Injective-SDK op npm voorzien van backdoor: GitHub-repo gekaapt voor wallet-key-stealer

Aanvallers hebben de GitHub-repository van de Injective Labs SDK gecompromitteerd en die toegang gebruikt om een kwaadaardig npm-pakket te publiceren met een ingebouwde backdoor om cryptowallet-keys te stelen, meldt BleepingComputer. De inbreuk vormt een directe supply-chain-dreiging voor elke ontwikkelaar en elke applicatie die bouwt op Injective — een Layer-1-blockchain waarvan de SDK transactieondertekening en keybeheer regelt voor decentrale apps.

XRP

XRP

Bekijk coin →

$1,29 ▼3,67%

Marktkapitalisatie · $81.55B

Hoe de aanval werkte

De aanvalsmethode was simpel en meedogenloos. Door de controle te grijpen over de vertrouwde GitHub-repository die het officiële Injective SDK-project beheert, publiceerden de aanvallers een vergiftigd pakket in het npm-register onder de legitieme naam van de Injective SDK. Detectie stroomafwaarts was vrijwel onmogelijk. Ontwikkelaars die het pakket via standaard dependency managers binnenhaalden, kregen geen enkel duidelijk signaal dat er iets mis was — de pakketnaam, de uitgever en de herkomst van de repository oogden allemaal schoon. Eenmaal geïnstalleerd, was de backdoor ontworpen om private keys, seed phrases en wallet-gegevens te onderscheppen die door elke applicatie met Injective-walletfunctionaliteit werden verwerkt.

Bevindingen van onderzoekers

Onderzoekers van Socket sloegen als eerste alarm. De StepSecurity-blog verwijst naar een aanval op 8 juli 2026 waarbij een kwaadwillende via toegang tot het account van een vertrouwde ontwikkelaar een backdoor plaatste in 18 pakketten die aan Injective gelinkt zijn, gericht op cryptowallet-keys. De precieze omvang van die 18 pakketten — of ze allemaal Injective-specifiek zijn of ook aanpalende ecosysteemprojecten betreffen — is gebaseerd op de analyse van StepSecurity en is niet onafhankelijk bevestigd als uitsluitend Injective-gerelateerd.

Omvang en impact

De potentiële schade is groot. Injective is een Layer-1-chain die gebouwd is voor financiële toepassingen. De SDK vormt de leidingen voor transactieondertekening, wallet-interactie en keybeheer bij dApps, wallets en diensten. Elke ontwikkelaar die het gecompromitteerde pakket installeerde, kan onbewust toegang tot private keys of seed phrases aan de aanvallers hebben gegeven — en de blootstelling stopt niet bij de machine van de ontwikkelaar. Als de vergiftigde SDK is meegeleverd in een productieapplicatie, lopen ook de wallets van eindgebruikers die deze applicatie gebruiken mogelijk risico.

Een breder patroon van npm-cryptoaanvallen

Dit is geen op zichzelf staand incident. npm is de afgelopen 15 maanden uitgegroeid tot een geliefd jachtterrein voor cryptodiefstal. In april 2025 werd het officiële XRP$1,29▼3,67%/XRPL npm-pakket voorzien van een backdoor met een crypto-stelende payload, zo meldde Aikido Security. Vijf maanden later resulteerde een phishingcampagne tegen npm-maintainers erin dat 18 populaire JavaScript-pakketten werden voorzien van kwaadaardige code om cryptocurrency te stelen, aldus KrebsOnSecurity. In diezelfde maand doken kwaadaardige npm-pakketten op die zich voordeden als Flashbots en identieke wallet-stelende functies bevatten, meldde The Hacker News. Het patroon is in elk geval hetzelfde: aanvallers richten zich op vertrouwde maintainers en officiële repositories, omdat één gecompromitteerde publicatie stilletjes duizenden stroomafwaartse projecten kan bereiken voordat iemand het opmerkt.

Wat ontwikkelaars nu moeten doen

Ontwikkelaars die mogelijk het gecompromitteerde Injective SDK-pakket hebben geïnstalleerd, moeten nu direct in actie komen. Controleer geïnstalleerde pakketversies tegen bekende, betrouwbare hashes. Roteer alle mogelijk blootgestelde private keys en seed phrases onmiddellijk — voordat er iets anders gebeurt. Update daarna alleen naar een schone, geverifieerde release van Injective Labs. Opnieuw installeren via npm zonder eerst te bevestigen dat de kwaadaardige versie is verwijderd en vervangen, brengt het risico van hernieuwde blootstelling met zich mee.

Injective Labs had op het moment van publicatie nog geen publieke verklaring afgelegd via zijn officiële kanalen. Ontwikkelaars doen er goed aan het officiële X/Twitter-account, Discord en de GitHub-repository van het project in de gaten te houden voor een reactie na het incident en bevestiging van een schone release, voordat ze updates van afhankelijkheden hervatten.

Marktcontext

De aanval vindt plaats in een gespannen markt. De crypto Fear & Greed Index staat op 23/100 — Extreme Fear — met een totale marktkapitalisatie van $2.278,11 miljard en een 24-uurs handelsvolume van $64,74 miljard. BTC$80.965,00▼1,62% noteert op $63.907, een stijging van 2,17% op de dag. ETH$2.398,96▼2,00% staat op $1.773. Supply-chain-aanvallen zoals deze vergroten het vertrouwenstekort dat al door het ecosysteem loopt, waarbij ontwikkelaars die on-chain financiële infrastructuur bouwen zelfs officiële pakketregisters inmiddels als verdacht moeten behandelen totdat ze zijn geverifieerd. Het is nu afwachten of Injective Labs een schone SDK-release publiceert, samen met een post-mortemrapport waarin wordt uitgelegd hoe de GitHub-repository is geschonden — en of de toegang van de aanvaller volledig is ingetrokken.