Skadlig uppdatering av Injective-utvecklarpaket
En skadlig uppdatering av ett Injective-utvecklarpaket har exponerat privata nycklar och seedfraser efter att ha laddats ner mer än 300 gånger, enligt säkerhetsföretaget Socket. Version 1.20.21 av npm-paketet, som har cirka 50 000 nedladdningar per vecka, ändrades efter att en utvecklares GitHub-konto blivit komprometterat.
Intrång och skadlig kod
Suspekta commits började den 8 juni, och den skadliga versionen kopplades senare till 17 andra paket under Injective Labs npm-scope. Socket rapporterade att koden avlyssnade funktioner för generering av plånboksnycklar, registrerade privata nycklar och återställningsfraser, och kodade sedan datan för att skicka den genom falsk telemetri till en webbadress som liknade en Injective-server.
”Alla nycklar eller mnemonics som passerar genom de påverkade paketen bör betraktas som komprometterade,” varnade Socket.
Socket påpekade att applikationer kan ha blivit exponerade även om de inte installerade SDK:n direkt. Trots att den komprometterade utvecklaren snabbt upptäckte intrånget och den skadliga paketversionen har tagits bort, meddelade Socket att kampanjen ännu inte var helt innesluten.
Reaktioner och åtgärder
Injectives VD Eric Chen bekräftade att de påverkade npm-releaserna hade avvecklats och att problemet var åtgärdat. Chen tillade att inga medel på Injective-nätverket var i riskzonen, och Socket rapporterade att malware inte resulterade i stulna tillgångar.
Istället för att attackera blockkedjans kryptografi eller smarta kontrakt, riktade operationen in sig på mjukvara som utvecklare använder för att bygga plånböcker, börser och applikationer.
Ökande hot och attacker
Security Alliance rapporterade i sin hotanalys för andra kvartalet att angripare alltmer använder plattformar som GitHub, npm och Google för att distribuera malware. I vissa fall har komprometterade maskiner använts för att injicera skadlig kod i ett företags egna GitHub-repositorier, vilket gör att ett intrång kan bli en kanal för vidare distribution.
Rapporten nämnde också fler plattformsövergripande malwarepaket som kombinerar infostealers, fjärråtkomsttrojaner och bakdörrar, inklusive en ökning av kampanjer riktade mot macOS. Axios npm-releaser drabbades av en liknande leveranskedjeattack i mars, medan TrapDoor-kampanjen, som upptäcktes i maj, riktade sig mot utvecklare inom kryptovaluta, DeFi, artificiell intelligens och säkerhet.
GitHub avslöjade också obehörig åtkomst till interna repositorier den 20 maj efter att en anställds enhet blivit komprometterad.
Kostnader och konsekvenser
Plånbokskompromisser var den dyraste kryptovalutaattackmetoden under första halvan av 2026, med 444 miljoner dollar stulna över 33 fall, enligt CertiK. Injective, ett interoperabelt lager 1 för DeFi-applikationer, har sett sitt totala värde låst falla med 88 % från en topp på 71 miljoner dollar i mitten av 2024 till 8,2 miljoner dollar, enligt data från DefiLlama.
Tidigare i år godkände medlemmar i gemenskapen IIP-617, vilket påskyndade minskningar av ny INJ-utgivning samtidigt som befintliga tokenförbränningar behölls.
