Pacote npm usado para desenvolver na Injective foi alterado com código para roubar chaves
Um pacote popular do npm — o gestor de pacotes do Node.js — ligado ao ecossistema da blockchain Injective foi comprometido e passou a conter código malicioso concebido para copiar e exfiltrar chaves privadas e frases mnemónicas de carteiras. A descoberta, comunicada por investigadores de segurança, obriga a um alerta local para programadores e responsáveis por serviços digitais em Chaves que utilizem dependências de terceiros.
O incidente ocorreu depois de uma conta de desenvolvedor no GitHub ter sido comprometida, com commits suspeitos detectados desde 8 de junho. A versão afetada mencionada foi a 1.20.21 do pacote @injectivelabs/sdk-ts. O código malicioso vinha embebido em funções legítimas de derivação de chaves: sempre que uma aplicação utilizasse essas rotinas para gerar carteiras, a frase mnemónica ou a chave privada era copiada e enviada através de telemetria falsa.
“O malware intercepta funções de derivação de chaves de carteira, registra chaves privadas e frases mnemónicas e as exfiltra por meio de telemetria falsa”
O alcance do problema é amplificado pelo facto de o pacote ter uma elevada taxa de utilização: a estimativa apontada é de cerca de 50.000 downloads semanais, tornando o episódio significativo para desenvolvedores e aplicações que trabalham com fluxos de carteira Injective. O código malicioso já foi removido, mas o episódio ilustra a crescente ameaça dos ataques à cadeia de fornecimento de software — em que os invasores comprometem ferramentas legítimas usadas por muitos projectos, em vez de atacar diretamente blockchains ou contratos.
Para os residentes e empresas de Chaves que desenvolvem software, prestam serviços digitais ou utilizam carteiras de criptoactivos, as implicações práticas são claras:
- Verificar e actualizar dependências: confirmar se o projecto utiliza @injectivelabs/sdk-ts ou pacotes no mesmo escopo.
- Auditar commits e contas associadas: garantir a integridade das contas de distribuição de código e dos repositórios que alimentam o pipeline de construção.
- Isolar e rotacionar chaves: se houver suspeita de exposição, mudar frases mnemónicas e chaves privadas e notificar utilizadores afectados.
O episódio insere‑se num padrão mais amplo de incidentes em que componentes de software amplamente usados são alvo de adulteração para distribuir malware. A Injective, camada 1 vocacionada para aplicações DeFi, tem visto uma diminuição do seu uso nos últimos dois anos, com o valor total bloqueado a cair para US$ 8,2 milhões face a um pico de US$ 71 milhões, segundo métricas públicas. Ainda assim, a dependência de bibliotecas partilhadas torna muitos projectos vulneráveis.
| Indicador | Valor apontado |
|---|---|
| Downloads semanais estimados do pacote | 50.000 |
| Valor total bloqueado na Injective (actual) | US$ 8,2 milhões |
| Pico anterior de TVL | US$ 71 milhões |
Para atores locais — programadores freelancers, pequenas empresas tecnológicas e utilizadores de carteiras digitais em Chaves — a recomendação é de cautela: confirmar versões de pacotes, aplicar actualizações fornecidas pelos mantenedores, e rever processos de gestão de chaves. A remoção do código malicioso é um passo, mas não elimina a necessidade de auditorias e de boas práticas no ciclo de desenvolvimento.
Em termos práticos, pequenas equipas podem reduzir risco ao limitar dependências não verificadas, usar ferramentas de verificação de integridade de pacotes e, quando possível, manter chaves em dispositivos ou cofres separados do ambiente de desenvolvimento. O incidente sublinha que a segurança moderna passa tanto por proteger código e infra‑estrutura como por proteger a chave privada que permite aceder a activos digitais.
