吴说区块链(@wublockchain12):据安全公司 StepSecurity 披露，攻击者于 7 月 8 日利用受信任开发者账户权限，在 Injective 官方 TypeScript SDK @injectivelabs/sdk-ts 中植入后门，并通过自动发布流程将恶意版本 1.20.21 推送至 18 个相关 npm 软件包。恶意代码伪装为分析工具，在钱包创建或加载时收集助记词和私钥，并发送至攻击者控制的服务器。受影响版本上线不足一小时后被撤回，18 个软件包随后发布修复版本 1.20.23。StepSecurity 建议，曾在相关时间窗口安装受影响软件包或使用其缓存副本的应用，应将接触过的钱包密钥视为已泄露。

2026.07.10 03:29

据安全公司 StepSecurity 披露，攻击者于 7 月 8 日利用受信任开发者账户权限，在 Injective 官方 TypeScript SDK @injectivelabs/sdk-ts 中植入后门，并通过自动发布流程将恶意版本 1.20.21 推送至 18 个相关 npm 软件包。恶意代码伪装为分析工具，在钱包创建或加载时收集助记词和私钥，并发送至攻击者控制的服务器。受影响版本上线不足一小时后被撤回，18 个软件包随后发布修复版本 1.20.23。StepSecurity 建议，曾在相关时间窗口安装受影响软件包或使用其缓存副本的应用，应将接触过的钱包密钥视为已泄露。