ethersphere

Ethersphere 的 bee-js 13.3.0 提交新增 postinstall，向远端请求脚本并动态执行；同日 Swarm Desktop 0.56.2 提交也加入远程代码执行。

OX Security 将其报告为供应链入侵，称恶意代码可触及本地钱包数据。安装过不等于载荷已执行；影响取决于是否运行及环境。开发者可核查锁文件和维护者的修复说明。

你更关注依赖锁定，还是发布凭证保护？

来源：[bee-js官方提交](https://github.com/ethersphere/bee-js/commit/de2f74e784b2eafa0d66fbb6d88b42ea11ee34cf)｜[Swarm Desktop官方提交](https://github.com/ethersphere/swarm-desktop/commit/2de727046706062d38edfbbf8340f32d1eb2bdfb)｜[OX Security分析](https://www.ox.security/blog/ethersphere-hijacked-with-crypto-stealing-malware-via-github-npm/)
披露：本文可能符合Binance Square Write to Earn奖励资格；资格及奖励以平台规则及实际结果为准。非投资建议。
#Ethersphere #Security