" Swarm, децентрализованная платформа хранения данных, связанная с экосистемой Ethereum, стала целью атаки: злоумышленники получили доступ к GitHub-аккаунтам проекта и начали публиковать зараженные релизы, предназначенные для кражи ключей и паролей от криптокошельков. На схему обратили внимание аналитики SlowMist.
Как работала вредоносная схема
Под ударом оказались разработчики приложений для Ethereum, использующие Windows, macOS и Linux. После установки зараженного релиза программа связывалась с инфраструктурой атакующих, загружала вредоносный JavaScript-код и запускала его на устройстве жертвы.
Для управления операцией хакеры задействовали смарт-контракты Ethereum. По данным SlowMist, один из таких контрактов использовался как децентрализованное хранилище конфигураций. Это позволяло атакующим удаленно менять адреса управляющих серверов без выпуска новых зараженных версий программного обеспечения.
Такая архитектура осложняла обнаружение и блокировку атаки: даже если часть инфраструктуры становилась известна, злоумышленники могли перенастроить вредоносную программу через смарт-контракт.
Связь с предыдущими атаками
Аналитики SlowMist сопоставили использованный смарт-контракт с ранее выявленными инструментами SleepyDuck и EtherDuck. Эти кампании также были направлены против разработчиков и распространялись через расширения в маркетплейсе Open VSX.
По оценке специалистов, совпадения указывают на один и тот же почерк атакующих.
Что рекомендуется пользователям Swarm
SlowMist советует удалить скомпрометированные версии Swarm и установить проверенную чистую версию 13.2.0. Пользователям Swarm Desktop v0.56.2 необходимо обновиться до безопасной версии v0.56.3.
Количество пострадавших и размер возможного ущерба не установлены. Однако инцидент показал, насколько опасным может быть взлом учетных записей разработчиков: через них злоумышленники способны получить доступ к элементам экосистемы Ethereum и поставить под угрозу криптоактивы пользователей.
Ранее SlowMist также выявила зараженную программу, распространявшуюся под видом взломанной версии платного тарифа TradingView Premium. Этот инфостилер был нацелен на кражу конфиденциальных данных и паролей от криптокошельков.
