«Шкідливе оновлення пакета розробника Injective розкрило приватні ключі та вихідні фрази після того, як їх було завантажено понад 300 разів, виявив Socket. Підсумок Socket виявив, що скомпрометований пакет Injective npm копіював приватні ключі та вихідні фрази за допомогою фальшивої телеметрії. Шкідлива версія була завантажена більше 300 разів і поширилася», — пишуть на: www.crypto.news
Шкідливе оновлення пакета розробника Injective розкрило приватні ключі та вихідні фрази після того, як їх було завантажено понад 300 разів, виявив Socket.
Резюме
- Socket виявив, що скомпрометований пакет Injective npm копіював приватні ключі та початкові фрази за допомогою фальшивої телеметрії.
- Шкідлива версія була завантажена понад 300 разів і поширена через 17 пов’язаних пакетів Injective Labs.
- CertiK повідомила, що компрометація гаманців спричинила збитки на 444 мільйони доларів протягом першої половини 2026 року.
За даними охоронної фірми Socket, версія 1.20.21 пакета @injectivelabs/sdk-ts npm, який має близько 50 000 завантажень щотижня, була змінена після того, як обліковий запис GitHub розробника було зламано. Підозрілі коміти почалися 8 червня, а зловмисний реліз пізніше було прикріплено до 17 інших пакетів у сфері npm Injective Labs.
Охоронна фірма заявила, що код перехопив функції генерації ключів гаманця, записав приватні ключі та фрази відновлення, потім закодував дані та надіслав їх через фальшиву телеметрію на веб-адресу, схожу на сервер Injective.
«Будь-які ключі або мнемоніки, що передаються через уражені пакунки, слід розглядати як скомпрометовані», — сказав Socket, попередивши, що додатки могли бути розкриті, навіть якщо вони не встановлювали SDK безпосередньо.
Незважаючи на те, що скомпрометований розробник швидко виявив вторгнення, і шкідливу версію пакета було видалено, Socket сказав, що кампанію ще не повністю локалізовано.
Генеральний директор Injective Ерік Чен сказав, що постраждалі випуски npm застаріли, і проблему вирішено. Чен додав, що жодні кошти в мережі Injective не знаходяться під загрозою, а Socket не повідомляє, чи призвело зловмисне програмне забезпечення до вкрадених активів.
Ціллю стають розробники
Замість того, щоб атакувати криптографію блокчейну або смарт-контракти, операція була націлена на програмне забезпечення, яке розробники використовують для створення гаманців, бірж і додатків. Альянс безпеки заявив у своєму звіті про загрози за другий квартал, що зловмисники все частіше використовують платформи, включаючи GitHub, npm і Google, для розповсюдження шкідливого програмного забезпечення.
У деяких інцидентах, за словами SEAL, скомпрометовані машини використовувалися для розміщення шкідливого коду у власних репозиторіях GitHub компанії, дозволяючи одному злому стати каналом для подальшого розповсюдження. У звіті також згадується більше крос-платформних пакетів зловмисного програмного забезпечення, які поєднують викрадачі інформації, трояни віддаленого доступу та бекдори, включаючи збільшення кампаній, націлених на macOS.
Випуски Axios npm зазнали подібної атаки на ланцюжок поставок у березні, тоді як кампанія TrapDoor, виявлена в травні, була націлена на розробників, які працюють у сфері крипто, DeFi, штучного інтелекту та безпеки. GitHub також оприлюднив несанкціонований доступ до внутрішніх сховищ 20 травня після того, як пристрій співробітника було зламано.
Згідно з даними CertiK, компрометація гаманців була найдорожчим методом криптоатаки в першій половині 2026 року, припадаючи на 444 мільйони доларів, викрадених у 33 випадках.
Згідно з даними DefiLlama, Injective, взаємодіючий рівень 1 для додатків DeFi, зафіксував падіння загальної заблокованої вартості на 88% з піку в середині 2024 року в $71 млн до $8,2 млн. Раніше цього року учасники спільноти схвалили IIP-617, прискоривши скорочення випуску нових INJ, зберігаючи при цьому існуючі спалені токени.