👾 @SocketSecurity đã phát hiện một bản phát hành độc hại của SDK @injective trên npm. Phiên bản 1.20.21 chứa chức năng telemetri giả mạo, lặng lẽ đánh cắp khóa riêng và cụm từ bí mật của ví thông qua các yêu cầu POST gửi đến một điểm cuối bị che giấu bằng ký tự, giả danh là cơ sở hạ tầng hợp pháp của mạng Injective. Theo Socket, phiên bản bị xâm phạm đã được tải về 310 lần và bản phát hành độc hại tương tự cũng được tìm thấy trong 17 gói khác thuộc phạm vi Injective Labs được cố định ở phiên bản bị ảnh hưởng. Các nhà nghiên cứu khuyến nghị xử lý mọi khóa riêng hoặc cụm từ bí mật được truyền qua các gói này như đã bị xâm phạm và thay đổi ngay lập tức.

Được rồi, trang web mới của @injective thực sự rất đẹp, mình phải thừa nhận vậy. Giao diện sạch sẽ, màu sắc mang cảm giác ấm áp thay vì phong cách lạnh lẽo thường thấy của các trang crypto, và bố cục rất đơn giản. Các nhà phát triển có thể xây dựng các ứng dụng tài chính, doanh nghiệp có thể đưa tài sản lên chuỗi, và người dùng bình thường như mình có thể xem thống kê và khám phá mà không bị lạc hướng. $INJ đã ăn đứt với bản thiết kế lại này

Các cuộc tấn công vào chuỗi cung ứng phần mềm đang rất phổ biến hiện nay, khi kẻ tấn công thường nhắm vào các công cụ phát triển đáng tin cậy thay vì người dùng cuối. Vụ việc của #Injective là một ví dụ điển hình.

Hacker đã xâm nhập tài khoản GitHub của nhà phát triển trong dự án Injective và phát hành gói npm phiên bản chứa malware, nhằm đánh cắp Private Key và Seed Phrase trực tiếp từ chức năng tạo ví. . 🔑 Gói này có khoảng 50.000 lượt tải mỗi tuần, và phiên bản nguy hiểm đã được liên kết với 17 gói khác. . ⏱️ Mã độc tồn tại trên hệ thống chưa đầy một giờ, nhưng đã được tải về hơn 300 lần. . 🕵️ Điểm đáng lo ngại nhất: các khóa bị đánh cắp được gửi ra qua miền giả mạo giống hệt máy chủ chính thức của Injective, khiến hệ thống phát hiện xem đây là lưu lượng bình thường. . 💸 CertiK cho biết, việc xâm phạm ví là hình thức tấn công sinh lời cao nhất trong nửa đầu năm 2026, với tổng thiệt hại 444 triệu đô la từ chỉ 33 sự kiện, trung bình hơn 13 triệu đô la mỗi lần. . Blockchain không bị hack, nhưng khóa đã bị đánh cắp ngay từ giây phút nó được tạo ra. Vậy thì, vào năm 2026, điểm yếu trong bảo mật tiền mã hóa nằm ở mã trên chuỗi, hay ở con người viết ra nó?