Gelder waren niemals gefährdet: Injective weist npm-Paket-Bedrohung zurück
- Angreifer haben Code, der Wallet-Schlüssel stiehlt, in 18 offizielle npm-Entwicklerpakete von Injective eingeschleust.
- Socket warnt: Private Schlüssel und Seed-Phrasen, die über die Software liefen, müssen als kompromittiert betrachtet werden.
- Injective und CEO Eric Chen bestätigen, dass das Problem innerhalb einer Stunde behoben wurde und keine Netzwerk-Gelder gefährdet waren.
Injective hat Bedenken zurückgewiesen, dass Kundengelder kompromittiert wurden, nachdem Angreifer Code zum Diebstahl von Wallet-Schlüsseln in 18 seiner offiziellen npm-Entwicklerpakete eingebaut hatten.
Inzwischen warnen Sicherheitsfirmen, dass der Angriff die privaten Schlüssel und Seed-Phrasen offengelegt hat, die durch die Software liefen.
Was ist mit Injective passiert?
Der Angriff auf Injective begann, als zwei bösartige Code-Änderungen direkt in den Hauptcode-Zweig unter dem Namen „thomasRalee“ hochgeladen wurden, ein echter Entwickler, der zuvor zu dem Projekt beigetragen hatte.
Es gab keine Code-Überprüfung oder Pull-Request, was ungewöhnlich ist, aber diese Lücke ermöglichte es, den schädlichen Code an den Sicherheitschecks vorbeizuschleusen.
Der bösartige Code, gefunden von der Sicherheitsfirma Socket, war in Version 1.20.21 von @injectivelabs/sdk-ts versteckt, dem TypeScript-SDK, das Wallets, Börsen-Frontends und Trading-Bots nutzen, um auf Injective aufzubauen.
Berichten zufolge fügten die Angreifer eine gefälschte Analytik-Datei hinzu, die in PrivateKey.fromMnemonic() und PrivateKey.fromHex() eingriff, beide kritische Funktionen, die verwendet werden, um eine Seed-Phrase oder einen rohen privaten Schlüssel eines Nutzers in einen Signierschlüssel für Transaktionen umzuwandeln.
Die bösartige Funktion hieß trackKeyDerivation() und behauptete, Nutzerdaten für „SDK-Optimierung“ zu sammeln, stahl in Wirklichkeit jedoch die geheimen Schlüssel und Seed-Phrasen, die durch die Software liefen, und sendete sie an einen Remote-Server. Die Serveradresse war so getarnt, dass sie wie eine offizielle Injective-Domain aussah, was die Erkennung erschwerte.
Die kompromittierte Version 1.20.21 wurde in 17 weiteren offiziellen @injectivelabs-Paketen fest verankert, was bedeutet, dass Entwickler gefährdet sein könnten, selbst wenn sie nur ein verwandtes Tool nutzten.
Trotz der Tatsache, dass die schädlichen Pakete weniger als eine Stunde lang verfügbar waren, wurde die kontaminierte Version mehr als 300 Mal heruntergeladen. Normalerweise sieht das SDK etwa 50.000 wöchentliche Downloads. Saubere Versionen, gekennzeichnet als 1.20.23, wurden veröffentlicht, um sie zu ersetzen.
Injective Labs ging dem Vorfall direkt in einem Post auf X am Donnerstag nach und sagte, dass das Problem sofort identifiziert und behoben wurde.
„Keine Gelder waren jemals gefährdet, und keine Gelder wurden kompromittiert“, schrieb das Injective-Konto. Der CEO des Unternehmens, Eric Chen, sagte separat, dass die betroffenen npm-Veröffentlichungen als veraltet markiert und das Problem behoben wurden.
Socket sagte, dass die Kampagne zum Zeitpunkt ihres Berichts nicht vollständig eingedämmt war, und gab nicht an, ob tatsächlich Vermögenswerte gestohlen wurden.
Wie können Nutzer ihre Wallets schützen?
Entwicklern wird geraten, sofort auf die saubere Version 1.20.23 oder höher zu aktualisieren, um den bösartigen Code zu entfernen. StepSecurity riet dass jeder, dessen Anwendung die schlechte Version oder eine zwischengespeicherte Kopie davon gezogen hat, die berührten Wallet-Geheimnisse als kompromittiert behandeln und sie rotieren sollte.
Nutzern wird auch geraten, package-lock.json- oder yarn.lock-Dateien auf Verweise auf Version 1.20.21 zu überprüfen, da andere Pakete sie automatisch eingebunden haben könnten.
CertiK berichtete, dass Wallet-Kompromittierungen im ersten Halbjahr 2026 444,5 Millionen US-Dollar aus 33 Vorfällen ausmachten.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Welche Injective-npm-Pakete wurden kompromittiert?
Die bösartige Version 1.20.21 wurde in `@injectivelabs/sdk-ts` ausgeliefert, welches die Schadcode-Funktion enthielt, und war in 17 weiteren Paketen im Injective-Labs-npm-Bereich verankert – insgesamt also 18 Pakete.
Wie haben die Angreifer die Wallet-Schlüssel gestohlen?
Socket entdeckte, dass der Code in die Schlüsselerzeugungsfunktionen des SDKs eingebunden war und unter dem gefälschten Telemetrie-Funktionsnamen `trackKeyDerivation()` private Schlüssel und Seed-Phrasen abfing, bevor sie an einen Server gesendet wurden, der sich als Injective-Adresse tarnte.
Was sollten Entwickler tun, die die betroffene Version verwendet haben?
Aktualisieren Sie auf die saubere Version 1.20.23, betrachten Sie alle privaten Schlüssel oder Seed-Phrasen, die über das Paket liefen, als kompromittiert und rotieren Sie diese, und prüfen Sie transitive Abhängigkeiten, die möglicherweise das fehlerhafte SDK eingebunden haben.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
