Tấn công chiếm GitHub Injective Labs phát tán gói npm đánh cắp khóa ví
"Threat actors compromised the Injective Labs SDK GitHub repository and used the trusted-publisher npm pipeline to release malicious package version @injectivelabs/sdk-ts@1.20.21, along with multiple dependent scoped packages. The poisoned release added wallet-key-stealing logic that exfiltrated cryptocurrency private keys and mnemonic seed phrases to an external server; users are advised to upgrade to 1.20.23, rotate any exposed keys, and review transitive dependencies."
Nguy cơ cao do đánh cắp private key/mnemonic và khả năng tái tạo khoá từ dữ liệu bị rò rỉ; phạm vi ảnh hưởng mở rộng nhờ 17 gói phụ thuộc phát hành cùng phiên bản độc hại.
Có thể gây gián đoạn niềm tin và chi phí xử lý sự cố do yêu cầu nâng cấp gói và thu hồi/rotate khoá; rủi ro lan truyền qua chuỗi phụ thuộc làm tăng khối lượng rà soát.
Các tác nhân đe doạ đã xâm nhập kho GitHub của dự án Injective Labs SDK và lợi dụng cơ chế phát hành tin cậy trên npm để đưa phiên bản độc hại lên registry. Cụ thể, gói @injectivelabs/sdk-ts@1.20.21 được phát hành (ngày 8/7/2026) và sau đó bị deprecate, nhưng vẫn còn tệp phát hành có thể tải từ GitHub.
Theo ghi nhận, phiên bản bị đầu độc cài logic giả lập telemetry nhằm thu thập và exfiltrate dữ liệu nhạy cảm từ ví tiền mã hoá. Mã độc được kích hoạt khi thư viện được sử dụng (tránh lifecycle scripts và không chạy trong pha cài đặt), đồng thời can thiệp vào quy trình tạo khoá bằng cách gọi hàm trackKeyDerivation() để ghi lại thông tin cần thiết cho việc tái tạo khoá.
Bên cạnh sdk-ts, kẻ tấn công còn phát hành 1.20.21 trên 17 gói scoped phụ thuộc/pinned, khiến người dùng dùng gián tiếp cũng có nguy cơ. Cơ chế rò rỉ gom nhiều lần dẫn xuất trong khoảng 2 giây rồi gửi qua HTTPS POST tới máy chủ ngoài.
Khuyến nghị: nâng cấp lên 1.20.23, coi mọi private key/mnemonic seed phrase đi qua gói là đã bị lộ và rotate, đồng thời rà soát transitive dependencies.