I fondi non erano mai a rischio: Injective respinge la minaccia del pacchetto npm
- Gli attaccanti hanno iniettato codice per il furto delle chiavi del portafoglio in 18 dei pacchetti npm ufficiali degli sviluppatori di Injective.
- Socket afferma che le chiavi private e le frasi di recupero transitate tramite il software devono essere considerate compromesse.
- Injective e l'CEO Eric Chen dichiarano che il problema è stato risolto nell'arco di un'ora e che nessun fondo della rete era a rischio.
Injective ha respinto le preoccupazioni che i fondi degli utenti fossero compromessi dopo che gli attaccanti hanno inserito codice per il furto di chiavi del portafoglio in 18 dei suoi pacchetti npm ufficiali per sviluppatori.
Nel frattempo, le società di sicurezza avvertono che l'attacco ha esposto le chiavi private e le frasi seed che sono passate attraverso il software.
Cos'è successo a Injective?
L'attacco a Injective è iniziato quando due modifiche al codice malevolo sono state pushate direttamente nel branch principale del codice sotto il nome di “thomasRalee”, che è un vero sviluppatore che aveva precedentemente contribuito al progetto.
Non c'è stato alcun code review o pull request, il che è insolito, ma questa lacuna ha permesso al codice dannoso di bypassare i controlli di sicurezza.
Il codice malevolo, trovato dalla società di sicurezza Socket, era nascosto all'interno della versione 1.20.21 di @injectivelabs/sdk-ts, l'SDK TypeScript che portafogli, interfacce front-end di exchange e bot di trading usano per costruire su Injective.
Gli attaccanti avrebbero aggiunto un file di analytics falso che si agganciava a PrivateKey.fromMnemonic() e PrivateKey.fromHex(), entrambe funzioni critiche utilizzate per trasformare la frase seed di un utente o la chiave privata grezza in una chiave di firma per le transazioni.
La funzione malevola era chiamata trackKeyDerivation(), e sosteneva di raccogliere dati utente per l'“ottimizzazione dell'SDK”, ma in realtà rubava le chiavi segrete e le frasi seed che passavano attraverso il software e le inviava a un server remoto. L'indirizzo del server era mascherato per sembrare un dominio ufficiale di Injective, rendendolo più difficile da rilevare.
La versione compromessa 1.20.21 era vincolata su altri 17 pacchetti ufficiali @injectivelabs, il che significa che gli sviluppatori potevano essere esposti anche se utilizzavano solo uno strumento correlato.
Nonostante il fatto che i pacchetti dannosi fossero disponibili per meno di un'ora, la release contaminata è stata scaricata più di 300 volte. Normalmente, l'SDK vede circa 50.000 download settimanali. Le versioni pulite, etichettate 1.20.23, sono state rilasciate per sostituirle.
Injective Labs ha affrontato l'incidente direttamente in un post su X giovedì, affermando che il problema è stato identificato e risolto immediatamente.
“Nessun fondo è mai stato a rischio e nessun fondo è stato compromesso”, ha scritto l'account di Injective. Il CEO dell'azienda, Eric Chen, ha detto separatamente che le release npm erano state deprecate e il problema risolto.
Socket ha detto che la campagna non era stata completamente contenuta al momento del suo rapporto e non ha detto se alcune attività fossero state effettivamente rubate.
Come possono gli utenti proteggere i loro portafogli?
Si consiglia agli sviluppatori di aggiornare immediatamente alla versione pulita 1.20.23 o successiva per rimuovere il codice malevolo. StepSecurity ha consigliato che chiunque la cui applicazione abbia prelevato la release dannosa, o una copia in cache da allora, dovrebbe trattare i segreti del portafoglio che ha toccato come esposti e ruotarli.
Si consiglia anche agli utenti di controllare i file package-lock.json o yarn.lock per qualsiasi riferimento alla versione 1.20.21, poiché altri pacchetti potrebbero averla prelevata automaticamente.
CertiK ha riportato che i compromessi dei portafogli rappresentano 444,5 milioni di dollari rubati attraverso 33 incidenti nella prima metà del 2026.
Non limitarti a leggere le notizie sulle criptovalute. Comprendile. Iscriviti alla nostra newsletter. È gratuita.
Domande frequenti
Quali pacchetti npm di Injectine sono stati compromessi?
La versione malevola 1.20.21 è stata distribuita all'interno di `@injectivelabs/sdk-ts`, che trasportava il payload, ed è stata bloccata su altri 17 pacchetti nell'ambito npm di Injective Labs, per un totale di 18 pacchetti.
Come hanno fatto gli attaccanti a rubare le chiavi del portafoglio?
Socket ha rilevato che il codice era agganciato alle funzioni di generazione delle chiavi dell'SDK e, sotto una falsa funzione di telemetria chiamata `trackKeyDerivation()`, catturava le chiavi private e le frasi di recupero prima di inviarle a un server mascherato da indirizzo Injective.
Cosa dovrebbero fare gli sviluppatori che hanno utilizzato la versione interessata?
Aggiornare alla versione pulita 1.20.23, considerare compromesse qualsiasi chiave privata o frase di recupero transitata attraverso il pacchetto e ruotarla, e verificare le dipendenze transitive che potrebbero aver incluso il SDK dannoso.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
