supplychainattack

HƏKÇERLƏR RƏSMİ $INJ DEVELOPER KIT-İ MÜƏMMƏK EDİB — 310 YÜKLƏMƏ ⚠️

Injective-nin SDK-nin arxa qapısı olan versiyası sındırılmış GitHub hesabı vasitəsilə sızıb və normal istifadə zamanı cüzdan toxum cümlələrini (seed phrases) və şəxsi açarları oğurlayıb. Yük (payload) bir saata qədər işə düşüb, 18 npm paketinə yayılıb və düzəliş tətbiq edilənədək 310 dəfə yüklənib.

Sizin və ya ünsiyyətdə olduğunuz istənilən layihənin Injective üzərində qurulmuş cüzdan proqramı və ya botları işlədirmi? O bir saatlıq pəncərə açarların sızmasına səbəb ola bilərdi. Kod gizlicə sirləri qeyd edib, qanuni görünməsi üçün hazırlanmış bir serverə göndərib. Tərtibatçılara həmin versiyalara toxunan hər hansı açarın zərərli sayılması tövsiyə edilib.

Cüzdanınızın və ya botunuzun hazırda hansı versiyada işlədiyini yoxlayırsınız?

Maliyyə məsləhəti deyil. Riskinizi həmişə idarə edin.

#INJ #SecurityAlert #SupplyChainAttack #CryptoWarning

⚡

$INJ SDK KƏSİLDİ — HƏFTƏLİK 50,000 YÜKLƏMƏ TƏSİRLƏNİB ⚠️

@Injectivelabs/sdk-ts npm paketi tərtibatçının GitHub hesabı komprometə edildikdən sonra zərərli şəkildə dəyişdirilib. 1.20.21 versiyası pul kisəsi (wallet) şəxsi açarlarını və mnemonic ifadələrini oğurlayan, onları gizlədilmiş serverə kodlayan kodu ehtiva edir.

Təxminən 50,000 həftəlik yükləmə və eyni scope-da olan 17 başqa paket də kilidləndiyi üçün bu, geniş miqyaslı supply chain hücumudur. Şübhəli commitlər iyunun 8-dən başlayıb. Asılılıqlarınızı (dependencies) yoxlamısınız?

Maliyyə məsləhəti deyil. Riskinizi həmişə idarə edin.

#INJ #SupplyChainAttack #CryptoSecurity #SecurityAlert

⚠️

Polymarket Satıcısı Təhfil Oldu — Hücumçular Pulqabılardan 2,9 milyon ABŞ dolları Boşaltdı

Həftəsonu Polymarketə tədarük zənciri hücumu baş verib. Ön tərəfə (frontend) zərərli skript yeridilib və komanda onu dayandırana qədər təxminən 2,9 milyon ABŞ dolları kütləvi şəkildə boşaldılıb.

Bu, ağıllı müqavilə (smart contract) istismarı deyil. Hücumçular əsas infrastrukturun yerinə Polymarketin proqram təminatı tədarük zəncirini hədəf alıblar. Tədarük zənciri hücumları etibarlı üçüncü tərəf kodunun içində gizlənir və bu səbəbdən onları aşkar etmək daha çətin olur.

Polymarket təsirlənmiş bütün istifadəçilərin tam məbləğdə geri ödəniş alacağını təsdiqləyib. Komanda pozuntunu tez izolyasiya edib. Amma hadisə göstərir ki, xarici xidmətlərə güvənən platformlar smart müqavilələrdən kənar hücum səthləri yaradır.

Bu il proqnoz (prediction) bazarları böyük diqqət çəkib. Bu pozuntu, platformlar miqyaslandıqca etibarı necə qoruya bilməsini yoxlayır. Üçüncü tərəf asılılıqlarına (dependencies) dair təhlükəsizlik auditlərinin standart təcrübəyə çevrilməsi lazım ola bilər.

Dezentrallaşmış platformlar proqram təminatı asılılıqlarını daha aqressiv şəkildə audit etməlidirmi? Sənaye bunu izləyir. $BTC $ETH $SOL
#Polymarket #SupplyChainAttack #Crypto

$ETH DEVELOPERS HƏDƏF ALAN 30 ZƏHƏRLİ NPM PAKETİ TAPILDI 🔥

Koordinasiya olunmuş təchizat zənciri hücumu üzə çıxarılıb: saxta trading bot repozitoriyası və DeFi mövzulu npm paketi vasitəsilə JavaScript məlumat oğurlayan proqram (information stealer) yeridilib. Əhatə dairəsinə 30 zərərli paket daxildir; stake-math@3.5.4 asılılıq kimi pin edilib və təxminən 2,300-ə yaxın, demək olar ki, eyni fork yaradan repozitoriyada istifadə olunub — bu, açıq avtomatlaşdırma “qırmızı bayraq”ıdır.

Alovun mərkəzində olan həssas məlumatlar: wallet kitabxanaları, şəxsi açarlar (private keys), mnemoniklər, API tokenlər və saxlanmış brauzer etimadnamələri. Əgər yaxın vaxtlarda DeFi və ya trading botlarla əlaqəli istənilən layihədə npm install işləmisinizsə, mühitiniz artıq zərərli təsirə məruz qala bilər. Bu gün asılılıqlarınızı (dependencies) yoxlayırsınızmı?

Maliyyə məsləhəti deyil. Həmişə riskinizi idarə edin.

#ETH #SecurityAlert #DeFi #SupplyChainAttack

🔥

🚨 2,000 ZƏHƏRLƏNMİŞ PAKET FLOOD $KEYV — PARTLAMA ZONASINDA 127M YÜKLƏMƏ! 💥

Həftədə 127M yükləmədə bu, sadəcə xəta deyil — böyük partlama radiusuna malik silahlandırılmış pozuntudur. 🦈 Hücumçu Keyv/Cacheable ekosistemini 2,000+ zərərli versiya ilə daşqın edib, o cümlədən keyv@6.0.0-ni, Shai-Hulud qurdunun avtomatlaşdırmasını təqlid edərək. 🔍

Layihələr içəridən belə dağıdılır: etimadnamə oğurluğu, CI/CD açar sızıntıları, uzaq yüklənən payload-lar, dev mühitləri vasitəsilə yanal hərəkət. Bu kitabçaya toxunan hər bir downstream tətbiq məruz qalır. 📊

Əgər siz açarları saxlayırsınızsa və ya Node.js-də build pipeline-lərini işə salırsınızsa, audit edilməyənə qədər dependency-lərinizi zədələnmiş sayın. İndi etimadnamələri rotasiya edin və lock fayllarını yoxlayın. ⚠️ 💬 Layihənizin dependency tree-si təmizdir, yoxsa bir paket uzaqdadır dəhşətdən? 👇

⚠️ Maliyyə məsləhəti deyil. Həmişə riskinizi idarə edin. 🛡️

🏷️ #KEYV #SupplyChainAttack #CryptoSecurity #CyberAlert #NPM

🔍 🛡️

⚠️ Zərərli proqram hücumu Vite-i hədəf alır: zərərli npm paketləri vasitəsilə

Kiber təhlükəsizlik tədqiqatçıları Vite ön tərəf alətləri mühitini tədarük zənciri hücumu çərçivəsində hədəfləyən yeddi zərərli npm paketini aşkarlayıb. Bu paketlər RAT zərərli proqramını çatdırmaq üçün Blockchain C2 texnikasından istifadə edir və proqram təminatı inkişaf ekosistemində artan riskləri vurğulayır.

━━━━━━━━━━━━━━
📊 Təsir: 📈 Yüksək
🏷️ OTHER

#Cybersecurity #SupplyChainAttack #npm #Vite #Malware

🔗 Mənbə: https://thehackernews.com/2026/07/seven-malicious-vite-npm-packages-use.html

$INJ NPM PAKET HACK — HƏFTƏDƏ 50K YÜKLƏNMƏ POZULUB 🔥

injectivelabs/sdk-ts-in zərərli 1.20.21 versiyası şəxsi açarları və bərpa (recovery) frazalarını oğurlayır. Tərtibatçının GitHub hesabı klassik “supply chain” (təchizat zənciri) hücumu ilə hədəfə alınıb. Həftədə təxminən 50,000 yüklənmə ilə bu, kiçik miqyaslı hadisə deyil. Əgər siz və ya komandanız 8 iyundan bəri bu paketlə işləyibsinizsə, açarlarınızi dərhal dəyişin.

Injective tez reaksiya verdi, amma npm ekosistemində hələ də boşluqlar var. Siz asılılıqlarınızı zərərli yeniləmələrə görə yoxlayırsınız?

Maliyyə məsləhəti deyil. Həmişə riskinizi idarə edin.

#INJ #SecurityAlert #SupplyChainAttack #CryptoNews #Web3

⚡

$INJ SDK BACKDOOR – zərərli kodun 310 YÜKLƏNMƏSİ düzəlişdən əvvəl 🔥

Injective-in əsas TypeScript paketinin zərərli (təmiz olmayan) versiyası npm-də bir saatdan az müddət ərzində işlək olub, sükutla cüzdan toxum ifadələrini və şəxsi açarları xaricə ötürüb. Zərərli buraxılış 18 paketə yayıldı və geri götürülməzdən əvvəl 310 dəfə yükləndi.

Təhlükəsizlik şirkəti Socket pozuntunun mənbəyinin oğurlanmış GitHub töhfəçi hesabı olduğunu təsdiqləyib. Bədxassəli kod özünü analitika kimi göstərərək, oğurlanmış açarları qanuni Injective infrastrukturuna bənzəyən serverə göndərib. 1.20.21 versiyasından keçən istənilən açar komprometləşmiş sayılmalıdır.

Layihələriniz təsirlənmiş @injectivelabs/sdk-ts paketini işlədir?

Maliyyə məsləhəti deyil. Riskinizi həmişə idarə edin.

#INJ #SecurityAlert #CryptoAlert #WalletSafety #SupplyChainAttack

🔥