👾 @SocketSecurity ay natuklasan ang isang masamang paglabas ng @injective SDK sa npm. Ang bersyon 1.20.21 ay naglalaman ng fakeng telemetry functionality na nagsisilang nang tahimik na i-exfiltrate ang mga private key at mnemonic phrases ng wallet sa pamamagitan ng POST requests patungo sa isang char-obfuscated endpoint na nagmumukhang legit na Injective network infrastructure. Ayon sa Socket, ang komprometadong bersyon ay na-download 310 beses, at ang parehong masamang paglabas ay natuklasan sa 17 karagdagang Injective Labs scoped packages na nakapinned sa nakakaapektong bersyon. Inirerekomenda ng mga researcher na ituring na komprometado ang anumang private key o mnemonic phrase na ipinasa sa pamamagitan ng mga pakete na ito at agad na i-rotate ang mga ito.