Зловмисне оновлення пакету розробника Injective викрило приватні ключі та початкові фрази після того, як його завантажили понад 300 разів, виявила компанія Socket.

За даними охоронної фірми Socket, версія 1.20.21 npm-пакету @injectivelabs/sdk-ts, який має близько 50 000 завантажень на тиждень, була змінена після компрометації облікового запису розробника на GitHub. Підозрілі комміти почалися 8 червня, і зловмисний реліз згодом був закріплений у 17 інших пакетах під маркою Injective Labs npm.

Охоронна фірма заявила, що код перехоплював функції генерації ключів гаманців, записував приватні ключі та фрази відновлення, а потім кодував дані та надсилав їх через фальшиву телеметрію на веб-адресу, що імітувала сервер Injective.

«Будь-які ключі або мнемонічні фрази, що пройшли через скомпрометовані пакети, слід вважати скомпрометованими», — заявила Socket, попереджаючи, що додатки могли бути скомпрометовані, навіть якщо вони не встановлювали SDK безпосередньо.

Хоча скомпрометований розробник швидко виявив вторгнення, а зловмисна версія пакета була видалена, Socket заявила, що кампанія ще не була повністю локалізована.

Генеральний директор Injective Ерік Чен заявив, що скомпрометовані npm-релізи були застарілими, а проблему виправлено. Чен додав, що кошти в мережі Injective не були під загрозою, тоді як Socket не повідомила, чи призвело шкідливе програмне забезпечення до викрадення активів.

Розробники стають мішенню

Замість того, щоб атакувати криптографію блокчейну або смарт-контракти, операція була націлена на програмне забезпечення, яке розробники використовують для створення гаманців, обмінників та додатків. Security Alliance у своєму звіті про загрози за другий квартал заявила, що зловмисники дедалі частіше використовують платформи, такі як GitHub, npm і Google, для поширення шкідливого програмного забезпечення.

У деяких випадках, за словами SEAL, скомпрометовані машини використовувалися для впровадження шкідливого коду у власні репозиторії GitHub компанії, що дозволило одному витоку стати каналом для подальшого розповсюдження. У звіті також згадуються багатоплатформні пакети шкідливого ПЗ, що поєднують викрадачі інформації, троянські програми віддаленого доступу та бекдори, включаючи зростання кількості кампаній, націлених на macOS.

npm-релізи Axios були уражені подібною атакою на ланцюг поставок у березні, тоді як кампанія TrapDoor, виявлена в травні, націлена на розробників, які працюють у сфері крипто, DeFi, штучного інтелекту та безпеки. GitHub також повідомив про несанкціонований доступ до внутрішніх репозиторіїв 20 травня після компрометації пристрою співробітника.

Компрометації гаманців були найдорожчим методом криптоатак у першій половині 2026 року, становлячи 444 мільйони доларів, викрадених у 33 випадках, за даними CertiK.

Injective, сумісний блокчейн рівня 1 для додатків DeFi, спостерігав падіння загальної заблокованої вартості (TVL) на 88% з піку в 71 мільйон доларів у середині 2024 року до 8,2 мільйона доларів, показують дані DefiLlama. Раніше цього року члени спільноти схвалили IIP-617, що прискорює зменшення випуску нових INJ при збереженні існуючих спалювань токенів.