Ethersphere : bee-js 13.3.0 et Swarm Desktop 0.56.2 étaient piégés

Le 9 novembre 2026, le projet Ethersphere a publié puis retiré deux versions piégées de ses outils pour Swarm, son réseau de stockage : le paquet npm @ethersphere/bee-js 13.3.0, horodaté 0 h 09 min 50 s UTC dans le registre, et l’application Swarm Desktop 0.56.2, dont la page de release répond désormais 404. La remplaçante propre, Swarm Desktop 0.56.3, a été publiée le même jour à 12 h 52 UTC.

Swarm est un réseau de stockage décentralisé lié à Ethereum. bee-js en est le client JavaScript. Swarm Desktop fait tourner un nœud sur l’ordinateur de l’utilisateur et y garde la clé de ce nœud. Les deux sorties visaient cette clé, et installaient un accès à distance qui survit à la désinstallation.

Deux sorties, un même compte de publication

Le commit de2f74e du dépôt bee-js est daté du 8 novembre 2026 à 23 h 59 min 54 s UTC. Il porte le nom bee-worker, le compte de publication du projet, et le message « chore(upcoming): release 13.3.0 ». Il n’est sur aucune branche. Le registre npm horodate la 13.3.0 au 9 novembre, 0 h 09 min 50 s UTC, mais elle n’est plus téléchargeable. L’étiquette latest pointe de nouveau vers la 13.2.0, publiée le 15 octobre 2026 à 14 h 12 UTC, dont le script de version est un prepare, pas un postinstall.

L’avis GitHub GHSA-hh7j-5m3j-23pf, publié le 9 novembre 2026 à 1 h 25 min 27 s UTC, ne vise que la 13.3.0 et ne nomme pas de version corrigée. Il demande de traiter comme compromis tout ordinateur où ce paquet a été installé ou exécuté, et de changer les secrets depuis une autre machine : retirer le paquet ne garantit pas d’effacer la suite.

SafeDep situe la publication de Swarm Desktop 0.56.2 à 0 h 36 UTC le 9 novembre, sous bee-worker, présentée comme un correctif d’urgence. À 6 h 58 UTC, elle était encore courante, et le fichier de mise à jour Windows comptait 17 téléchargements. Le soir, l’API GitHub répond 404 pour v0.56.2.

Ce que ces versions pouvaient faire

SafeDep et StepSecurity décrivent le même enchaînement, sans nombre de machines touchées. À l’installation de bee-js 13.3.0, un script allait chercher du code ailleurs et l’exécutait avec les droits de la personne qui lançait npm, sans qu’il soit besoin d’importer la bibliothèque. Ce code cherchait la clé du nœud et le mot de passe conservé en clair dans la configuration. Avec les deux, un tiers peut disposer du portefeuille du nœud, de ses fonds, de son carnet de chèques et de sa mise. Il installait aussi un accès à distance durable, sous Linux, macOS et Windows. Le retirer du projet ne retire pas cet accès.

Aucun rapport lu ne chiffre un vol de jetons. Les 3 560 téléchargements de bee-js que StepSecurity compte du 1er au 7 novembre 2026 couvrent toutes les versions, avant la sortie piégée. Pendant l’heure où la 13.3.0 était la dernière, une installation neuve pouvait la tirer via les plages de @ethersphere/swarm-cli 3.7.0 (^13.2.0), de @ethersphere/bee-dashboard 0.37.1 (^13.0.0) et du dépôt swarm-desktop. Ces paquets n’ont pas forcément été modifiés : seule la version résolue compte.

La 0.56.3 reprend la 0.56.1

Le commit 2097e8c, daté du 9 novembre 2026 à 12 h 22 UTC, est au nom de Not Darko, le nom affiché du compte GitHub darkobas2. Il dit :

v0.56.2 was published by an attacker using stolen CI credentials and has been withdrawn.

Le même commit ajoute que la 0.56.3 reprend la 0.56.1 et qu’une mise à jour automatique doit remplacer la 0.56.2 par une build propre, nouvellement signée. Entre les étiquettes v0.56.1 et v0.56.3, GitHub ne montre que trois fichiers : manifeste, journal des changements et package.json. La release v0.56.3 est datée de 12 h 52 min 07 s UTC. Elle est publiée par le compte bee-worker, comme les sorties habituelles du projet. La 0.56.1, dernière version propre précédente, avait été publiée le 20 octobre 2026.

Quoi vérifier, sans attendre

• Chercher @ethersphere/bee-js@13.3.0 dans les fichiers de verrouillage, les caches et les journaux d’installation, y compris quand un autre paquet l’a tiré. Épingler la 13.2.0.

• Pour Swarm Desktop, installer la 0.56.3. Si la 0.56.2 a tourné, considérer la clé du nœud comme volée et déplacer fonds, carnet de chèques et mise vers une clé neuve créée sur une machine saine.

• Là où le code a tourné, une réinstallation depuis une image de confiance est plus sûre qu’un nettoyage sur place. SafeDep le dit pour les deux logiciels.

KLYNLABS a déjà décrit un paquet npm qui exécute du code à l’installation, MALFEX et imgdecode, et un secret de portefeuille à ne plus réutiliser, les 18 835 portefeuilles Keystone.

Sources

Release Swarm Desktop v0.56.3 · Commit de correction 2097e8c · Commit bee-js de2f74e · Avis GHSA-hh7j-5m3j-23pf, 9 novembre 2026, 1 h 25 UTC.

SafeDep, bee-js et Swarm Desktop · StepSecurity, bee-js 13.3.0 · The Hacker News, 9 novembre 2026, 17 h 36 UTC. Registre npm consulté le 9 novembre au soir : latest = 13.2.0, 13.3.0 absente.