Хакеры взломали GitHub-аккаунты Swarm и выкладывают зараженные релизы

Злоумышленники получили доступ к GitHub-аккаунтам Swarm — децентрализованной платформы хранения данных, связанной с экосистемой Ethereum. Через них хакеры публиковали релизы с вредоносным ПО, которое должно было красть ключи и пароли от криптокошельков. Об этом сообщили блокчейн-аналитики SlowMist.

Как работала схема

Под удар попали разработчики приложений на Ethereum, которые работают в Windows, macOS и Linux. Зараженная программа распространялась через скомпрометированные аккаунты Swarm. После установки она подключалась к инфраструктуре атакующих, загружала и запускала вредоносный JavaScript-код.

Для управления операцией хакеры использовали смарт-контракты Ethereum. Один из них работал как децентрализованное хранилище конфигураций: через него можно было менять адреса серверов, не выпуская новых заражённых версий. По словам SlowMist, это усложняло обнаружение атаки и блокировку инфраструктуры.

Кто стоит за атаками

SlowMist связала использованный смарт-контракт с более ранними вредоносными инструментами SleepyDuck и EtherDuck. Они тоже били по разработчикам и распространялись через расширения в маркетплейсе Open VSX. По мнению SlowMist, сходство методов указывает на один и тот же почерк злоумышленников.

Что советуют сделать пользователям

SlowMist рекомендует удалить скомпрометированные версии Swarm и установить проверенную чистую версию 13.2.0. Владельцам Swarm Desktop v0.56.2 нужно обновиться до безопасной версии v0.56.3.

Точное число пострадавших и размер ущерба не установлены. SlowMist отмечает, что взлом учётных записей разработчиков может стать точкой входа в более широкую экосистему Ethereum и создать риск хищения криптоактивов.

Ранее SlowMist выявила программу, которую распространяли под видом взломанной версии платного тарифа TradingView Premium. Это инфостилер, нацеленный на конфиденциальные данные пользователей и пароли от криптокошельков.