NPM 供應鏈又出大事！Injective SDK 被植入木馬，你的錢包私鑰可能已經外洩

開發者社群注意！你的錢包可能已經被看光

老實說，每次看到供應鏈攻擊的新聞，我都會心底發涼。這次輪到 Injective 生態了——一個專門做 DeFi 的 Layer 1 區塊鏈。

事情是這樣的：資安公司 Socket 在上週四發現，@injectivelabs/sdk-ts 這個熱門 NPM 套件被偷偷植入了木馬程式。這個套件每週有將近 5 萬次下載，是開發者用來建構 Injective 錢包應用的核心工具。你可以想像，當這麼多人依賴的「基礎設施」被駭客動手腳，後果會有多嚴重。

駭客怎麼得手的？

根據 Socket 的分析，攻擊者先是透過入侵開發者的 GitHub 帳號，在 6 月 8 日左右提交了可疑的程式碼更新。這波攻擊不只影響單一套件，還有 17 個綁在 Injective Labs NPM 範圍內的其他套件也一併中標。

「這就像在自來水廠下毒一樣，」我的一位資安工程師朋友這樣形容，「沒人會想到自己每天用的開發工具居然有問題。」

• 惡意程式會鉤住錢包金鑰生成函式
• 每次開發者的應用程式呼叫這些函式時，私鑰或助記詞就會被悄悄複製
• 被竊取的資料會被編碼，然後傳送到一個看起來像正常 Injective 網路伺服器的假網址

資料會說話：這波攻擊不容小覷

雖然開發團隊很快就偵測到異狀並下架了有問題的版本，但截至目前為止，這個帶病毒的套件已經被下載了 310 次。Socket 明確警告：「任何透過受影響套件產生的金鑰或助記詞，都應該視為已經外洩。」

Injective 執行長 Eric Chen 跳出來滅火，說「已經修好了，受影響的版本已經被棄用」，而且「網路上沒有資金面臨風險」。但老實說，這種話聽聽就好——供應鏈攻擊的可怕之處就在於它的隱蔽性，你永遠不知道資料在那 310 次下載中被傳出去多少。

為什麼開發者特別容易受害？

如果你有在開發區塊鏈應用，你一定懂那種「直接複製貼上」的便利性。我們每天會安裝數十個套件，誰會一個一個去檢查原始碼？這正是駭客看中的盲點。

根據 Security Alliance（SEAL）的第二季威脅報告，攻擊者現在越來越喜歡利用「正當平臺」來交付惡意程式——GitHub、NPM、Google 全部中槍。他們的惡意軟體也越來越誇張，不只盜資料，還能遠端控制（ RAT）、開後門，而且跨平臺支援 macOS。

錢包安全警鐘：2026 上半年已損失 4.44 億美元

說出來你可能會嚇一跳。根據 CertiK 的報告，錢包攻擊已經成為 2026 年上半年最昂貴的攻擊手法——一共發生了 33 起事件，累計被偷走了 4.44 億美元。

這不是危言聳聽。如果你正在使用 Injective 生態的應用，或者你最近有安裝過任何 @injectivelabs 相關的套件，我的建議很簡單：趕快重新產生一組新的錢包金鑰，然後把舊的視為已經暴露。不要賭，沒必要。

攻擊手法	受影響範圍	風險等級
NPM 套件植入木馬	5 萬週下載量 / 17 個套件	高
GitHub 帳號入侵	開發者工具供應鏈	中
假遙測伺服器	金鑰與助記詞傳輸	極高

我們能從中學到什麼？

這次事件給所有區塊鏈開發者上了一課：不要盲目信任任何套件，即使是看起來很正規、下載量很高的套件也一樣。定時檢查依賴項、儘可能鎖定版本、收到異常更新通知時立刻回滾——這些看起來麻煩的小動作，關鍵時刻可能救你一命。

最後，如果你想確認自己是否有安裝到有問題的版本，去你的 node_modules 裡搜尋 @injectivelabs/sdk-ts，看看版本號是不是 1.20.21。如果是，別猶豫，趕快處理。

FAQ 常見問題

Q1: 我應該怎麼確認自己有沒有受影響？

檢查你的專案是否安裝了 @injectivelabs/sdk-ts 版本 1.20.21。如果是，趕快升級到最新版本，並重新生成錢包金鑰。

Q2: 這次攻擊有沒有造成實際資金損失？

Injective 官方說目前沒有資金損失，但 Socket 沒有透露是否有人受害。最保險的做法是假設自己有風險，然後採取行動。

Q3: 以後要怎麼避免類似問題？

使用 Socket、npm audit 或 Snyk 等工具定期掃描依賴項；不要用最新版套件，等幾天確認沒問題再升級；收到任何可疑的 GitHub 通知立刻檢查。