Swarm生态遭遇供应链入侵，恶意软件潜伏于官方工具链

11月10日，安全机构Socket披露，去中心化存储协议Swarm的核心开发方Ethersphere在11月9日遭遇系统性供应链攻击，攻击者将恶意代码注入npm公开仓库中的bee-js库，版本号为13.3.0，进而通过自动更新机制传播至Swarm Desktop客户端0.56.2。

恶意程序具备双重危害：窃密与远程控制

经分析，该恶意代码可读取本地Bee节点的配置文件，并提取其中以明文存储的钱包密钥库密码，实现对用户资产的直接访问。同时，程序在设备上部署持久化后门，允许攻击者远程操控受感染主机，存在极高安全风险。

官方迅速响应，紧急下架受影响组件

事件曝光后，npm平台已将bee-js 13.3.0版本强制下架，Ethersphere亦同步撤回Swarm Desktop 0.56.2的发布包。目前尚未有资金损失的确认报告，但安全机构强烈建议所有用户立即卸载当前版本，使用可信源重新安装，并在隔离环境中生成新密钥对，完成资产迁移。