Nakuhang ng hacker ang GitHub account ng developer sa proyekto ng Injective at inilabas ang isang npm package na may embedded malware na nag-uukol ng private key at seed phrase diretso mula sa wallet generation function. 🔑 Ang package na ito ay may halos 50,000 downloads bawat linggo, at ang mapanganib na bersyon ay naka-link sa 17 karagdagang package. ⏱️ Ang mapanganib na code ay nasa sistema nang higit sa isang oras, ngunit nakaload na ito nang higit sa 300 beses. 🕵️ Ang pinakamalalim na punto: ang mga natanggap na key ay inilabas sa pamamagitan ng isang fake domain na nakakatulad sa opisyal na server ng Injective, kaya ito ay tinuturing ng detection system bilang normal na traffic. 💸 Ayon sa CertiK, ang Wallet Compromise ay ang pinakamalaking kita sa mga anyo ng pag-atake sa unang kalahati ng 2026, na nagdulot ng kabuuang pagkawala ng $444 milyon mula sa tanging 33 insidente, na nagbibigay ng average na higit sa $13 milyon bawat pag-atake. Hindi nahack ang blockchain, ngunit kinuha ang mga key agad noong sila ay nilikha. Sa ganitong sitwasyon, saan ba talaga ang kahinaan ng crypto security noong 2026—sa code sa chain, o sa mga tao na sumulat nito?