Injective nói không có quỹ nào bị đe dọa sau vụ npm bị cài backdoor

Injective đã bác bỏ lo ngại rằng quỹ người dùng bị xâm phạm sau khi mã đánh cắp khóa ví được cài vào 18 gói npm chính thức của dự án.

Vụ việc liên quan đến chuỗi cung ứng phần mềm, có thể ảnh hưởng tới các ví, giao diện giao dịch và bot nếu chúng dùng phải phiên bản bị cài mã độc. Dù Injective nói không có tiền nào gặp rủi ro, các hãng bảo mật vẫn cảnh báo khóa riêng tư và seed phrase đã đi qua phần mềm có thể đã bị lộ.

Cách mã độc lọt vào hệ sinh thái npm của Injective

Injective bị nhắm tới khi hai thay đổi mã độc được đẩy thẳng vào nhánh chính dưới tên “thomasRalee”, một nhà phát triển thật từng đóng góp cho dự án. Không có bước review mã hay pull request, nên đoạn mã xấu đã vượt qua các lớp kiểm tra thông thường.

Mã độc nằm trong phiên bản 1.20.21 của @injectivelabs/sdk-ts, bộ SDK TypeScript dùng cho ví, giao diện sàn và bot giao dịch xây dựng trên Injective. Kẻ tấn công chèn một tệp phân tích giả để móc vào các hàm PrivateKey.fromMnemonic() và PrivateKey.fromHex(), vốn dùng để chuyển seed phrase hoặc private key thô thành khóa ký giao dịch.

Hàm độc hại có tên trackKeyDerivation() và được ngụy trang như một cơ chế thu thập dữ liệu để “tối ưu SDK”. Trên thực tế, nó lấy seed phrase và private key đi qua phần mềm rồi gửi đến máy chủ từ xa có địa chỉ được làm giống một tên miền chính thức của Injective.

18 gói chính thức bị ảnh hưởng và mức độ lan truyền

Phiên bản bị can thiệp 1.20.21 sau đó được ghim trong 17 gói @injectivelabs khác, khiến nguy cơ không chỉ nằm ở một công cụ riêng lẻ. Điều đó có nghĩa là cả những nhà phát triển không dùng trực tiếp SDK bị nhiễm cũng có thể bị ảnh hưởng nếu phụ thuộc vào một gói liên quan.

Dù các gói xấu chỉ tồn tại chưa đầy một giờ, bản phát hành nhiễm mã vẫn được tải xuống hơn 300 lần. Con số này nhỏ hơn nhiều so với mức khoảng 50.000 lượt tải mỗi tuần của SDK, nhưng vẫn đủ để tạo rủi ro nếu có ứng dụng hoặc bản dựng tự động kéo nhầm phiên bản đó.

Phản hồi từ Injective và đánh giá của các hãng bảo mật

Injective Labs cho biết sự cố đã được xác định và xử lý ngay lập tức, đồng thời khẳng định “không có quỹ nào từng gặp rủi ro và không có quỹ nào bị xâm phạm”. CEO Eric Chen cũng nói các bản phát hành npm bị ảnh hưởng đã bị hạ cấp và lỗi đã được sửa.

Ngược lại, Socket cho rằng chiến dịch chưa được khoanh vùng hoàn toàn tại thời điểm công bố báo cáo và chưa xác nhận liệu tài sản nào đã thực sự bị đánh cắp hay chưa. Sự khác biệt này cho thấy mức độ thiệt hại cuối cùng vẫn cần thêm kiểm chứng độc lập.

Người dùng và nhà phát triển cần làm gì ngay

Nhà phát triển nên nâng cấp ngay lên phiên bản sạch 1.20.23 hoặc mới hơn để loại bỏ mã độc. Bất kỳ ứng dụng nào từng kéo bản phát hành xấu, hoặc bản sao được lưu đệm sau đó, cần được xem là đã chạm tới bí mật ví và nên xoay vòng lại các khóa liên quan.

Các tệp package-lock.json hoặc yarn.lock cũng cần được kiểm tra để tìm bất kỳ tham chiếu nào tới phiên bản 1.20.21, vì một số gói có thể đã kéo nó vào tự động. Nếu phần mềm đã xử lý seed phrase hoặc private key qua bản nhiễm mã, các bí mật đó không nên tiếp tục được coi là an toàn.

Tác động rộng hơn với an toàn chuỗi cung ứng phần mềm crypto

Vụ việc của Injective nhấn mạnh rủi ro từ chuỗi cung ứng phần mềm, nơi một thay đổi nhỏ trong thư viện phát triển có thể chạm tới khóa ví và dữ liệu nhạy cảm. Với các dự án crypto phụ thuộc nhiều vào npm, việc kiểm tra phiên bản, quyền đẩy mã và quy trình review là lớp phòng vệ quan trọng.

CertiK cho biết các vụ xâm phạm ví chiếm 444,5 triệu USD bị đánh cắp qua 33 sự cố trong nửa đầu năm 2026. Con số này cho thấy các sự cố liên quan đến ví và phần mềm vẫn là một trong những rủi ro lớn nhất mà người dùng crypto cần theo dõi.

Tổng kết

Injective nói quỹ người dùng không bị xâm phạm, nhưng sự cố npm cho thấy chỉ một gói phát triển bị cài mã độc cũng có thể làm lộ khóa riêng tư và seed phrase. Việc kiểm tra phiên bản, rà lại lockfile và xoay vòng bí mật ví là bước cần thiết với bất kỳ hệ thống nào từng chạm vào bản phát hành bị ảnh hưởng.