Hacker implantieren Hintertür im Injective npm-Paket zur Diebstahl von Wallet-Schlüsseln

Sicherheitsfirma Socket hat entdeckt, dass das npm-Paket @injectivelabs/sdk-ts der Injective-Blockchain böswillig verändert wurde. Angreifer haben durch den Zugriff auf das GitHub-Konto des Entwicklers schädlichen Code eingefügt, um private Schlüssel und Mnemonik für Wallets zu stehlen. Die gestohlenen Daten wurden kodiert an eine Adresse gesendet, die sich als legitimer Injective-Netzwerkserver ausgibt. Das Paket hatte etwa 50.000 Downloads, und die bösartige Version 1.20.21 wies ab dem 8. Juni verdächtige Commits auf und war in 17 weiteren Paketen innerhalb des npm-Bereichs von Injective Labs gesperrt, was bedeutet, dass auch Benutzer, die das SDK nicht direkt installiert haben, betroffen sein könnten. Der CEO von Injective, Eric Chen, erklärte, dass das Problem behoben wurde, die betroffene Version wurde eingestellt und es besteht kein Risiko für die Gelder im Netzwerk, jedoch wurde das bösartige Paket über 310 Mal heruntergeladen, und die Sicherheitsfirma Socket berichtet, dass der Angriff noch nicht vollständig eingedämmt ist.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.