Хакеры взломали аккаунт GitHub разработчика проекта Injective и выпустили npm-пакет с встроенным вредоносным кодом, который крадет приватные ключи и seed-фразы прямо из функций создания кошелька. 🔑 Этот пакет скачивали около 50 000 раз в неделю, а опасная версия была интегрирована еще в 17 других пакетов. ⏱️ Вредоносный код находился в системе менее одного часа, но уже был загружен более 300 раз. 🕵️ Самый уязвимый момент: украшенные ключи отправлялись через поддельный домен, имитирующий официальный сервер Injective, что заставляло системы обнаружения считать трафик обычным. 💸 CertiK сообщает, что компрометация кошелька — самый прибыльный тип атак в первой половине 2026 года: общий ущерб составил 444 миллиона долларов всего от 33 инцидентов, в среднем более 13 миллионов долларов за один случай. Блокчейн не был взломан — ключи были украдены в тот же момент, когда они были созданы. Тогда где уязвимость криптобезопасности в 2026 году: в коде на цепочке или в людях, его написавших?