Swarm Desktop et bee-js : alerte sur deux versions piégées

Une alerte publiée le 9 novembre 2026 vise deux outils du réseau de stockage décentralisé Swarm. Du code malveillant a touché Swarm Desktop 0.56.2 et bee-js 13.3.0. Selon OX Security, il cherchait notamment à dérober des clés de portefeuille et à ouvrir un accès à distance.

Sommaire

Quelles versions sont touchées ?
Ce que change une installation de la version piégée

Quelles versions sont touchées ?

Swarm Desktop permet de gérer un nœud Swarm depuis un ordinateur. Bee-js est une bibliothèque JavaScript que des développeurs installent via npm, un registre de logiciels.

GitHub désigne précisément la version 13.3.0 de @ethersphere/bee-js. OX Security indique que le registre a retiré cette version et que la distribution est revenue à 13.2.0.

Les mainteneurs de Swarm Desktop ont retiré la version 0.56.2 et publié la 0.56.3 le 9 novembre. Ils attribuent la publication de la version piégée au vol d’identifiants du système de publication automatisée.

Ce que change une installation de la version piégée

GitHub considère qu’un ordinateur ayant installé ou exécuté le paquet visé doit être traité comme compromis. L’avis préconise de renouveler les identifiants et clés depuis un autre ordinateur.

La mise à jour de Swarm Desktop remplace le programme piégé. Elle ne garantit pas l’élimination d’un accès à distance déjà installé. L’alerte décrit un logiciel conçu pour dérober des clés. Elle ne donne aucun bilan de fonds dérobés.

Ce cas rappelle le rôle du canal de distribution. Lors de l’attaque visant npm en septembre 2025, des paquets compromis avaient déjà menacé des applications liées aux cryptomonnaies.

🔍 DUC, mon avis

Si j’avais installé une de ces versions, je commencerais par vérifier mes clés depuis un appareil sain. Un correctif remplace un logiciel. Il ne rend pas secrète une clé qui a pu être copiée.

✍️ DUC