SlowMist警告:Swarm通过GitHub发布遭供应链投毒,Ethereum(ETH)用户需回滚至13.2.0版本

恶意软件搭上官方更新渠道

去中心化存储项目Swarm遭遇供应链攻击,Ethereum (ETH)用户在最信任的环节中招:官方软件更新。区块链安全公司SlowMist周二发布紧急预警,指出攻击者入侵了GitHub账号,借正常的发布流程推送了带有恶意代码的安装包,用户下载时以为只是例行的Swarm更新,实际装上的却是木马。本次共有两款软件被污染。受影响的代码属于Swarm,它是以太坊生态内的一个去中心化存储网络,覆盖Windows、macOS和Linux三大平台。恶意程序一旦落地,会从攻击者控制的服务器拉取并执行JavaScript代码,让中毒的安装包从静态文件变成持续活动的感染源。风险相当具体:这批恶意版本可以窃取加密货币钱包凭证、盗取私钥,并在受害系统上留下永久后门。需要说明的是,预警针对的是以太坊的工具链,而非以太坊价格本身,公告也没有任何链上资金已被转走的信息。目前可以确认的是攻击路径:源头是开发者账号被接管,随后恶意构建借正常发布渠道分发,三大平台的用户只能事后排查自己装过的版本是否干净。Swarm承担着生态存储基础设施的角色,因此预警面向的人群很广:任何在上述三个平台下载过受影响版本的用户都在范围内。SlowMist已在X平台公布了完整分析,包括传播路径和处置步骤。

智能合约充当命令服务器

这次攻击的手法不止于一次性的木马植入。SlowMist在其X平台预警中说明,攻击者把一段Ethereum智能合约当作去中心化的命令与控制配置库,也就是一份存在链上的指令清单。配置写进合约之后,攻击者可以随时替换控制恶意软件的服务器地址,无需向已被感染的机器重新推送恶意构建;换句话说,查封任何一台服务器都掐不断整个行动。SlowMist还指出,同一份合约此前与SleepyDuck和EtherDuck两起恶意软件行动有关联,那两波攻击通过在Open VSX市场上分发的恶意扩展插件瞄准开发者。合约的重复使用指向一种可能:Swarm事件并非孤立、动机单一的攻击,而是一个针对加密货币开发者和用户的更大行动的组成部分。独立安全研究机构Socket和SafeDep在没有与SlowMist协同的情况下各自发现,这批恶意软件专门窃取Swarm钱包文件,并会在受害系统上部署持久化的远程访问工具。两家机构的结论在持久化这一点上与SlowMist的预警一致:这些工具的设计目标是长期驻留,而不是运行一次就消失。处置步骤非常明确。SlowMist建议用户立即卸载受影响的软件包,回滚到干净的13.2.0版本;使用Swarm Desktop v0.56.2的用户则应升级到干净的v0.56.3版本。公告没有披露的细节包括:受污染的构建在发布渠道里停留了多久才被发现,以及这段时间内有多少台机器下载了它们,截至发稿这些数字均未公布。

仍然握在用户手里的那一环

这次披露中最值得关注的不是载荷本身,而是命令层。攻击者把恶意软件的配置锚定在以太坊这条layer-1网络上的智能合约里,获得了可以承受服务器查封的基础设施轮换能力,向托管服务商施压收效甚微。整条攻击链上仍可被切断的一环在用户机器上:卸载软件包并回滚到13.2.0版本,或将Swarm Desktop升级到v0.56.3,就能在载荷造成进一步损害之前切断它。对任何运行以太坊生态软件的用户来说,从桌面客户端到区块链节点,更新渠道本身就是需要盯防的攻击面。考虑在家中运行以太坊节点的读者,面对的也是同一类风险。预警未提及受害用户数量,目前也没有任何相关数字公布。