supplychainattack

ХАКЕРЫ СКОМПРОМЕТИРОВАЛИ ОФИЦИАЛЬНУЮ DEV-КОМПЛЕКТАЦИЮ $INJ DEVELOPER KIT — 310 ЗАГРУЗОК ⚠️

Поддельная версия SDK Injective просочилась через взломанный аккаунт GitHub и украла seed-фразы кошельков и приватные ключи во время обычного использования. Зловредный код был активен менее часа, распространился через 18 пакетов npm и был скачан 310 раз, прежде чем вышло исправление.

Если вы или любой проект, с которым вы взаимодействуете, используете кошельковое ПО или ботов, созданных на Injective, то это часовой промежуток мог привести к утечке ключей. Код тихо записывал секреты и отправлял их на сервер, который был сделан так, чтобы выглядеть правдоподобно. Разработчикам сообщили, что любые ключи, которые использовались с этими версиями, следует считать скомпрометированными.

Вы сейчас проверяете, какую версию использует ваш кошелёк или бот?

Это не финансовый совет. Всегда управляйте своими рисками.

#INJ #SecurityAlert #SupplyChainAttack #CryptoWarning

⚡

$INJ SDK СКОМПРОМЕТИРОВАН — 50 000 ЕЖЕНЕДЕЛЬНЫХ ЗАГРУЗОК ПОД УГРОЗОЙ ⚠️

Пакет npm @injectivelabs/sdk-ts был злонамеренно изменён после компрометации учётной записи разработчика на GitHub. Версия 1.20.21 содержит код, который крадёт приватные ключи кошельков и мнемонические фразы, кодируя их на замаскированный сервер.

С учётом примерно 50 000 еженедельных загрузок и того, что ещё 17 других пакетов в том же scope также оказались заблокированы, это масштабная атака на цепочку поставок. Подозрительные коммиты начались 8 июня. Вы проверяли (аудитили) свои зависимости?

Это не финансовый совет. Всегда управляйте своими рисками.

#INJ #SupplyChainAttack #CryptoSecurity #SecurityAlert

⚠️

30 ВРЕДОНОСНЫХ NPM-ПАКЕТОВ, ОРИЕНТИРОВАННЫХ НА $ETH РАЗРАБОТЧИКОВ НАЙДЕНО 🔥

Скоординированная атака на цепочку поставок была раскрыта: она использует фейковый репозиторий торгового бота и npm-пакет в стиле DeFi, чтобы внедрить JavaScript-инфостилер. В рамках атаки — 30 вредоносных пакетов. При этом stake-math@3.5.4 закреплён как зависимость в репозитории, который породил примерно 2 300 почти идентичных форков — явный признак автоматизации.

Под ударом: библиотеки кошельков, приватные ключи, мнемоники, API-токены и сохранённые учётные данные браузера. Если вы недавно выполняли npm install для любого проекта, связанного с DeFi или торговыми ботами, ваша среда уже может быть скомпрометирована. А вы аудитите свои зависимости сегодня?

Не является финансовым советом. Всегда управляйте рисками.

#ETH #SecurityAlert #DeFi #SupplyChainAttack

🔥

Поставщик Polymarket скомпрометирован — злоумышленники вывели $2,9 млн из кошельков

На выходных Polymarket подвергся атаке в цепочке поставок. В интерфейс был внедрен вредоносный скрипт, который вывел примерно $2,9 млн, прежде чем команда его отключила.

Это не эксплойт смарт-контракта. Злоумышленники нацелились на цепочку поставок ПО Polymarket, а не на ключевую инфраструктуру. Атаки в цепочке поставок прячутся во вложенном коде доверенных сторонних поставщиков, из-за чего их сложнее обнаружить.

Polymarket подтвердил, что все затронутые пользователи получат полные возвраты средств. Команда быстро изолировала нарушение. Но инцидент показывает, как платформы, зависящие от внешних сервисов, расширяют поверхность атаки за пределы смарт-контрактов.

В этом году рынки прогнозов привлекли огромное внимание. Этот взлом проверяет, смогут ли платформы сохранять доверие по мере масштабирования. Аудиты безопасности сторонних зависимостей, возможно, придется сделать стандартной практикой.

Децентрализованным платформам стоит более агрессивно аудировать свои программные зависимости? Индустрия следит за ситуацией. $BTC $ETH $SOL
#Polymarket #SupplyChainAttack #Crypto

$INJ NPM ПАКЕТНЫЙ ВЗЛОМ — 50К ЕЖЕНЕДЕЛЬНЫХ ЗАГРУЗОК СКОМПРОМЕТИРОВАНО 🔥

Зловредная версия 1.20.21 injectivelabs/sdk-ts крадет приватные ключи и recovery-фразы. Аккаунт разработчика в GitHub был скомпрометирован в классической атаке цепочки поставок, направленной на разработчиков. При примерно 50 000 загрузок в неделю это не мелкомасштабный инцидент. Если вы или ваша команда взаимодействовали с этим пакетом после 8 июня, немедленно поменяйте ключи.

Injective отреагировал быстро, но в npm-экосистеме все еще есть уязвимости. Вы проверяете свои зависимости на наличие вредоносных обновлений?

Не является финансовым советом. Всегда управляйте своим риском.

#INJ #SecurityAlert #SupplyChainAttack #CryptoNews #Web3

⚡

$INJ SDK BACKDOOR – 310 ЗАГРУЗОК ЗЛОУМЫШЛЕННОГО КОДА ДО ИСПРАВЛЕНИЯ 🔥

Заражённая версия ключевого TypeScript-пакета Injective была доступна менее часа в npm: она незаметно похищала seed-фразы кошельков и приватные ключи. Зловредный релиз распространился по 18 пакетам и был скачан 310 раз, прежде чем его убрали.

Компания по безопасности Socket подтвердила, что компрометация произошла из-за взломанной учётной записи соавтора на GitHub. Зловредный код маскировался под аналитику и отправлял украденные ключи на сервер, имитирующий легитимную инфраструктуру Injective. Любой ключ, прошедший через версию 1.20.21, следует считать скомпрометированным.

Ваши проекты используют затронутый пакет @injectivelabs/sdk-ts?

Это не финансовый совет. Всегда управляйте своими рисками.

#INJ #SecurityAlert #CryptoAlert #WalletSafety #SupplyChainAttack

🔥