Hacker implantieren Hintertür im Injective npm-Paket zur Diebstahl von Wallet-Schlüsseln

Sicherheitsfirma Socket hat entdeckt, dass das npm-Paket @injectivelabs/sdk-ts der Injective-Blockchain böswillig verändert wurde. Angreifer haben durch den Zugriff auf das GitHub-Konto des Entwicklers schädlichen Code eingefügt, um private Schlüssel und Mnemonik für Wallets zu stehlen. Die gestohlenen Daten wurden kodiert an eine Adresse gesendet, die sich als legitimer Injective-Netzwerkserver ausgibt. Das Paket hatte etwa 50.000 Downloads, und die bösartige Version 1.20.21 wies ab dem 8. Juni verdächtige Commits auf und war in 17 weiteren Paketen innerhalb des npm-Bereichs von Injective Labs gesperrt, was bedeutet, dass auch Benutzer, die das SDK nicht direkt installiert haben, betroffen sein könnten. Der CEO von Injective, Eric Chen, erklärte, dass das Problem behoben wurde, die betroffene Version wurde eingestellt und es besteht kein Risiko für die Gelder im Netzwerk, jedoch wurde das bösartige Paket über 310 Mal heruntergeladen, und die Sicherheitsfirma Socket berichtet, dass der Angriff noch nicht vollständig eingedämmt ist.