開發者工具被盯上，這次連正常拉依賴都可能中招。
Socket 安全團隊披露，11 月 9 日攻擊者入侵 Ethersphere 的 GitHub 賬戶及自動化發佈流程，在 npm 上發佈植入惡意代碼的 @ethersphere/bee-js 13.x 版本。惡意包會在安裝或運行時竊取開發者本地的錢包私鑰、助記詞及環境變量中的敏感憑證，並植入後門。bee-js 是 Swarm/Bee 生態的核心 SDK，被大量 dApp 與節點工具依賴。
據吳說報道，攻擊者選擇入侵發佈流程而非正面釣魚，即便正常拉取依賴也可能中招。方向上偏利空，但衝擊集中在開發者工作流與軟件供應鏈安全層面，短期不構成 BZZ 的直接價格催化。
觀察情景一：若開發者本地私鑰已被竊，資金可能毫無預警地被划走。觀察情景二：若 CI 自動發佈鏈路未排查，風險可能繼續擴散。
你會先回退鎖定 bee-js 版本，還是先輪換錢包私鑰與交易所 API key？
配圖1：Ethersphere 發佈流程被入侵，bee-js 惡意版本竊取錢包密鑰 · 來源頁面截圖
圖片來源：https://www.wublock123.com/news/socket-ethersphere-software-supply-chain-compromise-steals-wallet-keys-71620
Socket 安全團隊披露，11 月 9 日攻擊者入侵 Ethersphere 的 GitHub 賬戶及自動化發佈流程，在 npm 上發佈植入惡意代碼的 @ethersphere/bee-js 13.x 版本。惡意包會在安裝或運行時竊取開發者本地的錢包私鑰、助記詞及環境變量中的敏感憑證，並植入後門。bee-js 是 Swarm/Bee 生態的核心 SDK，被大量 dApp 與節點工具依賴。
據吳說報道，攻擊者選擇入侵發佈流程而非正面釣魚，即便正常拉取依賴也可能中招。方向上偏利空，但衝擊集中在開發者工作流與軟件供應鏈安全層面，短期不構成 BZZ 的直接價格催化。
觀察情景一：若開發者本地私鑰已被竊，資金可能毫無預警地被划走。觀察情景二：若 CI 自動發佈鏈路未排查，風險可能繼續擴散。
你會先回退鎖定 bee-js 版本，還是先輪換錢包私鑰與交易所 API key？
配圖1：Ethersphere 發佈流程被入侵，bee-js 惡意版本竊取錢包密鑰 · 來源頁面截圖
圖片來源：https://www.wublock123.com/news/socket-ethersphere-software-supply-chain-compromise-steals-wallet-keys-71620
