👾 @SocketSecurity обнаружил вредоносную версию SDK @injective на npm. В версии 1.20.21 содержалась фальшивая функциональность телеметрии, которая тайно экспортировала приватные ключи и мнемонические фразы кошельков через POST-запросы на endpoint, замаскированный под легитимную инфраструктуру сети Injective. Согласно данным Socket, эта скомпрометированная версия была скачана 310 раз, и аналогичная вредоносная версия была обнаружена в еще 17 пакетах, связанных с Injective Labs, которые были зафиксированы на затронутой версии. Исследователи рекомендуют считать все приватные ключи и мнемонические фразы, прошедшие через эти пакеты, скомпрометированными, и немедленно их сменить.

Ладно, новый сайт @injective действительно очень приятный, не скрою. Чистый интерфейс, цвета кажутся тёплыми, а не холодными, как у обычных крипто-сайтов, и всё расположено очень просто. Разработчики могут создавать финансовые приложения, предприятия могут выводить активы в блокчейн, а обычные пользователи, как я, могут проверять статистику и осматриваться, не теряясь. $INJ выиграл от этого ребрендинга

Атаки на цепочку поставки программного обеспечения сейчас особенно популярны: злоумышленники всё чаще нацеливаются на доверенные инструменты разработчиков, а не на конечных пользователей. Случай с #Injective — хороший пример.

Хакеры взломали аккаунт GitHub разработчика проекта Injective и выпустили npm-пакет с встроенным вредоносным кодом, который крадет приватные ключи и seed-фразы прямо из функций создания кошелька. 🔑 Этот пакет скачивали около 50 000 раз в неделю, а опасная версия была интегрирована еще в 17 других пакетов. ⏱️ Вредоносный код находился в системе менее одного часа, но уже был загружен более 300 раз. 🕵️ Самый уязвимый момент: украшенные ключи отправлялись через поддельный домен, имитирующий официальный сервер Injective, что заставляло системы обнаружения считать трафик обычным. 💸 CertiK сообщает, что компрометация кошелька — самый прибыльный тип атак в первой половине 2026 года: общий ущерб составил 444 миллиона долларов всего от 33 инцидентов, в среднем более 13 миллионов долларов за один случай. Блокчейн не был взломан — ключи были украдены в тот же момент, когда они были созданы. Тогда где уязвимость криптобезопасности в 2026 году: в коде на цепочке или в людях, его написавших?