👾 @SocketSecurity ay natuklasan ang isang masamang paglabas ng @injective SDK sa npm. Ang bersyon 1.20.21 ay naglalaman ng fakeng telemetry functionality na nagsisilang nang tahimik na i-exfiltrate ang mga private key at mnemonic phrases ng wallet sa pamamagitan ng POST requests patungo sa isang char-obfuscated endpoint na nagmumukhang legit na Injective network infrastructure. Ayon sa Socket, ang komprometadong bersyon ay na-download 310 beses, at ang parehong masamang paglabas ay natuklasan sa 17 karagdagang Injective Labs scoped packages na nakapinned sa nakakaapektong bersyon. Inirerekomenda ng mga researcher na ituring na komprometado ang anumang private key o mnemonic phrase na ipinasa sa pamamagitan ng mga pakete na ito at agad na i-rotate ang mga ito.

Ok, ang bagong site ng @injective ay talagang napakaganda, hindi ko iiwasan. Malinis na UI, ang mga kulay ay mainit kaysa sa karaniwang malamig na vibe ng mga crypto site, at napakasimple ang layout. Maaaring mag-build ang mga developer ng financial apps, maaaring dalhin ng mga korporasyon ang kanilang mga asset sa blockchain, at maaaring tingnan ng mga karaniwang user tulad ko ang mga estadistika at mag-explore nang hindi mawawala. $INJ ay kumain ng pagbabagong ito

Ang mga pag-atake sa software supply chain ay nasa puncito ngayon, kung saan mas karaniwang tinutukoy ng mga attacker ang mga tiwalaing kasangkapan ng developer kaysa sa mga huling gumagamit. Ang kaso ng #Injective ay isang magandang halimbawa.

Nakuhang ng hacker ang GitHub account ng developer sa proyekto ng Injective at inilabas ang isang npm package na may embedded malware na nag-uukol ng private key at seed phrase diretso mula sa wallet generation function. 🔑 Ang package na ito ay may halos 50,000 downloads bawat linggo, at ang mapanganib na bersyon ay naka-link sa 17 karagdagang package. ⏱️ Ang mapanganib na code ay nasa sistema nang higit sa isang oras, ngunit nakaload na ito nang higit sa 300 beses. 🕵️ Ang pinakamalalim na punto: ang mga natanggap na key ay inilabas sa pamamagitan ng isang fake domain na nakakatulad sa opisyal na server ng Injective, kaya ito ay tinuturing ng detection system bilang normal na traffic. 💸 Ayon sa CertiK, ang Wallet Compromise ay ang pinakamalaking kita sa mga anyo ng pag-atake sa unang kalahati ng 2026, na nagdulot ng kabuuang pagkawala ng $444 milyon mula sa tanging 33 insidente, na nagbibigay ng average na higit sa $13 milyon bawat pag-atake. Hindi nahack ang blockchain, ngunit kinuha ang mga key agad noong sila ay nilikha. Sa ganitong sitwasyon, saan ba talaga ang kahinaan ng crypto security noong 2026—sa code sa chain, o sa mga tao na sumulat nito?