Theo công ty bảo mật StepSecurity tiết lộ, kẻ tấn công đã lợi dụng quyền truy cập của tài khoản nhà phát triển đáng tin cậy vào ngày 8 tháng 7, cài backdoor vào SDK TypeScript chính thức của Injective @injectivelabs/sdk-ts, và thông qua quy trình phát hành tự động đã đẩy phiên bản độc hại 1.20.21 lên 18 gói npm liên quan. Mã độc giả dạng công cụ phân tích, thu thập cụm từ ghi nhớ (mnemonic) và khóa riêng tư (private key) khi tạo hoặc tải ví, và gửi đến máy chủ do kẻ tấn công kiểm soát. Phiên bản bị ảnh hưởng đã bị thu hồi sau khi trực tuyến chưa đầy một giờ, 18 gói sau đó đã phát hành phiên bản sửa lỗi 1.20.23. StepSecurity khuyến nghị, các ứng dụng từng cài đặt gói bị ảnh hưởng hoặc sử dụng bản sao đệm (cache) của chúng trong khung thời gian liên quan nên coi khóa ví đã tiếp xúc như đã bị lộ.