Hackers tentam inserir backdoor em pacote npm da Injective para roubar chaves de carteiras

　　Hackers comprometeram um pacote de software Injective amplamente utilizado em um ataque à cadeia de suprimentos com malware projetado para roubar chaves privadas de carteiras de criptomoedas, somando-se a um vetor de ataque crescente que envolve invasores usando plataformas legítimas para distribuir cargas maliciosas.

　　A empresa de segurança Socket descobriu na quinta-feira que um pacote popular do npm (gerenciador de pacotes do Node.js), com cerca de 50.000 downloads semanais e usado para compilar na blockchain Injective, foi modificado maliciosamente para roubar chaves privadas de carteiras e frases-semente.

　　O grande número de downloads torna o incidente “significativo para desenvolvedores e aplicativos que lidam com fluxos de trabalho da carteira Injective”, disseram os pesquisadores da Socket . O código malicioso já foi removido.

　　O ataque à cadeia de suprimentos de software é um vetor de ataque relativamente novo, no qual os hackers não visam diretamente a criptografia ou os contratos inteligentes de um blockchain, mas sim comprometem ferramentas de desenvolvimento confiáveis usadas para criar carteiras, exchanges e aplicativos.

　　A Injective é uma camada 1 interoperável projetada para aplicações DeFi. Seu uso diminuiu nos últimos dois anos, com o valor total bloqueado caindo 88%, para os atuais US$ 8,2 milhões, ante o pico de US$ 71 milhões em meados de 2024, segundo a DefiLlama.

　　Copiar secretamente chaves e frases privadas

　　A versão 1.20.21 do pacote npm @injectivelabs/sdk-ts foi modificada por meio de uma conta de desenvolvedor do GitHub comprometida, com commits suspeitos a partir de 8 de junho. Ela também foi fixada em outros 17 pacotes no escopo npm da Injective Labs, “expondo usuários que podem não ter instalado o SDK [kit de desenvolvimento de software] diretamente”, disse a Socket.

　　“O malware intercepta funções de derivação de chaves de carteira, registra chaves privadas e frases mnemônicas e as exfiltra por meio de telemetria falsa”, explicou a Socket.

　　O código malicioso se infiltrou em funções normais usadas para gerar chaves de carteira e, sempre que o aplicativo de um desenvolvedor usava essas funções, copiava secretamente a frase mnemônica ou a chave privada. Os dados comprometidos eram então codificados e enviados para um endereço web que se parecia com um servidor legítimo da rede Injective.

　　“Quaisquer chaves ou frases mnemônicas transmitidas por meio de pacotes afetados devem ser consideradas comprometidas”, acrescentou a Socket.

　　A Socket informou que o desenvolvedor cuja conta foi invadida detectou rapidamente a invasão, mas o malware já havia sido baixado mais de 300 vezes e “a campanha em si ainda não está totalmente contida”.

　　Eric Chen, CEO da Injective, afirmou: “O problema já foi corrigido e as versões afetadas no npm já foram descontinuadas”. Ele acrescentou que nenhum fundo na rede está em risco, e a Socket não especificou se houve roubo de fundos no incidente.

　　O pacote npm comprometido foi baixado 310 vezes. Fonte: Socket

　　As concessões financeiras mais caras deste ano

　　A Security Alliance (SEAL) afirmou em seu relatório de ameaças do segundo trimestre que os atacantes estão usando cada vez mais plataformas legítimas como GitHub, npm e Google para distribuir payloads.

　　“Em alguns casos, sistemas comprometidos estão sendo usados para enviar código malicioso diretamente para os repositórios GitHub da própria empresa, transformando uma única violação em um canal de distribuição para a próxima.”

　　A SEAL acrescentou que o próprio malware também se tornou mais abrangente, “com payloads multiplataforma, incluindo um aumento nas campanhas específicas para macOS, que combinam roubo de informações, RATs (trojans de acesso remoto) e recursos de backdoor em um único pacote.”

　　Um ataque semelhante à cadeia de suprimentos atingiu as versões do Axios npm em março, enquanto uma campanha de malware chamada TrapDoor foi descoberta em maio, tendo como alvo desenvolvedores de criptomoedas, DeFi, IA e segurança.

　　O próprio GitHub foi alvo de um ataque em 20 de maio, quando relatou acesso não autorizado aos seus repositórios internos após a invasão do dispositivo de um funcionário.

　　A invasão de carteiras digitais foi o vetor de ataque mais custoso no primeiro semestre de 2026, com US$ 444 milhões roubados em 33 incidentes, informou a CertiK nesta segunda-feira.