👾 @SocketSecurity ha detectado una liberación maliciosa del SDK de @injective en npm. La versión 1.20.21 contenía una funcionalidad de telemetría falsa que exfiltraba silenciosamente las claves privadas y frases mnemotécnicas del monedero mediante solicitudes POST a un endpoint enmascarado con caracteres obfuscados, fingiendo ser infraestructura legítima de la red Injective. Según Socket, esta versión comprometida se descargó 310 veces, y la misma liberación maliciosa se encontró en 17 paquetes adicionales con alcance en Injective Labs que estaban fijados a la versión afectada. Los investigadores recomiendan tratar cualquier clave privada o frase mnemotécnica transmitida a través de estos paquetes como comprometida y rotarlos inmediatamente.

Bien, el nuevo sitio de @injective es realmente bueno, no lo voy a negar. Interfaz limpia, los colores transmiten calidez en lugar de la típica sensación fría de los sitios de cripto, y está organizado de forma muy sencilla. Los desarrolladores pueden crear aplicaciones financieras, las empresas pueden traer activos a la cadena, y usuarios normales como yo podemos consultar estadísticas y explorar sin perdernos. $INJ ganó con este rediseño

Los ataques a la cadena de suministro de software están de moda en estos días, con atacantes que cada vez más apuntan a herramientas de desarrollo confiables en lugar de usuarios finales. El caso de #Injective es un buen ejemplo.

Los hackers comprometieron la cuenta de GitHub de un desarrollador del proyecto Injective y publicaron un paquete npm con una versión que contiene malware diseñado para robar Private Keys y frases semilla directamente desde la función de creación de monederos. . 🔑 Este paquete tiene alrededor de 50,000 descargas semanales, y la versión peligrosa está vinculada a otros 17 paquetes. . ⏱️ El código malicioso estuvo en línea menos de una hora, pero ya se descargó más de 300 veces. . 🕵️ El punto más crítico: las claves robadas se enviaban a través de un dominio falsificado que imitaba los servidores oficiales de Injective, haciendo que los sistemas de detección las consideraran tráfico legítimo. . 💸 CertiK indica que el compromiso de monederos fue el ataque más rentable del primer semestre de 2026, con pérdidas totales de 444 millones de dólares en solo 33 incidentes, promediando más de 13 millones de dólares por ataque. . La blockchain no fue hackeada; las claves fueron robadas en el momento mismo en que se crearon. Entonces, ¿dónde está la debilidad de la seguridad cripto en 2026: en el código en la cadena o en las personas que lo escribieron?