Injective开发者工具包的恶意更新
最近，Injective开发者工具包的恶意更新导致私钥和助记词泄露，受影响的下载次数超过300次。安全公司Socket对此进行了调查。
攻击细节
根据Socket的报告，npm包的版本1.20.21在开发者的GitHub账户被攻破后被篡改，该包每周约有50,000次下载。自6月8日起，出现了可疑的提交记录，而恶意版本随后在Injective Labs的npm范围内的17个其他包中被传播。
安全公司表示，该代码拦截了钱包密钥生成函数，记录了私钥和恢复短语，然后对数据进行了编码，并通过伪造的遥测发送到一个伪装成Injective服务器的网络地址。
安全警告
Socket警告称：“任何通过受影响包传递的密钥或助记词都应视为已被泄露。”即使应用程序没有直接安装SDK，也可能已受到影响。
后续措施
尽管受影响的开发者迅速发现了入侵，并已删除了恶意包版本，但Socket表示，该攻击活动尚未完全控制。Injective首席执行官Eric Chen表示，受影响的npm版本已被弃用，问题已得到解决。Chen补充说，Injective网络上的资金没有风险，而Socket并未报告该恶意软件是否导致资产被盗。
