你的區塊鏈專案可能正在流血！Injective NPM 套件被植入木馬，錢包私鑰全外洩

老實說，如果你最近在開發跟 Injective 有關的應用，看到這則新聞應該會心頭一緊。沒錯，連向來被認為「相對安全」的開發工具，現在也被駭客盯上了。

駭客入侵供應鏈：你的開發工具可能已經不乾淨

就在上週，安全研究機構 Socket 發現了一個驚人的事實：一個每週有將近 5 萬次下載的 Injective 開發套件，被人偷偷動了手腳。這個代號為 @injectivelabs/sdk-ts 的 NPM 套件，被植入了一段專門盜取錢包私鑰和助記詞的惡意程式碼。

「這真的很扯，」一位在區塊鏈產業工作多年的開發者透露，「我們平常信任的就是這些公開的開發工具，誰會想到連這種東西都可能被入侵？」

攻擊是怎麼發生的？

一切要從一個被入侵的 GitHub 開發者帳號說起。根據 Socket 的調查，攻擊者在 6 月 8 日開始提交可疑的程式碼異動，悄悄地把邪惡的鉤子（hook）功能嵌入了正常的金鑰生成函式中。

想像一下：當你（或是你的應用程式）正常產生錢包金鑰時，這段惡意程式碼會在背景偷偷複製你的私鑰或助記詞，然後假裝是「正常的遙測資料」傳送給攻擊者架設的伺服器。這種手法極度狡猾，因為它看起來就像是正常的網路請求，一般的防火牆很難察覺。

影響範圍有多大？

雖然這個被植入木馬的版本（1.20.21）已經被緊急下架，但問題遠比表面看起來嚴重。因為這個惡意版本，還被一口氣pin在另外 17 個 Injective Labs NPM 範圍內的套件中。

也就是說，即使你沒有直接使用這個 SDK，只要你的專案依賴了任何一個受感染的套件，你的錢包資料同樣可能已經外洩。Socket 的報告指出，這個惡意版本已經被下載了 310 次，而且「攻擊行動本身還沒有完全被遏止」。

區塊鏈資安的冰山一角

老實講，這種「供應鏈攻擊」已經成為駭客最愛的新戰場。他們不直接攻擊區塊鏈本身的加密機制，而是把腦筋動到開發者每天使用的工具上。GitHub、NPM、Google——這些我們信賴的平臺，現在都成了攻擊者的武器。

根據 Security Alliance（SEAL）的最新報告，攻擊者越來越喜歡使用這種合法平臺來傳送惡意程式碼，而且這些木馬本身也越來越厲害——跨平臺Payload、結合資料竊取、遠端木馬和後門功能於一體。

開發者自保指南：你的金鑰還安全嗎？

看完這些，相信你心裡一定有個疑問：我該怎麼知道自己的專案有沒有受影響？

Socket 給了一個很直接的建議：任何曾經透過受影響套件產生或處理過的金鑰和助記詞，都應該視為已經暴露。這句話很殘酷，但這就是資安的現實——與其僥倖，不如直接更換。

• 立即檢查專案依賴：確認你的專案是否有使用 @injectivelabs/sdk-ts 或任何 Injective Labs 範圍內的套件，並確認版本號碼。
• 更新到最新版本：Injective 官方已經修復了這個問題，請確保你使用的是乾淨的版本。
• 更換所有相關金鑰：如果你的應用程式在過去幾週內產生過錢包，請立即更換所有的私鑰和助記詞。
• 加強供應鏈安全：考慮使用軟體物料清單（SBOM）工具，定期稽核你的依賴專案。

這個時代的開發者，必須學會質疑

說真的，以前的開發者只需要擔心自己寫的程式有沒有 bug。現在呢？你要擔心的事情變得更多了——你用的工具是否安全？你下載的套件是否被動過手腳？

Injective 執行長 Eric Chen 說，目前網路上沒有資金因此受損。但這則新聞給我們的啟示很清楚：資安不是做好就好，而是要隨時保持警戒。

FAQ 常見問題

Q1: 我怎麼知道我的專案有沒有下載到有問題的版本？

檢查你的 package-lock.json 或 yarn.lock 檔案，搜尋 @injectivelabs/sdk-ts，並確認版本號碼是否為 1.20.21。如果是，請立即更新到最新版本，並考慮更換所有透過該套件產生的錢包金鑰。

Q2: 供應鏈攻擊是不是隻會發生在 NPM 上？

不是的。雖然這次事件發生在 NPM，但供應鏈攻擊可以發生在任何開發者工具平臺上，包括 PyPI、RubyGems、Docker Hub，甚至 GitHub 本身。今年五月，GitHub 就曾因為員工裝置被入侵而導致內部 repositories 被存取。

Q3: 我只是普通使用者，不會寫程式，也需要擔心這個嗎？

如果你使用的是信譽良好的錢包或應用程式，通常他們會自己處理這些資安問題。但如果你最近有使用過任何與 Injective 相關的去中心化應用，建議留意官方公告，並考慮更換錢包——以防萬一。

開發者朋友們，資安這條路不好走，但我們別無選擇。保持懷疑、保持更新，這就是現代區塊鏈開發的日常。