Injectiveのnpmパッケージ侵害、廃止前にウォレット鍵窃取リスクが露呈

セキュリティ研究者のStepSecurityとSocketによると、インジェクティブのTypeScript SDKの悪意あるバージョンが、GitHubのメンテナーアカウント侵害を通じて2026年7月8日に一時的にnpmへ公開され、ウォレット操作時のシードフレーズと秘密鍵を狙うソフトウェアサプライチェーン攻撃が発生した。両社によると、@injectivelabs/sdk-tsのバージョン1.20.21は310回ダウンロードされ、削除前に関連する18のnpmパッケージでこの侵害バージョンに固定されていた。その後、最初の悪意ある公開から約49分以内に正常な代替版が公開された。これに対しインジェクティブは、問題は直ちに解決され、影響を受けたバージョンは廃止・差し替え済みで、ユーザー資金の損失やユーザーへのリスクはなかったと説明しており、研究者が報告したダウンロード数や露出時間と食い違っている。広範な窃取被害は確認されていないが、研究者はバージョン1.20.21をインストールした開発者や、CI/CDシステムにキャッシュしていた開発者に対し、環境を精査し、影響を受けたコードで実行したウォレット操作は侵害された可能性があるものとして扱うよう促した。