Исследователи Socket нашли взлом пакета Injective SDK npm версии 1.20.21 — вредонос перехватывал сид-фразы и приватные ключи кошельков.
Происшествие связан с компрометацией GitHub-профиля разраба. Подозрительные коммиты, по данным Socket, возникли 8 июня 2026 года.
Вредный выпуск заменял функции деривации ключей, сохранял приватные ключи и сид-фразы, после этого высылал их через поддельную телеметрию на адрес, замаскированный под сервер Injective.
Socket также зафиксировала версию 1.20.21 еще в 17 пакетах из места имен Injective Labs в npm. Это могло коснуться и тех пользователей, кто не устанавливал SDK впрямую.
Исследователи выступили с рекомендациями считать дискредитированными любые ключи и сид-фразы, прошедших через затронутые пакеты. По данным Socket, вредоносную версию скачали более 300 раз. Кибервзлом ко времени публикации всецело локализовать не получилось.
Глава Injective Эрик Чен сообщил, что дилемму убрали, а затронутые версии в npm отметили как устаревшие. Как он сообщил, средства в сети не находятся под страхом. Socket не сказала о удостоверенной хищению средств.
It’s already fixed and the affected versions on npm are already deprecated. No funds at risk https://t.co/BrjnjVnUW6
— Ericchen.inj (@ericinjective) July 9, 2026
Подчеркнём, в июле специалисты CertiK назвали компрометацию кошельков самым драгоценным вектором нападений в первом полугодии 2026 года — утраты составили $444,5 млн в 33 происшествиях.