👾 @SocketSecurity виявив шкідливий реліз SDK @injective на npm. Версія пакету 1.20.21 містила фальшиву функціональність телеметрії, яка тихо експортувала приватні ключі та мнемонічні фрази гаманця за допомогою POST-запитів до endpoint, прихованого за символами, який видає себе за легітимну інфраструктуру мережі Injective. За даними Socket, цю скомпрометовану версію завантажили 310 разів, і такий самий шкідливий реліз був знайдений ще в 17 додаткових пакетах, пов’язаних з Injective Labs, які використовували впевнену версію. Дослідники рекомендують вважати будь-які приватні ключі або мнемонічні фрази, що проходили через ці пакети, скомпрометованими, і негайно їх змінити.

Гаразд, новий сайт @injective справді дуже гарний, не буду ховати. Чистий інтерфейс, кольори відчутно тепліші, ніж звична холодна крипто-візуаліка, і все розташовано дуже просто. Розробники можуть створювати фінансові додатки, підприємства можуть виводити активи на ланцюг, а звичайні користувачі, як я, можуть перевіряти статистику й ознайомлюватися з інтерфейсом, не втрачаючись. $INJ виграв від цього ребрендингу

Атаки на ланцюжок постачання програмного забезпечення зараз у тренді: зловмисники все частіше ціляться у довірені інструменти розробників, а не у кінцевих користувачів. Випадок з #Injective — це хороший приклад.

Хакери захопили обліковий запис GitHub розробника з проекту Injective та опублікували npm-пакет із вбудованим шкідливим кодом, який краде приватні ключі та seed-фрази безпосередньо з функцій створення гаманця. 🔑 Цей пакет отримує близько 50 000 завантажень на тиждень, а небезпечна версія була зв’язана ще з 17 іншими пакетами. ⏱️ Шкідливий код перебував у системі менше ніж годину, але вже був завантажений більше 300 разів. 🕵️ Найбільш болючий момент: крадені ключі відправлялися через фальшивий домен, імітуючи офіційний сервер Injective, що робило його непомітним для систем виявлення. 💸 CertiK повідомляє, що компрометація гаманця — це найприбутковіший тип атак у першій половині 2026 року: загальний збиток становить 444 мільйони доларів США лише від 33 інцидентів — у середньому понад 13 мільйонів доларів США на один випадок. Блокчейн не був зламаний — ключі були вкрадені в момент їх створення. Тоді яка ж уразливість криптовалютної безпеки у 2026 році: код на ланцюгу чи люди, які його написали?