- 攻击者将窃取钱包密钥的代码注入到 Injective 的 18 个官方 npm 开发者包中。
- Socket 表示，任何经过该软件的私钥和助记词都应被视为已泄露。
- Injective 及其首席执行官 Eric Chen 表示，问题已在小时内修复，网络资金未受任何威胁。
Injective已驳回用户资金受损的担忧，此前攻击者在其18个官方npm开发者包中植入了窃取钱包密钥的代码。
与此同时，安全公司警告称，该攻击暴露了通过软件的私钥和助记词。
Injective发生了什么？
对Injective的攻击始于两个 恶意代码更改 以“thomasRalee”的名义直接推送到主代码分支，而thomasRalee是一位此前曾为该项目做出贡献的真实开发者。
此次提交缺乏代码审查或拉取请求，这很不寻常，但这一漏洞使得恶意代码绕过了安全检查。
安全公司 Socket 发现的恶意代码隐藏在 @injectivelabs/sdk-ts 的 1.20.21 版本中，该 TypeScript SDK 被钱包、交易所前端和交易机器人用于在 Injective 上构建应用。
据报道，攻击者添加了一个伪造的分析文件，该文件挂钩到了 PrivateKey.fromMnemonic() 和 PrivateKey.fromHex()，这两个函数对于将用户的助记词或原始私钥转换为交易签名密钥至关重要。
该恶意函数名为 trackKeyDerivation()，声称是为了“SDK 优化”而收集用户数据，但实际上它窃取了通过软件传递的密钥和助记词，并将它们发送到远程服务器。服务器地址被伪装成官方的 Injective 域名，使得检测更加困难。
受污染的 1.20.21 版本被锁定在其他 17 个官方的 @injectivelabspackages 中，这意味着即使开发者只使用相关工具，也可能面临风险。
尽管恶意软件包仅存在不到一小时，但受污染的版本 被下载了超过 300 次。通常，该 SDK 每周的下载量约为 50,000 次。标记为 1.20.23 的干净版本已发布以替换它们。
Injective Labs 在周四的 X 帖子中直接 处理了此次事件，称问题已立即被发现并解决。
“资金从未处于风险之中，也没有资金被盗，”Injective 账户写道。该公司首席执行官 Eric Chen 另外表示，受影响的 npm 发布 已被弃用，问题已修复。
Socket 表示，在报告时该活动尚未完全遏制，且未说明是否有任何资产被盗。
用户如何保护他们的钱包？
建议开发人员立即升级到干净的 1.20.23 或更高版本，以移除恶意代码。 StepSecurity 建议 任何应用程序拉取了恶意版本或自那以后拉取了缓存副本的人，都应将其接触到的钱包密钥视为已泄露并进行轮换。
还建议用户检查 package-lock.json 或 yarn.lock 文件，查找对 1.20.21 版本的任何引用，因为其他软件包可能已自动拉取了它。
CertiK 报告称，在 2026 年上半年，钱包被盗占 33 起事件中损失的 4.445 亿美元。
不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。
常见问题
哪些 Injective npm 包受到了影响？
恶意版本 1.20.21 包含在 `@injectivelabs/sdk-ts` 中并携带了有效载荷，该版本被锁定在 Injective Labs npm 范围内的其他 17 个包中，共计 18 个包。
攻击者是如何窃取钱包密钥的？
Socket 发现代码挂钩到了 SDK 的密钥生成功能，并在一个名为 `trackKeyDerivation()` 的虚假遥测函数下，在发送前捕获了私钥和助记词，随后将其发送至伪装成 Injective 地址的服务器。
使用了受影响版本的开发者应该怎么做？
更新至纯净版本 1.20.23，将任何流经该包的私钥或助记词视为已泄露并进行轮换，同时检查可能引入了该问题 SDK 的传递性依赖项。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Hannah Collymore
汉娜是一位作家兼编辑，在加密货币领域拥有近十年的博客写作和活动报道经验。在Cryptopolitan，汉娜负责新闻板块，报道和分析DeFi、RWA、加密货币监管、AI和前沿科技行业的最新发展。她毕业于阿卡迪亚大学，获得工商管理学位。
