👾 @SocketSecurity a détecté une version malveillante du SDK @injective sur npm. La version 1.20.21 contenait une fonctionnalité de témoignage falsifiée qui exfiltrait silencieusement les clés privées et les phrases mnémotechniques des wallets via des requêtes POST vers un endpoint masqué, se faisant passer pour une infrastructure légitime du réseau Injective. Selon Socket, cette version compromise a été téléchargée 310 fois, et la même publication malveillante a été retrouvée dans 17 autres packages liés à Injective Labs, verrouillés sur la version affectée. Les chercheurs recommandent de considérer toute clé privée ou phrase mnémotechnique passée par ces packages comme compromise et de les faire pivoter immédiatement.