자금 위험 없음: 인젝티브, npm 패키지 위협 기각

인젝티브는 공격자들이 공식 npm 개발자 패키지 18개에 지갑 키 탈취 코드를 심은 후 사용자 자금이 침해되었다는 우려를 기각했습니다. 

한편, 보안 기업들은 이 공격이 소프트웨어를 통과하는 개인 키와 시드 구문을 노출시켰다고 경고합니다.

인젝티브에서 무슨 일이? 

인젝티브에 대한 공격은 두 개의 악성 코드 변경 이 이전에 프로젝트에 기여한 실제 개발자인 'thomasRalee'라는 이름으로 메인 코드 브랜치에 직접 푸시되면서 시작되었습니다. 

코드 리뷰나 풀 리퀘스트가 없었는데, 이는 이례적인 일입니다. 하지만 이러한 공백으로 인해 나쁜 코드가 보안 검사를 우회할 수 있었습니다.

보안 기업 소켓이 발견한 악성 코드는 지갑, 거래소 프론트 엔드, 거래 봇이 인젝티브 위에서 빌드하는 데 사용하는 TypeScript SDK인 @injectivelabs/sdk-ts의 버전 1.20.21 안에 숨겨져 있었습니다. 

공격자들은 reportedly PrivateKey.fromMnemonic() 및 PrivateKey.fromHex()에 연결된 가짜 분석 파일을 추가했는데, 이는 사용자의 시드 구문이나 원시 개인 키를 거래 서명 키로 변환하는 데 사용되는 중요한 함수입니다.

악성 함수는 trackKeyDerivation()로 명명되었으며, 'SDK 최적화'를 위해 사용자 데이터를 수집한다고 주장했지만, 실제로는 소프트웨어를 통과하는 비밀 키와 시드 구문을 훔쳐 원격 서버로 보냈습니다. 서버 주소는 공식 인젝티브 도메인처럼 위장되어 탐지를 어렵게 만들었습니다.

침해된 버전 1.20.21은 다른 17개의 공식 @injectivelabs 패키지에 고정되어 있어, 개발자가 관련 도구만 사용해도 노출될 수 있었습니다. 

나쁜 패키지가 1시간 미만만 사용 가능했음에도 불구하고, 오염된 릴리스는 300회 이상 다운로드되었습니다. 일반적으로 SDK는 주당 약 50,000회의 다운로드를 기록합니다. 이를 대체하기 위해 1.20.23으로 표시된 깨끗한 버전이 출시되었습니다.

인젝티브 랩스 사건을 목요일 X 게시물을 통해 직접 해결했다고 밝혔으며, 문제가 즉시 식별되고 해결되었다고 말했습니다. 

'자금은 결코 위험에 처하지 않았으며, 어떤 자금도 침해되지 않았습니다,'라고 인젝티브 계정은 썼습니다. 회사의 CEO 에릭 첸은 별도로 영향받은 npm 릴리스 가 더 이상 사용되지 않도록 설정(deprecated)되었고 문제가 해결되었다고 말했습니다.

소켓은 보고서 시점까지 캠페인이 완전히 봉쇄되지 않았다고 말했으며, 실제로 자금이 훔쳐졌는지 여부는 밝히지 않았습니다.

사용자는 지갑을 어떻게 보호할 수 있나요? 

개발자들은 악성 코드를 제거하기 위해 깨끗한 버전 1.20.23 또는 그 이상으로 즉시 업그레이드할 것을 권장받습니다. 스테프시큐리티는 나쁜 릴리스나 그 이후의 캐시된 사본을 가져온 애플리케이션을 사용하는 사람은 해당 지갑 비밀이 노출된 것으로 간주하고 회전시켜야 한다고 조언합니다. 

사용자들은 또한 package-lock.json 또는 yarn.lock 파일에서 버전 1.20.21에 대한 참조가 있는지 확인해야 합니다. 다른 패키지가 이를 자동으로 가져왔을 수 있기 때문입니다.

세르티크는 2026년 상반기 33건의 사건에서 지갑 침해로 인해 4억 4,450만 달러가 도난당했다고 보고했습니다.