👾 @SocketSecurity نے npm پر @injective SDK کا ایک خطرناک اجرا دریافت کیا ہے۔ پیکیج کا ورژن 1.20.21 میں جعلی ٹیلیمیٹری فنکشنلٹی شامل تھی جو والٹ کے پرائیویٹ کلیدز اور منیمونک فریزز کو POST درخواستوں کے ذریعے ایک چار-اویسکیوٹڈ اینڈ پوائنٹ پر چھپا کر بھیج رہی تھی، جو قانونی Injective نیٹ ورک انفراسٹرکچر کا دعویٰ کرتا تھا۔ Socket کے مطابق، متاثرہ ورژن کو 310 بار ڈاؤن لوڈ کیا گیا اور اسی خطرناک اجرا کو 17 مزید Injective Labs کے پیکیجز میں بھی دریافت کیا گیا جو متاثرہ ورژن پر منحصر تھے۔ تحقیق کاروں کا مشورہ ہے کہ ان پیکیجز کے ذریعے گزارے گئے کسی بھی پرائیویٹ کلید یا منیمونک فریز کو متاثرہ سمجھا جائے اور فوراً انہیں تبدیل کر دیا جائے۔

ٹھیک ہے، نیا @injective ویب سائٹ حقیقت میں بہت اچھی ہے، بس ایسا نہیں لگتا۔ صاف UI، رنگ عام کرپٹو ویب سائٹ کے بجائے گرم محسوس ہوتے ہیں، اور یہ بہت آسان طریقے سے منصوبہ بند کی گئی ہے۔ ڈیولپرز فنانشل ایپس بناسکتے ہیں، کاروباری ادارے اپنے اثاثوں کو چین پر لاسکتے ہیں، اور میری طرح عام صارفین اسٹیٹس چیک کر سکتے ہیں اور بنا کسی کو گم ہونے کے خوف کے بغیر اردگرد گھوم سکتے ہیں۔ $INJ نے اس ریڈیزائن کے ساتھ کامیابی حاصل کی

آج کل سافٹ ویئر سپلائی چین حملے بہت مقبول ہیں، جہاں حملہ آور زیادہ تر معتبر ڈویلپر ٹولز کو ٹارگٹ کرتے ہیں، آخری صارفین کو نہیں۔ #Injective کا معاملہ ایک اچھا مثال ہے۔

ہیکرز نے Injective پروجیکٹ کے ڈویلپر کا GitHub اکاؤنٹ ہیک کر لیا اور ایک npm پیکیج جاری کیا جس میں میل ویئر ڈالا گیا ہے جو والٹ بنانے والے فنکشن سے پرائیویٹ کلید اور سیڈ فریز چوری کرتا ہے۔ . 🔑 اس پیکیج کا ہفتے میں تقریباً 50,000 بار ڈاؤن لوڈ ہوتا ہے اور خطرناک ورژن کو دوسرے 17 پیکیجز کے ساتھ جوڑا گیا ہے۔ . ⏱️ خطرناک کوڈ صرف ایک گھنٹے سے کم عرصے تک سسٹم پر رہا، لیکن اسے پہلے ہی 300 سے زائد بار ڈاؤن لوڈ کر لیا گیا۔ . 🕵️ سب سے زیادہ دردناک بات یہ ہے کہ چوری شدہ کلیدیں Injective کے اصل سرور کے مانند ایک جعلی ڈومین کے ذریعے بھیج دی جاتی ہیں، جس سے سسٹم انہیں عام ٹرافک سمجھ لیتا ہے۔ . 💸 CertiK کے مطابق، 2026 کے پہلے نصف سال میں والٹ کمپرومائز کرنا سب سے زیادہ منافع بخش حملوں میں سے ایک تھا، جس میں صرف 33 واقعات میں 444 ملین امریکی ڈالر کا نقصان ہوا، جس کا اوسط ہر واقعہ پر 13 ملین امریکی ڈالر سے زائد تھا۔ . بلوچین کو ہیک نہیں کیا گیا، لیکن کلیدوں کو ان کے بننے کے فوراً بعد چوری کر لیا گیا۔ تو، 2026 میں کرپٹو سکیورٹی کمزوری بلوكچین پر لکھے گئے کوڈ میں ہے، یا انہیں لکھنے والے انسانوں میں؟