Compromised @injectivelabs/sdk-ts exfiltrates wallet keys through fake telemetry

A malicious version of the npm package @injectivelabs/sdk-ts (v1.20.21) was published on June 8, 2026, containing code that stole wallet mnemonics and private keys by hooking into PrivateKey.fromMnemonic and PrivateKey.fromHex. The payload disguised exfiltration traffic as gRPC-web calls to a subdomain mimicking Injective's own infrastructure, with the stolen data encoded in the X-Request-Id header. The attacker also republished 17 other @injectivelabs packages pinned to the poisoned SDK version, enabling transitive compromise. The malicious version was live for under an hour and downloaded 310 times before the maintainer reverted it. Any mnemonic or private key that passed through these packages should be considered exposed. Remediation requires upgrading all affected packages to v1.20.23 and rotating any exposed keys.

Nguồn: https://www.aikido.dev/blog/compromised-injectivelabs-exfiltrates-keys. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Socket1 Hot3 phút1 ngày trướcAI

pnpm 11.10 Hardens Registry Authentication to Block Token Re...

Phiên bản pnpm 11.10 bổ sung tính năng _auth ràng buộc credential vào host URL, ngăn chặn việc chuyển hướng token tới registry độc hại. Bản cập nhật cũng khắc phục lỗi hồi quy từ tháng 6 liên quan đến biến môi trường trong registry private, đồng thời tăng cường bảo mật cho pnpm deploy và pnpm pack-app cùng nhiều cải tiến khác. Ngoài ra, người dùng có thể trải nghiệm pnpm v12 (viết bằng Rust) thông qua lệnh pnpm self-update next-12.