Bilinmeyen saldırganlar, Injective Labs SDK projesinin GitHub deposunu ele geçirerek npm kaydında kripto para cüzdanlarının özel anahtarlarını ve anımsatıcı ifadelerini çalan kötü amaçlı bir paket yayınladı.
Tehlikeye atılan @injectivelabs/[email protected] sürümü, kripto para cüzdanlarından veri sızdıran sahte bir telemetri işlevi içeriyordu. Sürüm 8 Temmuz 2026'da yayınlandı ancak kayıt üzerinde kullanımdan kaldırıldı. Buna rağmen, tehlikeye atılan sürüme ait yayın yapıtları GitHub üzerinden hâlâ indirilebilir durumda.
Socket güvenlik firmasının açıklamasına göre, kötü amaçlı işlevsellik, depoya daha önce katkıda bulunmuş bir geliştiricinin GitHub hesabı aracılığıyla gönderilen commit'lerle projenin resmi GitHub deposuna eklendi.
Saldırgan, 1.20.21 sürümünü kötü amaçlı SDK sürümüne bağımlı olan ve onu sabitleyen 17 ek @injectivelabs kapsamlı pakette de yayınladı. Bu sayede kütüphaneyi doğrudan kurmayan geçişli kullanıcılar da etkilendi. Etkilenen paketler şunlar:
- @injectivelabs/utils
- @injectivelabs/networks
- @injectivelabs/ts-types
- @injectivelabs/exceptions
- @injectivelabs/wallet-base
- @injectivelabs/wallet-core
- @injectivelabs/wallet-cosmos
- @injectivelabs/wallet-private-key
- @injectivelabs/wallet-evm
- @injectivelabs/wallet-trezor
- @injectivelabs/wallet-cosmostation
- @injectivelabs/wallet-ledger
- @injectivelabs/wallet-wallet-connect
- @injectivelabs/wallet-magic
- @injectivelabs/wallet-strategy
- @injectivelabs/wallet-turnkey
- @injectivelabs/wallet-cosmos-strategy
Paketteki kötü amaçlı yazılım oldukça basit ve doğrudan çalışıyor. Kütüphane işlevselliği şüphelenmeyen bir geliştirici tarafından kullanıldığında tetikleniyor. Yaşam döngüsü betiklerinden kaçınarak ve kurulum aşamasında çalıştırılmayarak radarın altında kalmayı başarıyor.
