資金はリスクにさらされていません：Injective、npm パッケージの脅威を退ける

Injectiveは、攻撃者が公式のnpm開発者パッケージ18個にウォレットキー窃取コードを仕込んだ後、ユーザー資金が侵害されたという懸念を退けました。 

一方、セキュリティ企業は、この攻撃がソフトウェアを通過する秘密鍵とシードフレーズを暴露したと警告しています。

Injectiveで何が起こったのか？ 

Injectiveへの攻撃は、2つの 悪意のあるコード変更 が、以前にプロジェクトに貢献した実在の開発者である「thomasRalee」という名前でメインコードブランチに直接プッシュされたことから始まりました。 

コードレビューやプルリクエストはありませんでした。これは異常ですが、このギャップにより悪意のあるコードがセキュリティチェックを回避することができました。

セキュリティ企業Socketによって発見された悪意のあるコードは、@injectivelabs/sdk-tsのバージョン1.20.21の中に隠されており、これはウォレット、取引所のフロントエンド、および取引ボットがInjective上で構築するために使用するTypeScript SDKです。 

攻撃者は、ユーザーのシードフレーズまたは生の秘密鍵をトランザクションの署名鍵に変換するために使用される重要な機能であるPrivateKey.fromMnemonic()およびPrivateKey.fromHex()にフックする偽の分析ファイルを追加したと報告されています。

悪意のある関数はtrackKeyDerivation()と名付けられ、「SDKの最適化」のためにユーザーデータを収集すると主張していましたが、実際には、ソフトウェアを通過する秘密鍵とシードフレーズを盗み、リモートサーバーに送信しました。サーバーのアドレスは公式のInjectiveドメインのように偽装されており、検出が困難になっていました。

改ざんされたバージョン1.20.21は、17の他の公式@injectivelabspackagesパッケージにも固定されていました。これは、開発者が関連ツールのみを使用していた場合でも、リスクにさらされる可能性があることを意味します。 

悪意のあるパッケージが利用可能だったのは1時間未満でしたが、汚染されたリリースは 300回以上ダウンロードされました。通常、SDKの週次ダウンロード数は約5万回です。クリーンなバージョン（ラベル1.20.23）がそれらと置き換えるためにリリースされました。

Injective Labs は 木曜日にX（旧Twitter）での投稿でこのインシデントに直接対応し、問題は特定され、直ちに解決されたと述べています。 

「資金にリスクはなかったし、資金が侵害されることもなかった」とInjectiveのアカウントは書き込みました。同社のCEO、Eric Chen氏は別に、影響を受けた npmリリース は非推奨となり、問題は修正されたと述べています。

Socketは、キャンペーンは報告時点では完全に封じ込められておらず、実際に資産が盗まれたかどうかについては言及しませんでした。

ユーザーはウォレットをどのように保護できますか？ 

開発者は、悪意のあるコードを除去するために、直ちにクリーンなバージョン1.20.23以降にアップグレードすることをお勧めします。 StepSecurityは 、悪意のあるリリース、またはそれ以降にキャッシュされたコピーを取得したアプリケーションを持つ人は、そのアプリケーションが接触したウォレットの秘密情報を侵害されたものとして扱い、それらをローテーション（変更）すべきだと助言しています。 

また、他のパッケージが自動的にこれを取得している可能性があるため、package-lock.jsonまたはyarn.lockファイルでバージョン1.20.21への参照がないか確認することをお勧めします。

CertiKは、2026年上半期の33件のインシデントで、ウォレット侵害により4億4450万ドルが盗まれたと報告しています。