Injective SDK遭供应链攻击，窃取开发者钱包凭证

近日，攻击者通过入侵Injective Labs贡献者的GitHub账号，向npm发布了恶意版本的TypeScript SDK（@injectivelabs/sdk-ts v1.20.21）。该恶意包伪装成遥测工具，实际上在开发者使用fromMnemonic或fromHex函数时窃取私钥和助记词，从而完全控制受害者加密钱包。受影响的包每周约5万次下载，另有17个依赖包被牵连。攻击后官方已发布v1.20.23修复版，但旧版本仍可获取。建议用户立即轮换所有受影响凭证、创建新钱包并转移资产。