👾 @SocketSecurity a détecté une version malveillante du SDK @injective sur npm. La version 1.20.21 contenait une fonctionnalité de témoignage falsifiée qui exfiltrait silencieusement les clés privées et les phrases mnémotechniques des wallets via des requêtes POST vers un endpoint masqué, se faisant passer pour une infrastructure légitime du réseau Injective. Selon Socket, cette version compromise a été téléchargée 310 fois, et la même publication malveillante a été retrouvée dans 17 autres packages liés à Injective Labs, verrouillés sur la version affectée. Les chercheurs recommandent de considérer toute clé privée ou phrase mnémotechnique passée par ces packages comme compromise et de les faire pivoter immédiatement.

D'accord, le nouveau site @injective est vraiment très bien, je ne vais pas le nier. Une interface propre, des couleurs chaleureuses plutôt que l'ambiance froide habituelle des sites crypto, et une présentation très simple. Les développeurs peuvent créer des applications financières, les entreprises peuvent mettre des actifs sur chaîne, et les utilisateurs normaux comme moi peuvent consulter les statistiques et explorer sans se perdre. $INJ a gagné avec cette refonte

Les attaques de la chaîne d’approvisionnement logicielle sont à la mode en ce moment, les attaquants ciblant plus fréquemment des outils de développement de confiance que les utilisateurs finaux. Le cas de #Injective en est un bon exemple.

Des pirates ont pris le contrôle du compte GitHub d’un développeur du projet Injective et ont publié un package npm contenant un malware conçu pour voler les clés privées et les phrases secrètes directement depuis les fonctions de création de wallet. . 🔑 Ce package a été téléchargé environ 50 000 fois par semaine, et la version dangereuse a été intégrée à 17 autres packages. . ⏱️ Le code malveillant était présent sur le système moins d’une heure, mais il avait déjà été téléchargé plus de 300 fois. . 🕵️ Le point le plus critique : les clés volées étaient envoyées via un domaine falsifié imitant le serveur officiel d’Injective, ce qui faisait apparaître le trafic comme normal aux systèmes de détection. . 💸 CertiK indique que les compromissions de wallet sont la forme d’attaque la plus rentable du premier semestre 2026, avec des pertes totales de 444 millions de dollars provenant de seulement 33 incidents, soit en moyenne plus de 13 millions de dollars par attaque. . La blockchain n’a pas été piratée, mais les clés ont été volées dès leur création. Dans ce cas, la faille de sécurité des crypto-monnaies en 2026 réside-t-elle dans le code sur la chaîne ou dans les humains qui l’ont écrit ?