本文详细揭露 Injective SDK 因恶意更新导致的供应链攻击事件,分析攻击手法、影响范围及行业应对策略,为开发者和加密货币用户提供安全防护建议。
近期,加密货币行业再次遭遇严重的供应链攻击事件。安全研究机构 Socket 发现,Injective Labs 旗下的 @injectivelabs/sdk-ts npm 包在 1.20.21 版本中被植入恶意代码,通过伪装成正常的数据收集功能,窃取用户的私钥和助记词。该恶意版本被下载超过 300 次,并通过 17 个相关包传播,直接威胁到依赖该 SDK 的开发者和用户的资产安全。 攻击始于 6 月 8 日,黑客通过入侵开发者的 GitHub 账户,将恶意代码注入到 SDK 的更新中。该代码会拦截钱包的密钥生成函数,记录私钥和助记词,并通过伪装成正常的数据收集功能,将敏感信息发送到一个伪造的 Injective 服务器地址。Socket 安全团队指出,任何通过受影响的包生成的密钥或助记词都应被视为已被泄露,即使应用程序没有直接安装该 SDK,也可能因依赖链受到影响。
尽管开发者迅速发现并移除了恶意版本,但 Socket 表示该攻击仍未完全被遏制。Injective 首席执行官 Eric Chen 确认已废弃受影响的 npm 发布版本,并修复了问题,同时强调 Injective 网络上的资金并未受到威胁。然而,CertiK 的数据显示,2026 年上半年,钱包被攻破是最昂贵的加密货币攻击方式,共导致 33 起事件中 4.44 亿美元被盗。 该事件凸显了加密货币行业供应链攻击的严重性。攻击者不再直接针对区块链的加密或智能合约,而是将目标转向开发者使用的工具和库。Security Alliance 的第二季度威胁报告指出,攻击者越来越多地利用 GitHub、npm 和 Google 等平台传播恶意代码。
在某些情况下,黑客甚至通过入侵公司内部设备,将恶意代码注入到公司的 GitHub 仓库中,形成多级传播。此外,跨平台恶意软件包的使用也在增加,包括信息窃取器、远程访问特洛伊木马和后门程序,其中针对 macOS 的攻击也在上升。 类似的供应链攻击事件此前也曾发生。今年 3 月,Axios 的 npm 发布版本遭遇攻击,而 5 月发现的 TrapDoor 恶意软件针对加密货币、DeFi、人工智能和安全领域的开发者。GitHub 也在 5 月 20 日披露,由于员工设备被入侵,其内部仓库遭到未经授权的访问。 Injective 作为一个跨链 DeFi 应用的层 1 网络,其锁仓总价值(TVL)从 2024 年中期的 7100 万美元峰值下降了 88%,目前仅剩 820 万美元。
今年早些时候,社区成员批准了 IIP-617 提案,加速减少新 INJ 代币的发行,同时保留现有的代币销毁机制。 面对日益复杂的供应链攻击威胁,开发者和用户需要采取更加严格的安全措施。首先,开发者应定期审查依赖的第三方库,确保使用的版本是最新且经过验证的。其次,建议使用多重签名钱包和硬件钱包,减少单点故障的风险。此外,定期备份助记词和私钥,并存储在离线安全设备中,也能有效降低被攻击的风险。 加密货币行业的安全防护不仅需要技术手段,还需要行业合作和共享威胁情报。
开发者社区应建立更加透明的代码审查机制,及时发现和修复潜在的安全漏洞。同时,安全研究机构和企业应加强合作,共同应对日益复杂的网络攻击。 随着 DeFi 和加密货币的普及,供应链攻击将继续成为主要的安全威胁之一。开发者和用户必须保持高度警惕,采取积极的防护措施,才能在快速发展的加密货币生态中保护自己的资产安全。 。
