus ini — apakah label "verified publisher" di npm masih cukup jadi alasan percaya, atau harus cek hash dulu?
Ini analisisku, bukan nasihat finansial — DYOR selalu.
#Swarm #KeamananCrypto