Tra l’8 e il 14 luglio 2026 si è verificata una serie di attacchi supply‑chain nel registro npm, con numerosi pacchetti compromessi. In particolare, 18 moduli legati a Injective contenevano una backdoor per sottrarre chiavi di portafogli e mnemonic, mentre decine di altri pacchetti (come nodemon‑patch, malware stealer SDK e vari strumenti per SQLite) presentavano malware capaci di compromettere completamente i sistemi.
Cosa è successo
Il 8 luglio 2026 un account sviluppatore di Injective Labs è stato compromesso. Attraverso il canale di pubblicazione automatica (GitHub Actions + OIDC), è stata rilasciata la versione 1.20.21 del pacchetto @injectivelabs/sdk‑ts contenente codice malevolo camuffato da telemetria. Questo intercettava le funzioni fromMnemonic e fromHex, inviando frasi di recupero e chiavi private a un server fasullo. Il rilascio è durato meno di un’ora, ma ha interessato anche 17 altri pacchetti che dipendevano esattamente da questa versione.
Parallelamente, tra il 14 luglio, sono emerse numerose altre minacce: pacchetti come @sqlite‑clone/nodesql, @sqlite‑panel/createsql, @codex2005/logger‑core e altri erano infettati con malware che garantivano il controllo totale dei sistemi in cui erano installati.
Perché è importante
- Anche chi non utilizza direttamente Injective può essere esposto: i pacchetti malevoli erano largamente diffusi e possono entrare in progetti tramite dipendenze transitive, compromettendo chiavi, dati sensibili o interi sistemi.
- Le PMI e i professionisti che utilizzano npm, ambienti di sviluppo condivisi o CI/CD senza controllo delle versioni rischiano intrusioni silenziose e gravi perdite di dati o accessi.
- Questo attacco dimostra che anche librerie apparentemente innocue possono essere veicolo di compromessi; non basta affidarsi solo agli audit sui propri codici, serve una protezione sull’intera supply‑chain.
Cosa fare adesso
- Verifica se il tuo progetto o dipendenze includono @injectivelabs/sdk‑ts@1.20.21 o uno dei 17 pacchetti collegati ed elimina immediatamente queste versioni.
- Aggiorna le dipendenze alla versione sicura 1.20.23 o superiore, evitando aggiornamenti automatici se non controllati.
- Scansiona il tuo sistema per i pacchetti elencati come compromessi su supplychainattack.org e rimuovili prontamente.
- Ruota le chiavi e le frasi mnemonic derivanti da ambienti in cui i pacchetti sospetti sono stati installati.
- Implementa policy di integrità per le dipendenze (lockfile, controllo hash) e modalità di verifica della provenienza dei pacchetti.
- Monitora il traffico in uscita per individuare chiamate sospette con header anomali, es. X‑Request‑Id usato per esfiltrare chiavi.
Come ti aiuta Evo Sistemi
Evo Sistemi può supportarti con servizi concreti per proteggere la tua azienda:
- La nostra sicurezza informatica ti aiuta a monitorare le dipendenze, implementare policy di sicurezza nella tua pipeline e rilevare comportamenti sospetti.
- Con il servizio di realizzazione siti web, progettiamo piattaforme con dipendenze aggiornate, ambienti isolati e massima attenzione alla sicurezza.
- Il supporto in compliance e GDPR assicura che i processi di gestione, privacy e sicurezza dei dati siano conformi alle normative e alle migliori pratiche.
Contattaci in modo semplice per rafforzare la protezione della tua attività: scrivici qui.
Domande frequenti
È stato effettivamente rubato del denaro?
La versione compromessa potrebbe aver esfiltrato frasi mnemonic e chiavi private, ma non risulta alcun furto confermato on‑chain. Tuttavia, le credenziali potenzialmente esposte vanno considerate compromesse.
Come identifico se ho il pacchetto infetto?
Controlla il tuo file package.json o il lockfile per @injectivelabs/sdk‑ts@1.20.21 o uno dei 17 pacchetti dipendenti. In tal caso, rimuovi o blocca subito tali versioni.
È sufficiente aggiornare alla versione 1.20.23?
Sì, la versione 1.20.23 è pulita e sostituisce quella vulnerabile. Assicurati che nessun ambiente installi la vecchia release da cache o lockfile.
Fonte: supplychainattack.org.