👾 @SocketSecurity detectou uma versão maliciosa do SDK do @injective no npm. A versão 1.20.21 continha funcionalidade falsa de telemetria que exfiltrava silenciosamente chaves privadas e frases mnemônicas da carteira por meio de requisições POST para um endpoint mascarado, obfuscado com caracteres, fingindo ser infraestrutura legítima da rede Injective. Segundo o Socket, a versão comprometida foi baixada 310 vezes, e a mesma versão maliciosa foi encontrada em mais 17 pacotes vinculados ao Injective Labs que apontavam para a versão afetada. Pesquisadores recomendam tratar qualquer chave privada ou frase mnemônica passada por meio desses pacotes como comprometida e trocá-las imediatamente.

Ok, o novo site do @injective é realmente muito bom, não vou mentir. UI limpa, as cores transmitem uma sensação acolhedora, em vez da típica vibe fria dos sites de cripto, e está organizado de forma muito simples. Desenvolvedores podem criar aplicativos financeiros, empresas podem trazer ativos para a blockchain e usuários comuns, como eu, podem verificar estatísticas e explorar sem se perder. $INJ ganhou com esse redesign

Ataques à cadeia de suprimentos de software estão em alta nos dias de hoje, com atacantes cada vez mais visando ferramentas de desenvolvedores confiáveis em vez de usuários finais. O caso do #Injective é um bom exemplo.

Hackers comprometeram a conta do GitHub de um desenvolvedor do projeto Injective e lançaram um pacote npm com versão infectada por malware que rouba Private Keys e frases semente diretamente da função de criação de carteira. 🔑 Este pacote tem cerca de 50.000 downloads por semana, e a versão perigosa foi vinculada a outros 17 pacotes. ⏱️ O código malicioso permaneceu no sistema por menos de uma hora, mas já foi baixado mais de 300 vezes. 🕵️ O ponto mais crítico: as chaves roubadas foram enviadas por meio de um domínio falsificado que imita o servidor oficial da Injective, fazendo com que os sistemas de detecção as considerassem tráfego legítimo. 💸 A CertiK afirmou que a compromissão de carteira foi o tipo de ataque mais lucrativo do primeiro semestre de 2026, com prejuízos totais de US$ 444 milhões em apenas 33 incidentes — uma média de mais de US$ 13 milhões por ocorrência. A blockchain não foi hackeada; as chaves foram roubadas no exato momento em que foram criadas. Nesse cenário, a segurança cripto em 2026 tem sua fraqueza no código na cadeia ou nos humanos que o escreveram?