forklog.com
+ 1 больше
10 Июль 2026 17:31, UTC
Исследователи Socket обнаружили взлом пакета Injective SDK npm версии 1.20.21 — вредонос перехватывал сид-фразы и приватные ключи кошельков.
Инцидент связан с компрометацией GitHub-аккаунта разработчика. Подозрительные коммиты, по данным Socket, появились 8 июня 2026 года.
Вредоносный релиз подменял функции деривации ключей, сохранял приватные ключи и сид-фразы, после чего отправлял их через поддельную телеметрию на адрес, замаскированный под сервер Injective.
4,8 на основе 40 К оценок в App Store и Google Play
Socket также зафиксировала версию 1.20.21 еще в 17 пакетах из пространства имен Injective Labs в npm. Это могло затронуть и тех пользователей, кто не устанавливал SDK напрямую.
Исследователи рекомендовали считать скомпрометированными любые ключи и сид-фразы, которые прошли через затронутые пакеты. По данным Socket, вредоносную версию скачали не менее 300 раз. Хакерскую атаку к моменту публикации полностью локализовать не удалось.
Глава Injective Эрик Чен заявил, что проблему устранили, а затронутые версии в npm пометили как устаревшие. По его словам, средства в сети не находятся под угрозой. Socket не сообщила о подтвержденной краже денег.
It’s already fixed and the affected versions on npm are already deprecated. No funds at risk https://t.co/BrjnjVnUW6
— Ericchen.inj (@ericinjective) July 9, 2026
Напомним, в июле аналитики CertiK назвали компрометацию кошельков самым дорогим вектором атак в первом полугодии 2026 года — потери составили $444,5 млн в 33 инцидентах.
