Para pelaku kejahatan siber memanfaatkan sistem otomatisasi rilis milik proyek Ethersphere guna mendistribusikan versi berbahaya dari dua perangkat lunak jaringan penyimpanan terdesentralisasi Swarm, yakni pustaka bee-js versi 13.3.0 serta aplikasi Swarm Desktop versi 0.56.2.
Kedua paket rilis berbahaya tersebut diprogram untuk mengunduh sekaligus mengeksekusi instruksi perusak yang dirancang mencuri kunci dompet digital milik node Swarm Desktop beserta kata sandi pembukanya. Di samping itu, muatan perusak ini juga bertugas memasang pintu belakang atau backdoor pada sistem operasi Windows, macOS, dan Linux para pengguna yang terdampak.
Paket bee-js sendiri berperan sebagai fondasi pustaka JavaScript utama bagi aplikasi Swarm Desktop serta utilitas baris perintah swarm-cli. Aplikasi Swarm Desktop berfungsi mengoperasikan node jaringan Swarm secara langsung di perangkat komputer lokal pengguna serta menyimpan seluruh kunci privat node tersebut secara lokal.
Kini kedua versi berbahaya tersebut telah ditarik sepenuhnya dari peredaran publik, dan pengelola proyek Ethersphere telah menerbitkan pembaruan bersih untuk Swarm Desktop pada hari ini. Kendati demikian, langkah pembersihan tersebut sama sekali tidak menghapus pintu belakang yang terlanjur terpasang pada mesin korban ataupun memulihkan kunci privat yang sudah terkirim ke server pelaku. Hingga laporan ini dipublikasikan, belum terdapat laporan resmi mengenai kerugian finansial atau kehilangan dana token.
Versi Swarm Desktop 0.56.2 mulanya terbit di GitHub pada sekitar pukul 00:36 UTC hari ini dan ditarik kembali sekitar 8,5 jam setelahnya. Mekanisme pembaruan otomatis bawaan aplikasi tersebut sanggup menyalurkan paket berbahaya ini kepada para pemakai sistem Windows x64 dan komputer Mac berbasis Apple Silicon hanya dalam rentang waktu sekitar 10 menit, sebagaimana diungkapkan dalam laporan analisis insiden dari perusahaan keamanan rantai pasok Socket. Sebaliknya, komputer Mac berbasis prosesor Intel tidak pernah menerima tawaran pembaruan otomatis ini, sedangkan instalasi pada lingkungan Linux tidak memiliki sistem pembaruan otomatis.
Sementara itu, rilis pustaka bee-js versi 13.3.0 sempat bertahan sebagai rilis teranyar di repositori npm selama kurang lebih 75 menit, tepatnya sejak pukul 00:09 hingga 01:25 UTC hari ini. Kode berbahaya di dalamnya dirancang untuk aktif melalui skrip postinstall, yang secara default langsung dijalankan oleh npm ketika proses pemasangan berlangsung kecuali bila konfigurasi skrip instalasi dinonaktifkan secara manual. Sebuah proyek perangkat lunak bahkan tidak diwajibkan mengimpor pustaka tersebut ke basis kodenya agar skrip perusak dapat langsung berjalan.
Sejumlah paket internal milik proyek Ethersphere sendiri, seperti swarm-cli serta bee-dashboard, termasuk kode sumber Swarm Desktop, menerapkan rentang dependensi versi yang mencakup rilis 13.3.0. Oleh sebab itu, setiap instalasi baru yang dilakukan tepat di dalam jendela durasi waktu insiden tersebut berpotensi besar mengunduh paket berbahaya secara otomatis.
Sejauh ini tidak ada satu pun laporan resmi yang memberikan angka pasti mengenai jumlah komputer yang telah terinfeksi. Perusahaan keamanan memberikan estimasi kasar bahwa pustaka bee-js versi 13.3.0 sempat diunduh sekitar 10 kali, yang sebagian di antaranya berasal dari bot pemindai keamanan siber dan cermin repositori. Di sisi lain, angka unduhan untuk Swarm Desktop versi 0.56.2 telah menyentuh angka 65 kali pada pukul 08:27 UTC, termasuk pengunduhan oleh para peneliti keamanan siber.
Tim pengelola proyek Ethersphere langsung membatalkan distribusi versi 0.56.2 dan menggantikannya pada hari ini dengan paket rilis yang bersih melalui versi 0.56.3. Di dalam catatan perubahan yang menyertai rilis baru tersebut, salah seorang pengelola menuliskan pernyataan resmi bahwa versi 0.56.2 “telah diterbitkan oleh penyerang menggunakan kredensial CI yang dicuri dan rilis tersebut telah ditarik kembali.”
Rilis versi 0.56.3 pada dasarnya memakai basis kode yang serupa dengan versi sebelumnya yakni 0.56.1, namun ditandatangani ulang memanfaatkan sertifikat Developer ID yang baru saja diterbitkan, menurut penjelasan teknis dari pengelola tersebut. Penjelasan itu memaparkan bahwa fitur pembaru otomatis aplikasi akan segera mengalihkan instalasi versi 0.56.2 menuju versi baru ini, kendati paket untuk sistem Linux tetap wajib dipasang ulang secara manual oleh pengguna. Melalui perbandingan baris kode sumber antara kedua versi yang dilakukan oleh The Hacker News, tidak ditemukan modifikasi apa pun di luar penyesuaian nomor versi serta catatan rilis.
Saat The Hacker News melakukan verifikasi ke repositori npm pada hari ini, versi 13.2.0 telah dikembalikan sebagai versi terbaru dari paket bee-js, sedangkan versi 13.3.0 sudah sepenuhnya dicabut dan tidak dapat lagi diunduh dari peladen registri.
Peringatan keamanan resmi GitHub untuk bee-js 13.3.0 menegaskan: “Setiap komputer yang telah memasang atau menjalankan paket ini harus dianggap telah disusupi sepenuhnya.” SafeDep, sebuah entitas keamanan rantai pasok perangkat lunak, turut memberikan peringatan dan imbauan serupa bagi setiap perangkat komputer mana pun yang sempat memasang Swarm Desktop versi 0.56.2.
Cara Kerja Perangkat Perusak
Kedua rilis perangkat lunak berbahaya tersebut membawa loader yang identik, sebagaimana diungkapkan oleh analisis teknis mendalam dari SafeDep. Komponen ini tersusun atas beberapa baris instruksi yang bertugas mengunduh kode tambahan dari alamat jaringan api.frameworkmetrics[.]xyz kemudian mengeksekusinya secara langsung menggunakan hak akses pengguna yang sedang aktif. Di dalam paket bee-js, komponen loader ini ditempatkan pada skrip postinstall, sementara di dalam Swarm Desktop komponen tersebut dijalankan setiap kali aplikasi pertama kali dibuka.
Muatan kode tambahan yang berhasil diunduh akan segera memindai keberadaan dua berkas penting di dalam direktori data Swarm Desktop: berkas config.yaml serta berkas data-dir/keys/swarm.key. Apabila kedua berkas data tersebut ditemukan di sistem, muatan perusak langsung mentransmisikannya ke peladen penampung milik penyerang.
Berkas kunci tersebut sesungguhnya adalah keystore Ethereum terenkripsi, tetapi aplikasi Swarm Desktop menyimpan kata sandi pembuka kuncinya dalam format teks polos biasa (plain text) pada berkas config.yaml. Dengan menguasai kedua berkas sensitif tersebut secara bersamaan, para pelaku kejahatan leluasa menguras token xDAI dan token xBZZ milik dompet node, membobol simpanan dana buku cek (chequebook funds), hingga mencuri deposit stake milik pengguna, terang perusahaan keamanan tersebut.
Kode yang diunduh tersebut juga bertindak memasang pintu belakang (backdoor) ke dalam sistem operasi target. Pada platform Linux dan macOS, muatan ini berupa remote shell berbasis bahasa Go yang dinamai evjawbreaker, yang disimpan di dalam direktori tersembunyi berlokasi di ~/.solidity. Shell tersebut beroperasi tanpa henti di latar belakang sebagai layanan pengguna (user service) pada distribusi Linux dan sebagai LaunchAgent pada sistem operasi macOS.
Komponen shell ini mengambil alamat peladen kendali (command-and-control) secara dinamis dari sebuah smart contract Ethereum, memungkinkan para pelaku mengubah alamat peladen tujuan kapan pun mereka menghendakinya. Para pelaku tercatat sempat memperbarui alamat tujuan tersebut sekitar 29 menit sebelum kode berbahaya bee-js disuntikkan ke repositori.
Sementara pada sistem operasi Windows, muatan instruksi mengunduh dan memasang klien akses jarak jauh resmi ScreenConnect yang sah dan telah ditandatangani oleh penerbit aslinya, ConnectWise. Klien kendali ini dijalankan sebagai layanan sistem (system service) yang tersambung langsung ke titik relay kendali milik penyerang.
Jika akun korban memiliki hak administrator, skrip perusak akan membobol izin administratif memakai metode bypass peringatan User Account Control (UAC) yang telah dikenal luas. Apabila bukan administrator, skrip akan terus menampilkan jendela konfirmasi UAC berulang-ulang setiap kali dibatalkan pengguna. Segera setelah hak istimewa tersebut didapatkan, malware mendaftarkan pengecualian pemindaian pada Microsoft Defender dan memasang klien kendali jarak jauh tanpa disadari korban.
Kronologi Penerbitan Rilis Berbahaya
Penerbitan kedua rilis terinfeksi tersebut dipicu melalui akun bee-worker, akun otomatisasi yang biasa digunakan proyek Ethersphere untuk alur rilis. Tidak ada satu pun perubahan kode yang dibubuhi tanda tangan digital pengembang atau diajukan lewat mekanisme pull request resmi.
Dalam insiden paket bee-js, pihak penyerang mempublikasikan rilis GitHub baru secara langsung, yang serta-merta memicu alur kerja otomatisasi penerbitan paket ke registry npm. Alur kerja integrasi tersebut beroperasi tanpa membutuhkan mekanisme persetujuan manual, sehingga paket langsung meluncur ke npm hanya dalam tempo 73 detik, menurut temuan Socket.
Lantaran dibangun menggunakan alur kerja sah proyek Ethersphere, paket berbahaya ini mengantongi data asal-usul (provenance) yang sah, yakni catatan valid yang mengaitkan paket npm dengan repositori dan alur pembuatan aslinya. Data provenance hanya membuktikan tempat paket dikompilasi, bukan menjamin apakah ada manusia yang memeriksa keabsahan kode di dalamnya.
Pada kasus Swarm Desktop, penyerang mengeksekusi secara manual alur kerja kompilasi yang memegang sertifikat penandatangan resmi Apple dan Windows tanpa memerlukan otorisasi tambahan. Aplikasi macOS terkompilasi sukses ditandatangani dengan Developer ID resmi dan dinotarisasi oleh Apple, sehingga macOS hanya menampilkan dialog pembukaan awal standar tanpa peringatan ancaman apa pun, ungkap penyelidikan Socket.
Menanggapi insiden tersebut, pihak pengelola kini telah memperketat alur kerja penandatanganan aplikasi agar wajib menunggu persetujuan manual dari tim DevOps proyek serta hanya diizinkan berjalan dari cabang utama (main branch).
Titik mula bagaimana para peretas berhasil membobol akses sistem internal belum dapat dipastikan secara gamblang pada saat laporan ini dirilis. Catatan resmi pengelola menyatakan bahwa insiden dipicu oleh pencurian kredensial CI dan data rahasia proyek.
Analisis lanjutan dari lembaga forensik mengindikasikan keterlibatan dua akun GitHub dalam pembobolan ini: akun bee-worker serta sebuah akun milik pengelola senior. Namun, tak satu pun dokumen laporan menerangkan cara peretas mencuri kredensial akun-akun tersebut.
Keterkaitan dengan Serangan Siber Sebelumnya
Muatan kode berbahaya pada kasus ini memperlihatkan kesamaan pola kontrak pintar Ethereum, titik relay ScreenConnect, hingga nomenklatur berkas yang identik dengan ekstensi palsu bagi pengembang bahasa Solidity yang sebelumnya ditemukan di repositori Open VSX pada September. Tim peneliti dari Pluto Security sempat membedah keberadaan ekstensi berbahaya tersebut pada analisis EtherDuck bertanggal 1 Oktober.
Pihak Pluto Security menautkan temuan ini “dengan tingkat keyakinan tinggi” ke kelompok aktor peretas yang mendalangi ekstensi SleepyDuck orisinal, yang juga mengambil alamat peladen pengendali melalui kontrak pintar Ethereum berbeda pada tahun 2025. Perusahaan Socket sependapat bahwa sindikat yang sama merupakan pelaku di balik rekayasa rilis bee-js dan Swarm Desktop ini.