B
今週中
Injective LabsのGitHubリポジトリが侵害され、暗号資産ウォレットの秘密鍵やシードフレーズを盗み出す悪意のあるnpmパッケージ
📌 一言でいうと
Injective LabsのGitHubリポジトリが侵害され、暗号資産ウォレットの秘密鍵やシードフレーズを盗み出す悪意のあるnpmパッケージが公開されました。攻撃者は既存のコントリビューターのアカウントを使用して悪意のあるコードを混入させ、@injectivelabs/sdk-tsのバージョン1.20.21およびそれに依存する17のパッケージに影響を及ぼしました。当該バージョンはnpmレジストリで非推奨となりましたが、GitHub上のリリース成果物には依然として悪意のあるコードが残っている可能性があります。
🔍該当判定
- 仮想通貨（暗号資産）の開発や運用に『Injective Labs』のSDKを利用している
- npm経由で『@injectivelabs/sdk-ts』のバージョン 1.20.21 をインストールした
- GitHubから『@injectivelabs』が提供するパッケージの最新版を直接ダウンロードして利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. @injectivelabs/sdk-ts バージョン 1.20.21 を使用していないか確認し、直ちにアップデートまたはクリーンなバージョンへの差し戻しを行う。 2. 侵害されたバージョンを使用した可能性がある場合は、ウォレットの秘密鍵やシードフレーズが漏洩したとみなし、資産の移動を検討する。 3. 依存関係の固定（Pinning）設定を見直し、信頼できるソースからのパッケージのみを導入する。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Injective Labs SDK におけるサプライチェーン攻撃への対応について
お疲れさまです。Injective LabsのSDKリポジトリが侵害された件に関する情報共有です。
■ 概要
GitHubリポジトリの侵害により、暗号資産ウォレットの秘密鍵等を窃取する悪意のあるnpmパッケージが公開されました。攻撃者は正規開発者のアカウントを用いてコードを混入させており、巧妙なサプライチェーン攻撃となっています。
■ 影響範囲
- 対象パッケージ: @injectivelabs/sdk-ts バージョン 1.20.21
- および、上記バージョンに依存・固定している @injectivelabs スコープのパッケージ 17種
■ 対応手順
1. プロジェクトの package-lock.json または yarn.lock を確認し、@injectivelabs/[email protected] が含まれていないか確認してください。
2. 該当バージョンが検出された場合は、直ちに安全なバージョンへ更新してください。
3. 開発環境で当該バージョンを実行していた場合、環境変数や設定ファイルに保存されていたウォレット情報の漏洩を想定し、対応を検討してください。
■ 参考情報
- Socket Security Analysis
対応優先度: 高
対応期限: 本日中
お疲れさまです。Injective LabsのSDKリポジトリが侵害された件に関する情報共有です。
■ 概要
GitHubリポジトリの侵害により、暗号資産ウォレットの秘密鍵等を窃取する悪意のあるnpmパッケージが公開されました。攻撃者は正規開発者のアカウントを用いてコードを混入させており、巧妙なサプライチェーン攻撃となっています。
■ 影響範囲
- 対象パッケージ: @injectivelabs/sdk-ts バージョン 1.20.21
- および、上記バージョンに依存・固定している @injectivelabs スコープのパッケージ 17種
■ 対応手順
1. プロジェクトの package-lock.json または yarn.lock を確認し、@injectivelabs/[email protected] が含まれていないか確認してください。
2. 該当バージョンが検出された場合は、直ちに安全なバージョンへ更新してください。
3. 開発環境で当該バージョンを実行していた場合、環境変数や設定ファイルに保存されていたウォレット情報の漏洩を想定し、対応を検討してください。
■ 参考情報
- Socket Security Analysis
対応優先度: 高
対応期限: 本日中
Subject: [Security Alert] Supply Chain Attack on Injective Labs SDK
Dear Team,
We are sharing information regarding a supply chain compromise affecting the Injective Labs SDK.
■ Overview
Threat actors compromised the Injective Labs GitHub repository to publish malicious npm packages designed to exfiltrate cryptocurrency wallet private keys and mnemonic seed phrases. The attack was carried out via a compromised developer account.
■ Affected Scope
- Package: @injectivelabs/sdk-ts version 1.20.21
- 17 additional @injectivelabs scoped packages that depend on the malicious version.
■ Action Plan
1. Audit package-lock.json or yarn.lock files to identify if @injectivelabs/[email protected] is being used.
2. Immediately update to a secure version if the affected version is found.
3. If the malicious version was executed in any environment, assume that wallet keys or seed phrases stored in that environment have been compromised.
■ Reference
- Socket Security Analysis
Priority: High
Deadline: Immediate
Dear Team,
We are sharing information regarding a supply chain compromise affecting the Injective Labs SDK.
■ Overview
Threat actors compromised the Injective Labs GitHub repository to publish malicious npm packages designed to exfiltrate cryptocurrency wallet private keys and mnemonic seed phrases. The attack was carried out via a compromised developer account.
■ Affected Scope
- Package: @injectivelabs/sdk-ts version 1.20.21
- 17 additional @injectivelabs scoped packages that depend on the malicious version.
■ Action Plan
1. Audit package-lock.json or yarn.lock files to identify if @injectivelabs/[email protected] is being used.
2. Immediately update to a secure version if the affected version is found.
3. If the malicious version was executed in any environment, assume that wallet keys or seed phrases stored in that environment have been compromised.
■ Reference
- Socket Security Analysis
Priority: High
Deadline: Immediate