Recentemente, um ataque de supply chain chamou a atenção da comunidade cripto, especialmente para os desenvolvedores que trabalham com a blockchain do Injective. Hackers comprometeram um pacote npm amplamente utilizado, que conta com cerca de 50.000 downloads semanais, para roubar chaves privadas de wallets. Essa situação é um alerta para todos nós que estamos sempre em busca de novas gemas e oportunidades no ecossistema cripto.
A empresa de segurança Socket revelou que a versão 1.20.21 do pacote @injectivelabs/sdk-ts foi maliciosamente modificada através de uma conta de desenvolvedor do GitHub que foi invadida. Os commits suspeitos começaram a aparecer em 8 de junho, e o código malicioso foi espalhado por 17 outros pacotes dentro do escopo do Injective Labs, expondo usuários que podem não ter instalado o SDK diretamente.
O código malicioso interceptava funções normais de derivação de chaves de wallet, gravando chaves privadas e frases mnemônicas, e exfiltrando essas informações através de uma telemetria falsa. Isso significa que qualquer chave ou mnemônica passada por pacotes afetados deve ser considerada comprometida. O CEO do Injective, Eric Chen, afirmou que o problema já foi corrigido e as versões afetadas no npm foram depreciadas, mas o impacto desse ataque ainda está sendo avaliado.
Esse tipo de ataque é relativamente novo e mostra como os hackers estão se adaptando, utilizando ferramentas de desenvolvedores confiáveis para entregar cargas maliciosas. A Security Alliance (SEAL) destacou que os ataques a wallets foram os mais custosos no primeiro semestre de 2026, com impressionantes $444 milhões roubados em 33 incidentes. Portanto, é crucial que todos nós, como investidores e desenvolvedores, estejamos sempre atentos e prontos para fazer nossa própria pesquisa (DYOR) para evitar cair em armadilhas como essa.
