Los fondos nunca estuvieron en riesgo: Injective descarta la amenaza del paquete npm
- Los atacantes inyectaron código para robar claves de billetera en 18 de los paquetes oficiales de desarrolladores npm de Injective.
- Socket indica que las claves privadas y las frases semilla que pasaron por el software deben considerarse comprometidas.
- Injective y su CEO, Eric Chen, afirman que el problema se resolvió en menos de una hora y que ningún fondo de la red estuvo en riesgo.
Injective ha descartado las preocupaciones de que los fondos de los usuarios se vieran comprometidos después de que los atacantes instalaran código para robar claves de billetera en 18 de sus paquetes de desarrolladores npm oficiales.
Mientras tanto, las empresas de seguridad advierten que el ataque expuso las claves privadas y las frases semilla que pasaron a través del software.
¿Qué sucedió con Injective?
El ataque a Injective comenzó cuando dos cambios de código malicioso se enviaron directamente a la rama de código principal bajo el nombre de “thomasRalee”, quien es un desarrollador real que anteriormente había contribuido al proyecto.
No hubo revisión de código ni solicitud de extracción (pull request), lo cual es inusual, pero esta brecha permitió que el código malicioso evadiera los controles de seguridad.
El código malicioso, descubierto por la empresa de seguridad Socket, estaba oculto dentro de la versión 1.20.21 de @injectivelabs/sdk-ts, el SDK de TypeScript que utilizan las billeteras, las interfaces frontales de los intercambios y los bots de trading para construir sobre Injective.
Los atacantes reportedly añadieron un archivo de análisis falso que se conectaba a PrivateKey.fromMnemonic() y PrivateKey.fromHex(), ambas funciones críticas utilizadas para convertir la frase semilla de un usuario o la clave privada sin procesar en una clave de firma para transacciones.
La función maliciosa se llamó trackKeyDerivation(), y afirmaba recopilar datos de usuario para “optimización del SDK”, pero en realidad, robaba las claves secretas y las frases semilla que pasaban a través del software y las enviaba a un servidor remoto. La dirección del servidor estaba disfrazada para parecer un dominio oficial de Injective, lo que dificultaba su detección.
La versión comprometida 1.20.21 se fijó en otros 17 paquetes oficiales de @injectivelabs, lo que significa que los desarrolladores podrían estar expuestos incluso si solo utilizaban una herramienta relacionada.
A pesar de que los paquetes maliciosos estuvieron disponibles durante menos de una hora, el lanzamiento contaminado fue descargado más de 300 veces. Normalmente, el SDK ve alrededor de 50.000 descargas semanales. Se lanzaron versiones limpias, etiquetadas como 1.20.23, para reemplazarlas.
Injective Labs abordó el incidente directamente en una publicación en X el jueves, diciendo que el problema fue identificado y resuelto de inmediato.
“Ningún fondo estuvo nunca en riesgo, y ningún fondo se vio comprometido”, escribió la cuenta de Injective. El CEO de la empresa, Eric Chen, dijo por separado que los afectados lanzamientos de npm habían sido descontinuados y el problema solucionado.
Socket dijo que la campaña no había sido completamente contenida en el momento de su informe, y no dijo si se habían robado activos.
¿Cómo pueden los usuarios proteger sus billeteras?
Se aconseja a los desarrolladores que actualicen inmediatamente a la versión limpia 1.20.23 o posterior para eliminar el código malicioso. StepSecurity aconsejó que cualquier persona cuya aplicación haya incorporado el lanzamiento defectuoso, o una copia en caché desde entonces, debe tratar los secretos de la billetera que tocó como expuestos y rotarlos.
También se aconseja a los usuarios que verifiquen los archivos package-lock.json o yarn.lock en busca de cualquier referencia a la versión 1.20.21, ya que otros paquetes pueden haberla incorporado automáticamente.
CertiK informó que los compromisos de billeteras representan 444,5 millones de dólares robados en 33 incidentes en la primera mitad de 2026.
Si estás leyendo esto, ya vas por delante. Mantente así con nuestro boletín.
Preguntas frecuentes
¿Qué paquetes npm de Injective fueron comprometidos?
La versión maliciosa 1.20.21 fue distribuida dentro de `@injectivelabs/sdk-ts`, que contenía la carga útil, y quedó fijada en otros 17 paquetes más dentro del ámbito npm de Injective Labs, sumando un total de 18 paquetes.
¿Cómo lograron los atacantes robar las claves de la billetera?
Socket descubrió que el código estaba conectado a las funciones de generación de claves del SDK y, bajo una función de telemetría falsa llamada `trackKeyDerivation()`, capturaba las claves privadas y las frases semilla antes de enviarlas a un servidor disfrazado como una dirección de Injective.
¿Qué deben hacer los desarrolladores que utilizaron la versión afectada?
Actualicen a la versión limpia 1.20.23, consideren comprometidas cualquier clave privada o frase semilla que haya pasado por el paquete y rotéela, y verifiquen las dependencias transitivas que puedan haber incluido el SDK dañado.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
