В npm нашли заражённую версию Injective SDK, собиравшую ключи кошельков

Пакет Injective SDK версии 1.20.21 в репозитории npm оказался вредоносным, сообщает ForkLog со ссылкой на Socket. По данным исследователей, сборка похищала сид-фразы и приватные ключи кошельков, а затем передавала их через поддельную телеметрию на адрес, оформленный как сервер Injective.

Вредоносную версию скачали не менее 300 раз. Тот же релиз Socket нашла ещё в 17 пакетах Injective Labs, то есть затронута оказалась не одна библиотека, а группа связанных пакетов.

Исследователи рекомендуют исходить из того, что скомпрометированы все ключи и сид-фразы, которые проходили через затронутые пакеты. Для разработчиков это означает проверку зависимостей и ротацию ключей, для пользователей — осторожность с кошельками, созданными или импортированными в среде с такими библиотеками.