I fondi non sono mai stati a rischio: Injective respinge la minaccia del pacchetto npm
- Gli hacker hanno inserito del codice per rubare le chiavi del portafoglio in 18 dei pacchetti ufficiali per sviluppatori npm di Injective.
- Socket afferma che le chiavi private e le frasi di recupero trasmesse tramite il software devono essere considerate compromesse.
- Injective e il suo CEO Eric Chen affermano che il problema è stato risolto entro un'ora e che nessun fondo della rete è stato a rischio.
Injective ha respinto le preoccupazioni relative alla compromissione dei fondi degli utenti, avvenuta dopo che alcuni hacker avevano inserito del codice per il furto delle chiavi di accesso ai portafogli in 18 dei suoi pacchetti ufficiali per sviluppatori npm.
Nel frattempo, le società di sicurezza avvertono che l'attacco ha esposto le chiavi private e le frasi di recupero utilizzate dal software.
Che fine ha fatto Injective?
L'attacco a Injective è iniziato quando due modifiche dannose al codice sono state inviate direttamente al ramo principale del codice sorgente con il nome di "thomasRalee", un vero sviluppatore che aveva precedentemente contribuito al progetto.
Non è stata effettuata alcuna revisione del codice né richiesta di pull, il che è insolito, ma questa lacuna ha permesso al codice dannoso di eludere i controlli di sicurezza.
Il codice dannoso, scoperto dalla società di sicurezza Socket, era nascosto all'interno della versione 1.20.21 di @injectivelabs/sdk-ts, l'SDK TypeScript utilizzato da wallet, interfacce di exchange e bot di trading per la creazione di applicazioni su Injective.
Secondo quanto riferito, gli aggressori hanno aggiunto un file di analisi fasullo che si agganciava alle funzioni PrivateKey.fromMnemonic() e PrivateKey.fromHex(), entrambe fondamentali per trasformare la frase di recupero o la chiave privata grezza di un utente in una chiave di firma per le transazioni.
La funzione dannosa si chiamava trackKeyDerivation() e dichiarava di raccogliere dati utente per "l'ottimizzazione dell'SDK", ma in realtà rubava le chiavi segrete e le frasi di recupero che venivano trasmesse attraverso il software e le inviava a un server remoto. L'indirizzo del server era stato camuffato in modo da sembrare un dominio ufficiale di Injective, rendendolo più difficile da rilevare.
La versione compromessa 1.20.21 è stata bloccata su altri 17 pacchetti ufficiali di @injectivelabspackages, il che significa che gli sviluppatori potrebbero essere esposti anche se utilizzano solo uno strumento correlato.
Nonostante i pacchetti difettosi siano stati disponibili per meno di un'ora, la versione compromessa è stata scaricata più di 300 volte. Normalmente, l'SDK registra circa 50.000 download settimanali. Sono state rilasciate versioni pulite, denominate 1.20.23, per sostituirle.
Giovedì, in un post su X,dente risolto immediatamente. Injective Labs ha affrontato direttamente l'dent , affermando che il problema è stato
"Nessun fondo è mai stato a rischio e nessun fondo è stato compromesso", ha scritto l'account di Injective. L'amministratore delegato dell'azienda, Eric Chen, ha dichiarato separatamente che le release di npm erano state deprecate e il problema risolto.
Socket ha affermato che la campagna non era stata completamente contenuta al momento della stesura del suo rapporto e non ha specificato se fossero stati effettivamente rubati dei beni.
Come possono gli utenti proteggere i propri portafogli digitali?
Si consiglia agli sviluppatori di aggiornare immediatamente alla versione pulita 1.20.23 o successiva per rimuovere il codice dannoso. StepSecurity raccomanda a chiunque la cui applicazione abbia scaricato la versione difettosa, o una copia memorizzata nella cache, di considerare i segreti del portafoglio modificati come esposti e di ruotarli.
Si consiglia inoltre agli utenti di controllare i file package-lock.json o yarn.lock per eventuali riferimenti alla versione 1.20.21, poiché altri pacchetti potrebbero averla scaricatamatic.
Secondo CertiK, nella prima metà del 2026 sono stati rubati 444,5 milioni di dollari a seguito di compromissioni dei portafogli digitali, in 33 episodident.
Le menti più brillanti del mondo delle criptovalute leggono già la nostra newsletter. Vuoi partecipare? Unisciti a loro.
Domande frequenti
Quali pacchetti npm di Injective sono stati compromessi?
La versione dannosa 1.20.21 è stata distribuita all'interno di `@injectivelabs/sdk-ts`, che conteneva il payload, ed è stata bloccata su altri 17 pacchetti nell'ambito npm di Injective Labs, per un totale di 18 pacchetti.
Come hanno fatto gli aggressori a rubare le chiavi del portafoglio?
Socket ha scoperto che il codice era agganciato alle funzioni di generazione delle chiavi dell'SDK e, tramite una finta funzione di telemetria chiamata `trackKeyDerivation()`, ha catturato le chiavi private e le frasi di recupero prima di inviarle a un server mascherato da indirizzo Injective.
Cosa dovrebbero fare gli sviluppatori che utilizzano la versione interessata?
Aggiorna alla versione pulita 1.20.23, considera compromessa qualsiasi chiave privata o frase di recupero che sia passata attraverso il pacchetto e ruotala, e verifica la presenza di dipendenze transitive che potrebbero aver incluso l'SDK difettoso.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi dieci anni di esperienza nella scrittura di blog e nella cronaca di eventi nel settore delle criptovalute. Collabora con Cryptopolitan, occupandosi della pagina notizie e analizzando gli ultimi sviluppi in ambito DeFi, RWA, regolamentazione delle criptovalute, intelligenza artificiale e tecnologie all'avanguardia. Si è laureata in Economia aziendale presso l'Università di Arcadia.
