去中心化儲存專案Ethersphere於2026年11月9日發生軟體供應鏈攻擊。攻擊者利用遭入侵的發布憑證與GitHub自動化流程，散布含有惡意程式碼的JavaScript套件bee-js及Swarm Desktop桌面應用程式。相關程式可能竊取錢包金鑰及建立遠端控制後門。

【事件經過】

根據資安研究機構Socket調查，攻擊者利用Ethersphere專案的自動化發布帳號bee-worker，將惡意版本bee-js 13.3.0上架npm套件平台。

由於既有發布流程未充分驗證程式碼是否來自受保護的開發分支，攻擊者得以透過合法GitHub Actions工作流程發布遭竄改的套件。

惡意套件包含安裝後自動執行的postinstall指令。當開發環境允許執行安裝指令碼時，即使應用程式尚未呼叫相關函式，也可能下載並執行惡意JavaScript。

攻擊者隨後發布遭植入惡意程式的Swarm Desktop 0.56.2，透過應用程式啟動流程載入攻擊程式。

【影響範圍】

受影響版本為@ethersphere/bee-js 13.3.0及Swarm Desktop 0.56.2。

惡意程式可能讀取Swarm節點錢包金鑰與解鎖設定，並在Windows、macOS或Linux環境建立遠端存取能力。

研究指出，Windows版本可能濫用合法遠端管理工具ScreenConnect，macOS及Linux版本則可能植入Go語言後門。

bee-js惡意版本約上架75分鐘，Swarm Desktop惡意版本公開約8個半小時後遭撤回。

本案屬於發布流程及套件遭入侵的供應鏈事件，原文未提供特定CVE編號、CVSS分數或已確認受害主機數量。

【建議措施】

使用相關套件的開發團隊，應檢查專案相依套件、鎖定檔及CI/CD安裝紀錄，確認是否曾安裝bee-js 13.3.0。

未受影響的環境可使用已知乾淨的13.2.0版本；Swarm Desktop使用者應移除0.56.2並改用官方發布的0.56.3。

曾安裝或執行惡意版本的設備，應視為可能遭入侵，隔離並調查後門、異常連線及敏感資料存取紀錄。必要時應由可信任環境重新建置系統。

相關錢包金鑰、API權杖、CI憑證及其他敏感資訊，應從乾淨設備進行輪替，不能僅移除套件便視為威脅解除。

【國內機關與企業之影響與因應】

原文未提供台灣受害案例，無法確認國內實際受影響數量。

使用GitHub Actions、npm及自動化部署流程的機關與企業，應強化發布帳號保護、程式碼審核及分支存取控制，避免合法發布程序遭攻擊者利用。

本次事件顯示，套件即使具有有效來源證明或程式簽章，仍可能包含惡意內容。組織應結合套件版本鎖定、建置來源驗證及異常行為監控，建立完整的軟體供應鏈安全管理機制。

【新聞出處】

原文標題：Ethersphere發布流程遭入侵，惡意版bee-js與Swarm Desktop經官方管道散布

媒體名稱：iThome

發布日期：2026年11月10日

原文網址：
https://www.ithome.com.tw/news/180362

原始研究：Malicious bee-js npm Release and Swarm Desktop Releases Deliver SleepyDuck Ethereum C2 Backdoor

研究機構：Socket

發布日期：2026年11月9日

研究網址：
https://socket.dev/blog/bee-js-compromise

官方漏洞資料：GHSA-hh7j-5m3j-23pf

公告日期：2026年11月9日

公告網址：
https://github.com/advisories/GHSA-hh7j-5m3j-23pf