悪意のあるInjective開発者パッケージのアップデート
悪意のあるInjective開発者パッケージのアップデートにより、300回以上ダウンロードされた後にプライベートキーとシードフレーズが露出したことが、セキュリティ企業Socketによって発見されました。Socketによると、約50,000回の週次ダウンロードがあるnpmパッケージのバージョン1.20.21は、開発者のGitHubアカウントが侵害された後に改ざんされました。
疑わしいコミットは6月8日に始まり、悪意のあるリリースは後にInjective Labsのnpmスコープの下で17の他のパッケージにピン留めされました。
セキュリティ企業は、コードがウォレットのキー生成機能を傍受し、プライベートキーとリカバリーフレーズを記録し、そのデータをエンコードして、Injectiveサーバーに似せたウェブアドレスに偽のテレメトリを通じて送信したと述べています。
「影響を受けたパッケージを通じて渡されたキーやニーモニックは、侵害されたものとして扱うべきです」とSocketは警告しました。
侵害された開発者は迅速に侵入を検出し、悪意のあるパッケージのバージョンは削除されましたが、Socketはこのキャンペーンがまだ完全には封じ込められていないと述べました。
InjectiveのCEOの声明
InjectiveのCEOエリック・チェンは、影響を受けたnpmリリースは非推奨となり、問題は修正されたと述べました。チェンは、Injectiveネットワーク上の資金は危険にさらされていないと付け加えましたが、Socketはマルウェアが資産の盗難を引き起こしたかどうかは報告していません。
ブロックチェーンの暗号やスマートコントラクトを攻撃するのではなく、この操作は開発者がウォレット、取引所、アプリケーションを構築するために使用するソフトウェアを標的にしました。
セキュリティアライアンスの報告
セキュリティアライアンスは第2四半期の脅威報告書で、攻撃者がGitHub、npm、Googleなどのプラットフォームを使用してマルウェアを配布することが増えていると述べました。一部の事件では、SEALは、侵害されたマシンが企業のGitHubリポジトリに悪意のあるコードを押し込むために使用され、1つの侵害がさらなる配布のチャネルとなることを許可したと述べています。
この報告書は、情報窃盗者、リモートアクセストロイの木馬、バックドアを組み合わせたクロスプラットフォームのマルウェアパッケージの増加、macOSをターゲットにしたキャンペーンの増加も引用しました。
過去の攻撃と影響
Axiosのnpmリリースは3月に同様のサプライチェーン攻撃を受け、5月に発見されたTrapDoorキャンペーンは、暗号、DeFi、人工知能、セキュリティに取り組む開発者を標的にしました。GitHubはまた、従業員のデバイスが侵害された後、5月20日に内部リポジトリへの不正アクセスを開示しました。
CertiKによると、ウォレットの侵害は2026年上半期における最も高額な暗号攻撃手法であり、33件のケースで4億4400万ドルが盗まれました。
DeFiアプリケーションの相互運用可能なレイヤー1であるInjectiveは、2024年中頃のピークである7100万ドルから820万ドルに総ロック価値が88%減少したことがDefiLlamaのデータで示されています。今年初め、コミュニティメンバーはIIP-617を承認し、新しいINJ発行の削減を加速しながら既存のトークンバーンを維持しました。
