Injective npmパッケージ攻撃で鍵流出

Injectiveのnpmパッケージ更新でウォレット鍵やニーモニックが盗まれ、300回以上ダウンロード。17以上の関連パッケージにも影響し、迅速に修正されました。

広く利用されているInjectiveのnpmパッケージ「@injectivelabs/sdk-ts」が、開発者のGitHubアカウント侵害によるサプライチェーン攻撃を受けました。ハッカーはバージョン1.20.21に悪意のあるコードを挿入し、ウォレット操作時に秘密鍵やニーモニックフレーズを取得、攻撃者管理のサーバーへエンコードされたデータを送信しました。 この攻撃はSDKだけでなく、Injective Labsのnpmスコープ内の17～18の関連パッケージにも影響し、SDKを直接インストールしていないユーザーにも被害が及ぶ可能性がありました。悪意のあるバージョンは削除までに300回以上ダウンロードされ、約1時間以内にクリーンなバージョンが公開されています。 セキュリティ研究者は、ペイロードが実行時に作動し、標準的なスキャナーでは検出が困難だったことから、この攻撃は高度であると指摘。悪意のあるコードは削除され、該当バージョンは非推奨となりましたが、すべての鍵やニーモニックが危険にさらされた可能性があり、完全な収束には注意が必要です。