सॉकेट ने पाया है कि इनजेक्टिव डेवलपर पैकेज में एक दुर्भावनापूर्ण अपडेट को 300 से अधिक बार डाउनलोड किए जाने के बाद उसने निजी कुंजियों और सीड वाक्यांशों को उजागर कर दिया है।

सुरक्षा फर्म सॉकेट के अनुसार, @injectivelabs/sdk-ts एनपीएम पैकेज का संस्करण 1.20.21, जिसके लगभग 50,000 साप्ताहिक डाउनलोड हैं, एक डेवलपर के गिटहब अकाउंट से छेड़छाड़ के बाद बदल दिया गया था। 8 जून को संदिग्ध कमिट शुरू हुए, और दुर्भावनापूर्ण रिलीज को बाद में इनजेक्टिव लैब्स के एनपीएम स्कोप के तहत 17 अन्य पैकेजों में पिन कर दिया गया था।

सुरक्षा फर्म ने कहा कि कोड ने वॉलेट कुंजी-उत्पत्ति कार्यों को रोका, निजी कुंजियाँ और रिकवरी वाक्यांश रिकॉर्ड किए, फिर डेटा को एन्कोड किया और उसे नकली टेलीमेट्री के माध्यम से एक वेब पते पर भेजा जो इनजेक्टिव सर्वर जैसा दिखता था।

सॉकेट ने चेतावनी देते हुए कहा, "प्रभावित पैकेजों से गुजरने वाली किसी भी कुंजी या स्मरक (mnemonics) को समझौताग्रस्त माना जाना चाहिए," कि एप्लिकेशन उजागर हो सकते हैं, भले ही उन्होंने सीधे SDK इंस्टॉल न किया हो।

हालांकि समझौताग्रस्त डेवलपर ने घुसपैठ का जल्दी पता लगा लिया और दुर्भावनापूर्ण पैकेज संस्करण हटा दिया गया है, सॉकेट ने कहा कि अभियान अभी तक पूरी तरह से नियंत्रित नहीं हुआ था।

इनजेक्टिव के सीईओ एरिक चेन ने कहा कि प्रभावित एनपीएम रिलीज को हटा दिया गया था और समस्या ठीक कर दी गई थी। चेन ने आगे कहा कि इनजेक्टिव नेटवर्क पर कोई भी फंड खतरे में नहीं था, जबकि सॉकेट ने यह रिपोर्ट नहीं किया कि मैलवेयर के कारण कोई संपत्ति चोरी हुई थी या नहीं।

डेवलपर्स बने निशाना

ब्लॉकचेन की क्रिप्टोग्राफी या स्मार्ट कॉन्ट्रैक्ट्स पर हमला करने के बजाय, इस ऑपरेशन ने उस सॉफ्टवेयर को निशाना बनाया जिसका उपयोग डेवलपर्स वॉलेट, एक्सचेंज और एप्लिकेशन बनाने के लिए करते हैं। सिक्योरिटी एलायंस ने अपनी दूसरी तिमाही की खतरे की रिपोर्ट में कहा कि हमलावरों ने मैलवेयर फैलाने के लिए गिटहब, एनपीएम और गूगल सहित प्लेटफार्मों का तेजी से उपयोग किया है।

कुछ घटनाओं में, SEAL ने कहा, समझौताग्रस्त मशीनों का उपयोग कंपनी के अपने गिटहब रिपॉजिटरी में दुर्भावनापूर्ण कोड डालने के लिए किया गया है, जिससे एक उल्लंघन आगे के वितरण का एक चैनल बन गया। रिपोर्ट में अधिक क्रॉस-प्लेटफॉर्म मैलवेयर पैकेजों का भी उल्लेख किया गया है जो इंफोस्टीलर, रिमोट एक्सेस ट्रोजन और बैकडोर को जोड़ते हैं, जिसमें मैकोज़-लक्षित अभियानों में वृद्धि भी शामिल है।

मार्च में एक्सिस एनपीएम रिलीज भी इसी तरह के सप्लाई-चेन हमले की चपेट में आ गए थे, जबकि मई में पाई गई ट्रैपडोर (TrapDoor) अभियान ने क्रिप्टो, डेफी, आर्टिफिशियल इंटेलिजेंस और सुरक्षा में काम करने वाले डेवलपर्स को निशाना बनाया था। 20 मई को एक कर्मचारी के उपकरण से समझौता होने के बाद गिटहब ने आंतरिक रिपॉजिटरी तक अनधिकृत पहुंच का भी खुलासा किया था।

सर्टिक के अनुसार, 2026 की पहली छमाही में वॉलेट में सेंध (compromises) सबसे महंगी क्रिप्टो हमले की विधि थी, जिसके तहत 33 मामलों में $444 मिलियन की चोरी हुई थी।

इनजेक्टिव, डेफी (DeFi) अनुप्रयोगों के लिए एक इंटरऑपरेबल लेयर 1, ने डेफीलामा (DefiLlama) डेटा के अनुसार, 2024 के मध्य में $71 मिलियन के उच्च स्तर से अपनी कुल वैल्यू लॉक्ड (TVL) में 88% की गिरावट देखी है, जो घटकर $8.2 मिलियन हो गई है। इस साल की शुरुआत में, समुदाय के सदस्यों ने IIP-617 को मंजूरी दी थी, जिससे मौजूदा टोकन बर्न को बनाए रखते हुए नए INJ जारी करने में कमी आई है।