Хакеры внедрили бэкдор в пакет Injective npm для кражи ключей кошельков

Безопасная компания Socket обнаружила, что пакет npm @injectivelabs/sdk-ts для блокчейна Injective был злонамеренно изменен. Злоумышленники внедрили вредоносный код для кражи приватных ключей кошельков и мнемонических фраз, взломав учетную запись разработчика на GitHub. Украденные данные кодируются и отправляются на адрес, маскирующийся под легитимный сервер сети Injective. Пакет скачивался около 50000 раз, а вредоносная версия 1.20.21 начала существовать с подозрительными коммитами с 8 июня и была заблокирована в других 17 пакетах в рамках npm Injective Labs, что означает, что пользователи, которые не устанавливали этот SDK напрямую, также могут быть подвержены риску. Генеральный директор Injective Эрик Чен заявил, что проблема была исправлена, затронутые версии были удалены, а средства в сети не подвержены риску, однако этот вредоносный пакет был загружен более 310 раз, и компания безопасности Socket утверждает, что атака еще не была полностью остановлена.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.