👾 كشف @SocketSecurity عن إصدار ضار لـ SDK الخاص بـ @injective على npm. احتوى الإصدار 1.20.21 على وظيفة تليمتري مزيفة قامت بسرقة مفاتيح المحافظ وعبارات الاسترداد بشكل سري عبر طلبات POST إلى نقطة نهاية مُشفرة بحروف وتحاكي بنية تحتية مشروعة لشبكة Injective. وفقًا لـ Socket، تم تنزيل الإصدار المخترق 310 مرات، وتم العثور على نفس الإصدار الضار عبر 17 حزمة إضافية تابعة لـ Injective Labs مُحددة بالإصدار المتأثر. يوصي الباحثون بمعاملة أي مفتاح خاص أو عبارة استرداد تم تمريرها عبر هذه الحزم على أنها مخترقة، وتبديلها فورًا.

حسنًا، الموقع الجديد لـ @injective رائع حقًا، لا يمكنني إنكار ذلك. واجهة مستخدم نظيفة، والألوان تشعر بالدفء بدلاً من الجو البارد المعتاد للمواقع الكريبتو، وهي منظمة بطريقة بسيطة جدًا. يمكن للمطورين بناء تطبيقات مالية، ويمكن للشركات جلب الأصول على السلسلة، ويمكن للمستخدمين العاديين مثلي التحقق من الإحصائيات والتجول دون أن يضيعوا. $INJ استفادت كثيرًا من هذا إعادة التصميم

تُعد هجمات سلسلة توريد البرمجيات شائعة للغاية في هذه الأيام، حيث يُستهدف أدوات المطورين الموثوقة أكثر من المستخدمين النهائيين. حالة #Injective مثال جيد.

قام قراصنة باختراق حساب GitHub لمطور في مشروع Injective، ثم نشروا حزمة npm تحتوي على برامج ضارة تُسرق المفاتيح الخاصة وعبارات الاسترداد مباشرة من وظيفة إنشاء المحافظ. . 🔑 هذه الحزمة لديها حوالي 50,000 تنزيل أسبوعيًا، وتم ربط النسخة الخطرة بـ 17 حزمة أخرى. . ⏱️ استمر الكود الخطر على النظام لأقل من ساعة، لكنه تم تنزيله أكثر من 300 مرة. . 🕵️ أشد نقطة إيلامًا: المفاتيح المسروقة تم إرسالها عبر نطاق مزيف يشبه خادم Injective الرسمي، مما جعل أنظمة الكشف تُصنفها كحركة مرور طبيعية. . 💸 أفادت CertiK أن اختراق المحافظ هو أكثر أشكال الهجوم ربحية في النصف الأول من عام 2026، حيث تسبب في خسائر إجمالية قدرها 444 مليون دولار من مجرد 33 حادثة، بمتوسط يزيد عن 13 مليون دولار لكل حادثة. . لم يتم اختراق البلوكشين، لكن المفاتيح سُرقت منذ اللحظة التي تم فيها إنشاؤها. فهل ضعف أمان العملات المشفرة في عام 2026 يكمن في الكود على السلسلة، أم في البشر الذين كتبوه؟