Pembaruan berbahaya pada paket pengembang Injective telah membocorkan private key dan seed phrase setelah diunduh lebih dari 300 kali, seperti yang ditemukan oleh Socket.
Menurut perusahaan keamanan Socket, versi 1.20.21 dari paket npm @injectivelabs/sdk-ts, yang memiliki sekitar 50.000 unduhan mingguan, telah diubah setelah akun GitHub seorang pengembang disusupi. Commit mencurigakan dimulai pada 8 Juni, dan rilis berbahaya tersebut kemudian dipasangkan di 17 paket lain di bawah cakupan npm Injective Labs.
Perusahaan keamanan tersebut mengatakan bahwa kode itu menyadap fungsi pembuatan kunci dompet, merekam private key dan frasa pemulihan, kemudian mengkodekan data dan mengirimkannya melalui telemetri palsu ke alamat web yang dibuat menyerupai server Injective.
"Setiap kunci atau mnemonik yang melewati paket yang terpengaruh harus dianggap telah disusupi," kata Socket, memperingatkan bahwa aplikasi mungkin telah terpapar meskipun tidak menginstal SDK secara langsung.
Meskipun pengembang yang disusupi mendeteksi intrusi dengan cepat dan versi paket berbahaya telah dihapus, Socket mengatakan bahwa kampanye tersebut belum sepenuhnya tertangani.
CEO Injective Eric Chen mengatakan bahwa rilis npm yang terpengaruh telah ditarik dan masalahnya telah diperbaiki. Chen menambahkan bahwa tidak ada dana di jaringan Injective yang berisiko, sementara Socket tidak melaporkan apakah malware tersebut mengakibatkan aset dicuri.
Alih-alih menyerang kriptografi atau smart contract blockchain, operasi ini menargetkan perangkat lunak yang digunakan pengembang untuk membangun dompet, bursa, dan aplikasi. The Security Alliance mengatakan dalam laporan ancaman kuartal keduanya bahwa penyerang semakin banyak menggunakan platform termasuk GitHub, npm, dan Google untuk mendistribusikan malware.
Dalam beberapa insiden, kata SEAL, mesin yang disusupi telah digunakan untuk menyisipkan kode berbahaya ke dalam repositori GitHub milik perusahaan, memungkinkan satu pelanggaran menjadi saluran untuk distribusi lebih lanjut. Laporan tersebut juga menyebutkan lebih banyak paket malware lintas platform yang menggabungkan infostealer, trojan akses jarak jauh, dan backdoor, termasuk peningkatan kampanye yang menargetkan macOS.
Rilis npm Axios juga terkena serangan rantai pasokan serupa pada bulan Maret, sementara kampanye TrapDoor yang ditemukan pada bulan Mei menargetkan pengembang yang bekerja di bidang kripto, DeFi, kecerdasan buatan, dan keamanan. GitHub juga mengungkapkan akses tidak sah ke repositori internal pada 20 Mei setelah perangkat karyawan disusupi.
Kompromi dompet adalah metode serangan kripto paling mahal pada paruh pertama tahun 2026, menyumbang $444 juta dicuri dalam 33 kasus, menurut CertiK.
Injective, sebuah layer 1 yang dapat dioperasikan untuk aplikasi DeFi, telah melihat total nilai terkunci (TVL) turun 88% dari puncaknya pada pertengahan 2024 sebesar $71 juta menjadi $8,2 juta, data DefiLlama menunjukkan. Awal tahun ini, anggota komunitas menyetujui IIP-617, mempercepat pengurangan penerbitan INJ baru sambil mempertahankan pembakaran token yang ada.
