{"id":1496,"date":"2026-07-10T18:14:59","date_gmt":"2026-07-10T18:14:59","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/el-compromiso-de-github-de-injective-labs-impulsa-los-paquetes-npm-para-robar-claves-de-billetera-cyberdefensa-mx\/"},"modified":"2026-07-10T18:14:59","modified_gmt":"2026-07-10T18:14:59","slug":"el-compromiso-de-github-de-injective-labs-impulsa-los-paquetes-npm-para-robar-claves-de-billetera-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/07\/10\/el-compromiso-de-github-de-injective-labs-impulsa-los-paquetes-npm-para-robar-claves-de-billetera-cyberdefensa-mx\/","title":{"rendered":"El compromiso de GitHub de Injective Labs impulsa los paquetes npm para robar claves de billetera \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Actores de amenazas desconocidos comprometieron el repositorio GitHub del proyecto Injective Labs SDK y lo aprovecharon para publicar un paquete malicioso en el registro npm para robar claves privadas de billeteras de criptomonedas y frases iniciales mnemot\u00e9cnicas.<\/p>\n<p>La versi\u00f3n comprometida, <strong>@injectivelabs\/sdk-ts@1.20.21<\/strong>ven\u00eda integrado con una funcionalidad de telemetr\u00eda falsa que extra\u00eda datos de billeteras de criptomonedas. La versi\u00f3n se lanz\u00f3 el 8 de julio de 2026, pero desde entonces ha sido <a href=\"https:\/\/x.com\/ericinjective\/status\/2075223896660353242\" target=\"_blank\">obsoleto<\/a> en el registro. Dicho esto, los artefactos de lanzamiento que pertenecen a la versi\u00f3n comprometida son <a href=\"https:\/\/github.com\/InjectiveLabs\/injective-ts\/releases\/tag\/v1.20.21\" target=\"_blank\">todav\u00eda disponible<\/a> para descargar desde GitHub al momento de escribir este art\u00edculo.<\/p>\n<p>\u00abLa funcionalidad maliciosa se introdujo en el repositorio oficial de GitHub del proyecto a trav\u00e9s de confirmaciones enviadas por una cuenta de GitHub que pertenece a un desarrollador con un historial establecido de contribuciones al repositorio\u00bb, Socket <a href=\"https:\/\/socket.dev\/blog\/compromised-injective-sdk-npm-package\" target=\"_blank\">dicho<\/a>.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-vuln-protection-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjQl2axNwsfhbXOFynrg_uAZsvHi3OvNGSA8KJO-BKR8Xm3x7yjKV3EvfY4v5mwXx6LF0uWFb9h9d9iAV_Pi-YYhqimX9wx4OaLdDJEdR215Xrxq_PAtXkaLfQso4pTSjbj6fvh_ZTliLpzWZSZfcoZgyXtKwhN-SSDDlmbtUqGLshc0KqYQGWYHMN52Sl1\/s728-e100\/zz-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>La firma de seguridad de la cadena de suministro de software dijo que el actor de amenazas detr\u00e1s del ataque tambi\u00e9n public\u00f3 la versi\u00f3n 1.20.21 en 17 paquetes adicionales con alcance de @injectivelabs que depend\u00edan y fijaban la versi\u00f3n maliciosa del SDK, poniendo as\u00ed a los usuarios transitivos que tal vez no hayan instalado la biblioteca directamente. Esto incluye \u2013<\/p>\n<ul>\n<li>@injectivelabs\/utils<\/li>\n<li>@injectivelabs\/redes<\/li>\n<li>@injectivelabs\/tipos-ts<\/li>\n<li>@injectivelabs\/excepciones<\/li>\n<li>@injectivelabs\/base-billetera<\/li>\n<li>@injectivelabs\/wallet-core<\/li>\n<li>@injectivelabs\/billetera-cosmos<\/li>\n<li>@injectivelabs\/billetera-clave-privada<\/li>\n<li>@injectivelabs\/billetera-evm<\/li>\n<li>@injectivelabs\/billetera-trezor<\/li>\n<li>@injectivelabs\/billetera-cosmostation<\/li>\n<li>@injectivelabs\/billetera-ledger<\/li>\n<li>@injectivelabs\/wallet-wallet-connect<\/li>\n<li>@injectivelabs\/billetera-m\u00e1gica<\/li>\n<li>@injectivelabs\/estrategia-billetera<\/li>\n<li>@injectivelabs\/billetera-llave en mano<\/li>\n<li>@injectivelabs\/billetera-cosmos-estrategia<\/li>\n<\/ul>\n<p>El malware presente en el paquete es bastante simple y directo, y se activa cuando un desarrollador desprevenido utiliza la funcionalidad de la biblioteca. Al evitar los scripts del ciclo de vida y no ejecutarlos durante la fase de instalaci\u00f3n, se ayuda a que el malware pase desapercibido.<\/p>\n<p>Espec\u00edficamente, se ha descubierto que la versi\u00f3n envenenada modifica funciones leg\u00edtimas utilizadas en flujos de trabajo para generar claves privadas al invocar una funci\u00f3n \u00abtrackKeyDerivation()\u00bb con el pretexto de recopilar m\u00e9tricas de uso an\u00f3nimas para la optimizaci\u00f3n del SDK.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEinGr4vdIX3z6lY9KP42k9TMLnc0pORZrrsNQFgJm-4NLj8snsjhNkAZU9ifYvyc6CvfmvNbFPZbsMJvxfRwqXoB00dxtrY8vdoujm-G-3qRT4Ap6qdvkqrmkgQRtiEGkPLXgLDqb4FulcCFqtHD2Er3YS1lK2aTg-dukWAXp6fwmk4da4VZAuG4NMxCTDf\/s1700-e365\/npm-2.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEinGr4vdIX3z6lY9KP42k9TMLnc0pORZrrsNQFgJm-4NLj8snsjhNkAZU9ifYvyc6CvfmvNbFPZbsMJvxfRwqXoB00dxtrY8vdoujm-G-3qRT4Ap6qdvkqrmkgQRtiEGkPLXgLDqb4FulcCFqtHD2Er3YS1lK2aTg-dukWAXp6fwmk4da4VZAuG4NMxCTDf\/s1700-e365\/npm-2.jpg\" alt=\"\" border=\"0\" data-original-height=\"1182\" data-original-width=\"1854\"\/><\/a><\/div>\n<p>\u00abRastrea qu\u00e9 m\u00e9todos de derivaci\u00f3n de claves se utilizan (hexadecimal versus mnem\u00f3nico) y deriva patrones de tiempo para ayudar al equipo del SDK a identificar cuellos de botella en el rendimiento y comprender la adopci\u00f3n de diferentes formatos de claves en todo el ecosistema\u00bb, se lee en la descripci\u00f3n de la supuesta funci\u00f3n de telemetr\u00eda. \u00abTodas las m\u00e9tricas se activan y olvidan y nunca bloquean ni afectan la derivaci\u00f3n de claves\u00bb.<\/p>\n<p>Seg\u00fan Socket, los par\u00e1metros pasados \u200b\u200ba la funci\u00f3n incluyen un marcador codificado que describe el m\u00e9todo utilizado para generar la clave privada y la informaci\u00f3n confidencial real necesaria para generar la clave privada. El material capturado es suficiente para que el actor de la amenaza regenere la clave privada.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/sygnia-cyber-response-d-1\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiBxLQDy7VdLze43eMmpRllTXaPKPfB_veNUxQlqIu3-68GBJtegkhDGCqtaiSymOQviROdxln1FSd4zdMp5Jv9jeF1xQxLPc9uo9H7zW2nWHNax0wT0Y8JRj-zyUfbaCLqhxSfQT2sCfhWMBPL6UVgsh5RYVNVxwus_mW_BY9Ptwz3z7iF0_LWOnte-gqg\/s1600\/sy-d-1.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEl malware agrega l\u00f3gica de robo de billetera criptogr\u00e1fica a un paquete de billetera criptogr\u00e1fica, cada vez que un usuario leg\u00edtimo crea o usa la l\u00f3gica que lee frases mnemot\u00e9cnicas, que son b\u00e1sicamente la clave maestra para cualquier billetera criptogr\u00e1fica, el malware las lee y las env\u00eda al servidor remoto\u00bb, OX Security <a href=\"https:\/\/www.ox.security\/blog\/injectivelabs-npm-package-hijacked-impacting-87-dependent-packages\/\" target=\"_blank\">dicho<\/a>.<\/p>\n<p>En un intento por reducir el n\u00famero de solicitudes salientes, el mecanismo de exfiltraci\u00f3n es <a href=\"https:\/\/www.stepsecurity.io\/blog\/injective-npm-supply-chain-attack-18-packages-backdoored-to-steal-crypto-wallet-keys\" target=\"_blank\">dise\u00f1ado<\/a> para agregar m\u00faltiples derivaciones de claves en una ventana de dos segundos en una sola cola y luego enviarlas en forma de una solicitud HTTPS POST a un servidor externo (\u00abtestnet.archival.chain.grpc-web.injective[.]red\u00bb) en una sola baliza.<\/p>\n<p>PasoSeguridad <a href=\"https:\/\/www.stepsecurity.io\/blog\/injective-npm-supply-chain-attack-18-packages-backdoored-to-steal-crypto-wallet-keys\" target=\"_blank\">anotado<\/a> la liberaci\u00f3n maliciosa se facilit\u00f3 a trav\u00e9s del canal de editor confiable (OIDC) del repositorio, agregando que las confirmaciones maliciosas fueron creadas y enviadas bajo la identidad de un mantenedor confiable existente (\u00abthomasRalee\u00bb).<\/p>\n<p>Se recomienda a los usuarios que hayan instalado la versi\u00f3n maliciosa que actualicen a la versi\u00f3n limpia reci\u00e9n publicada del paquete (1.20.23), traten cualquier clave privada o frase mnemot\u00e9cnica que pase a trav\u00e9s del paquete como comprometida y las roten, y verifiquen si hay dependencias transitivas.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Actores de amenazas desconocidos comprometieron el repositorio GitHub del proyecto Injective Labs SDK y lo aprovecharon para publicar un paquete malicioso en el registro npm para robar claves privadas de billeteras de criptomonedas y frases iniciales mnemot\u00e9cnicas. La versi\u00f3n comprometida, @injectivelabs\/sdk-ts@1.20.21ven\u00eda integrado con una funcionalidad de telemetr\u00eda falsa que extra\u00eda datos de billeteras de criptomonedas. [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1379,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[2081,254,1257,24,931,1327,3677,3678,52,277,276,36,703],"class_list":["post-1496","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-billetera","tag-claves","tag-compromiso","tag-cyberdefensa-mx","tag-github","tag-impulsa","tag-injective","tag-labs","tag-los","tag-npm","tag-paquetes","tag-para","tag-robar"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1496","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1496"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1496\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/1379"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1496"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1496"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1496"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}