Según reveló la empresa de seguridad StepSecurity, el 8 de julio un atacante aprovechó los permisos de una cuenta de desarrollador confiable para insertar una puerta trasera en el SDK oficial de TypeScript de Injective @injectivelabs/sdk-ts y, a través de un proceso de publicación automatizado, distribuyó la versión maliciosa 1.20.21 a 18 paquetes npm relacionados. El código malicioso se disfrazó como herramienta de análisis y, al crear o cargar una billetera, recopilaba frases mnemotécnicas y claves privadas, enviándolas a un servidor controlado por el atacante. La versión afectada fue retirada menos de una hora después de su publicación, y los 18 paquetes lanzaron posteriormente la versión corregida 1.20.23. StepSecurity recomienda que las aplicaciones que instalaron el paquete afectado o utilizaron su copia en caché durante la ventana de tiempo correspondiente consideren comprometidas las claves de billetera expuestas.