هکرها در بسته npm Injective درب پشتی برای سرقت کلیدهای کیف پول قرار دادند

شرکت امنیتی Socket کشف کرد که بسته نرم‌افزاری npm @injectivelabs/sdk-ts در بلاک‌چین Injective به‌طور مخرب تغییر یافته است. مهاجمان با نفوذ به حساب GitHub توسعه‌دهنده، کد مخرب برای سرقت کلیدهای خصوصی و عبارت‌های یادآور کیف پول را وارد کرده‌اند. داده‌های سرقت شده پس از رمزگذاری به آدرسی ارسال می‌شود که به‌عنوان سرور قانونی شبکه Injective جعل شده است. این بسته نرم‌افزاری به‌طور تقریبی 50000 بار در هفته دانلود شده است و نسخه مخرب 1.20.21 از تاریخ 8 ژوئن با ارسال‌های مشکوک وجود داشته و در 17 بسته دیگر در محدوده npm Injective Labs قفل شده است، به این معنی که کاربران که این SDK را به‌طور مستقیم نصب نکرده‌اند نیز ممکن است تحت تأثیر قرار بگیرند. اریک چن، مدیرعامل Injective، اعلام کرد که مشکل برطرف شده و نسخه‌های تحت تأثیر کنار گذاشته شده‌اند و هیچ خطری برای وجوه در شبکه وجود ندارد، اما این بسته مخرب بیش از 310 بار دانلود شده است و شرکت امنیتی Socket اعلام کرد که این حمله هنوز به‌طور کامل مهار نشده است.