یک به‌روزرسانی مخرب در پکیج توسعه‌دهندگان پروتکل «اینجکتیو» (Injective)، خطر بزرگی برای کاربران ایجاد کرده است. طبق گزارش شرکت امنیتی «ساکت» (Socket)، نسخه 1.20.21 از پکیج @injectivelabs/sdk-ts که در npm منتشر شد، یک آپدیت مخرب بوده که کلیدهای خصوصی و عبارت بازیابی (seed phrase) کیف پول‌های کاربران را به سرقت می‌برد. این پکیج جعلی، بیش از ۳۰۰ بار دانلود شده و می‌تواند خسارات سنگینی را برای توسعه‌دهندگان و پروژه‌های متکی به این SDK به همراه داشته باشد.
این پکیج، اطلاعات حیاتی کیف پول‌ها را از طریق یک سرور جعلی برای جمع‌آوری داده (Telemetry) ارسال می‌کرد. این روش یک حمله کلاهبرداری پیچیده از نوع «زنجیره تامین» (supply-chain attack) محسوب می‌شود که در آن، مهاجم خود را جای یک کتابخانه معتبر جا می‌زند. این واقعه نشان می‌دهد که حتی پروژه‌های بزرگ و تیم‌های حرفه‌ای نیز از حملات اینچنینی در امان نیستند و بررسی دقیق منبع و صحت هر به‌روزرسانی، امری حیاتی است.
نظر کارشناسی: این رویداد یک هشدار جدی برای کل اکوسیستم Web3 و به ویژه توسعه‌دهندگان ایرانی فعال در این حوزه است. پیش‌بینی می‌شود با افزایش چنین حملاتی، ابزارها و فرآیندهای امنیتی نظارت بر بسته‌های نرم‌افزاری (مانند Socket) اهمیت و محبوبیت بیشتری پیدا کنند. از سوی دیگر، انتظار می‌رود تیم اینجکتیو با انتشار راهنمای جامع برای احراز هویت بسته‌های اصلی، اعتماد از دست رفته را به سرعت بازسازی کند تا تاثیر منفی بر قیمت توکن INJ در بلندمدت نداشته باشد.
منبع: Crypto.news (مشاهده متن اصلی)
arzi.top/post/231
کپی شد!