据 Woofun AI 消息，Injective 区块链的 npm 软件包 @injectivelabs/sdk-ts 遭到恶意篡改。攻击者通过窃取某开发者的 GitHub 账户权限，在代码中植入了旨在窃取钱包私钥及助记词的恶意逻辑。被窃取的数据经编码后，会被发送至伪装成合法 Injective 网络服务器的地址。该 SDK 每周下载量约为 5 万次，恶意版本 1.20.21 自 6 月 8 日起出现可疑提交，并已扩散至 Injective Labs 旗下的另外 17 个软件包，未直接安装该 SDK 的用户亦可能面临风险。