9 ноября система выпуска релизов Ethersphere была скомпрометирована: злоумышленники распространили вредоносные версии bee-js 13.3.0 и Swarm Desktop 0.56.2. По данным Socket, пакет bee-js находился в npm около 75 минут, а релиз Swarm Desktop оставался доступен почти восемь с половиной часов. Вредонос искал файлы config.yaml и data-dir/keys/swarm.key, чтобы получить пароль и зашифрованный ключ кошелька Bee-узла. На Windows устанавливался бэкдор ScreenConnect, на Linux и macOS — инструменты, маскировавшиеся под легитимные средства разработки Solidity.
Опасность усиливалась тем, что релизы выглядели подлинными: у bee-js была валидная SLSA-провенанс, а macOS-установщик Swarm Desktop был подписан и нотаризован Apple. StepSecurity обнаружила, что скрипт scripts/generate-version.cjs загружал код с api.frameworkmetrics[.]xyz и запускался автоматически при установке. Для поиска C2-серверов использовался контракт Ethereum 0xf8a900Db50b3331be6B768bA460BB59f3E40C344, ранее связанный Pluto Security с кампаниями SleepyDuck и EtherDuck. В двух официальных уведомлениях Ethersphere признала обе версии вредоносными; мейнтейнер darkobas2 сообщил, что версия 0.56.2 «была собрана и опубликована злоумышленником с использованием украденных CI-учётных данных». Чистая замена 0.56.3 содержит тот же код, что и 0.56.1, и подписана новым сертификатом. Пользователям bee-js рекомендовано закрепить версию 13.2.0. Зафиксировано 65 загрузок вредоносного Desktop-релиза и около десяти обращений к bee-js 13.3.0, однако окончательного числа жертв и украденных средств нет.
Второй инцидент связан с Web3Auth. 10 ноября сервис подтвердил проблему в инфраструктуре, затронувшую встроенные кошельки Keplr, созданные преимущественно через Google или Apple. По оценке Bitquery, пострадало более 44 000 кошельков, а ущерб составил не менее $6 млн. Средства выводились в восьми сетях Cosmos, включая Cosmos Hub, Osmosis, Celestia и Injective. Web3Auth приостановил сервис встроенных кошельков, Keplr рекомендовал не пополнять затронутые счета. Trust Wallet заявил, что его пользователи не пострадали; MetaMask не зафиксировал подтверждённых случаев, но продолжает наблюдение.
Инциденты усиливают давление на рынок после серии провалов безопасности: в конце октября сообщалось о возможной атаке на Binance с оценкой около $6,3 млрд, в сентябре Bitget потерял $387,5 млн, ранее KelpDAO — около $290 млн. По данным CertiK, компрометация кошельков занимает второе место по потерям в 2026 году с $769,1 млн и 75 инцидентами, а кража приватных ключей — пятое с $158 млн и 47 эпизодами. Прямой связи между этими событиями и снижением Bitcoin или Ethereum не установлено. На 10 ноября токен BZZ торговался около $0,0654, выраженной распродажи на фоне взлома не наблюдалось.
