Injective npm軟件包遭惡意修改
安全公司Socket發現Injective區塊鏈@injectivelabs/sdk-ts npm包被惡意篡改。
攻擊者入侵開發者GitHub賬戶植入竊取錢包私鑰和助記詞代碼，將數據編碼後發送至僞裝服務器，該包周下載量約5萬次，惡意版本1.20.21於6月8日出現。
Injective CEO Eric Chen稱問題已修復，受影響版本棄用，網絡資金無風險，但惡意包已被下載超310次，且鎖定其他17個包，Socket警告攻擊尚未完全遏制。
來源：公開信息
ABAB AI 解讀
Injective Labs此前作爲Cosmos生態DeFi項目依賴npm供應鏈，此次攻擊類似2020s多起GitHub憑證泄露事件（如xz utils後門），攻擊者通過開發者賬戶實現供應鏈污染，暴露開源維護者安全意識不足。
資本路徑上，攻擊者瞄準高下載量SDK竊取用戶資產，資源向自動化供應鏈掃描與安全工具傾斜，Injective團隊快速響應棄用版本，動機在於維護生態信任，避免資金外流與聲譽損害。
類似2024 SolarWinds或近期npm事件，區塊鏈項目當前處於依賴JavaScript生態卻面臨持續供應鏈攻擊的高風險階段，高端DeFi協議尤其易受影響。
本質屬於技術替代下的產業鏈重構：開源npm包成爲攻擊向量，機制在於開發者賬戶弱保護與依賴傳播放大影響，資本從單純協議開發轉向供應鏈安全與審計，定價權從快速迭代項目轉向具備安全壁壘的成熟生態。
ABAB News · 認知定律
供應鏈最弱一環，決定整個鏈條安全。
下載量越大，攻擊面越廣。
快速修復救急，預防入侵治本。