Compromised Injective SDK npm Package Exfiltrates Wallet Key...

A malicious version of @injectivelabs/sdk-ts (1.20.21) was published to npm containing code that exfiltrates wallet private keys and mnemonic phrases via fake telemetry. The compromise was introduced through a developer account with an established contribution history. The malicious code hooks the fromMnemonic and fromHex functions to silently POST base64-encoded sensitive data to a disguised Injective Labs infrastructure endpoint. The attack extended to 17 additional @injectivelabs scoped packages pinned to the malicious version, amplifying the blast radius beyond direct users. With ~50,000 weekly downloads, the impact is significant. The compromised version was deprecated but not removed from npm at time of writing. Developers should upgrade to 1.20.23, treat any exposed keys or mnemonics as compromised, move funds, rotate credentials, and audit transitive dependencies.

Nguồn: https://socket.dev/blog/compromised-injective-sdk-npm-package. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Socket1 Hot3 phút1 ngày trướcAI

pnpm 11.10 Hardens Registry Authentication to Block Token Re...

Phiên bản pnpm 11.10 bổ sung tính năng _auth ràng buộc credential vào host URL, ngăn chặn việc chuyển hướng token tới registry độc hại. Bản cập nhật cũng khắc phục lỗi hồi quy từ tháng 6 liên quan đến biến môi trường trong registry private, đồng thời tăng cường bảo mật cho pnpm deploy và pnpm pack-app cùng nhiều cải tiến khác. Ngoài ra, người dùng có thể trải nghiệm pnpm v12 (viết bằng Rust) thông qua lệnh pnpm self-update next-12.