🚨 Alerte de sécurité : des pirates ont tenté d’ajouter une porte dérobée à un package npm Injective afin de voler des clés de portefeuille.

Les attaques par chaîne d’approvisionnement visent désormais directement la pile de développement crypto. D’après la société de sécurité Socket, du code malveillant a été injecté dans un package npm lié aux flux de travail du portefeuille d’Injective — conçu pour siphonner silencieusement des clés privées et des identifiants des développeurs et des applications qu’ils construisent.

Pourquoi c’est important :
• Les packages npm sont au cœur de la plupart des front-ends Web3 et des outils
• Une seule dépendance compromise peut vider des centaines de portefeuilles d’utilisateurs
• L’incident vise Injective, un L1 basé sur Cosmos, populaire pour la DeFi et le trading on-chain

Les chercheurs de Socket ont averti que le risque est particulièrement grave pour les applications qui gèrent les connexions de portefeuille Injective, où un package contaminé pourrait exfiltrer des clés au moment où les utilisateurs se connectent.

La bonne nouvelle : le package a été signalé avant une adoption massive. Mais c’est un rappel saisissant que « juste npm install » n’est plus sûr en crypto. Les équipes doivent verrouiller les dépendances, auditer les fichiers lock et utiliser des outils d’analyse pour détecter les scripts post-install suspects.

À mesure que davantage de valeur circule on-chain, la surface d’attaque se déplace vers le code lui-même. Restez paranoïaques, devs. 🔐

#Injective #CryptoSecurity #DeFi #Web3 #npm