黑客通过破坏广泛使用的 Injective Labs npm 软件包、嵌入旨在窃取加密货币钱包私钥和种子短语的恶意软件来执行软件供应链攻击。安全公司 Socket 周四披露，@injectivelabs/sdk-ts 软件包的 1.20.21 版本（每周下载量约为 50,000 次）通过被泄露的开发者 GitHub 帐户进行了更改，从 6 月 8 日开始出现可疑提交。

恶意代码拦截了在 Injective 区块链上构建的开发人员常用的钱包密钥派生函数，秘密记录私钥和助记词，然后通过伪装的遥测将其泄露到模仿官方 Injective 端点的服务器。 Socket 警告说，通过受影响的包处理的任何密钥或助记词都应被视为已泄露。

尽管受损版本在删除前已被下载超过 310 次，但 Injective 首席执行官 Eric Chen 确认问题已得到解决，受污染的 npm 版本已被弃用。他强调，没有网络资金面临风险，但 Socket 并未确认是否发生任何盗窃事件。

该后门软件包还被固定在 Injective Labs npm 范围内的其他 17 个软件包中，可能会暴露从未直接安装过 SDK 的用户。 Socket 指出，尽管开发人员做出了迅速反应，但该活动可能尚未完全得到遏制。

此事件反映了攻击者利用 GitHub 和 npm 等合法平台传播恶意软件的趋势不断增长。据安全联盟 (SEAL) 称，2026 年第二季度，越来越多地使用受感染的开发者帐户将恶意代码推送到官方存储库中。最近的类似攻击包括 3 月份的 Axios npm 漏洞和 5 月份针对加密货币、DeFi、人工智能和安全开发人员的 TrapDoor 活动。

CertiK 周一报告称，钱包泄露是 2026 年上半年代价最高的攻击媒介，共 33 起事件导致 4.44 亿美元被盗。

受感染的 npm 软件包被下载了 310 次。来源：套接字