npm-Paket gehackt: Malware stiehlt Krypto-Wallet-Schlüssel
Veröffentlicht: 10.07.2026 um 15:23 Uhr, Redaktion boerse-global.de
Ein gezielter Angriff auf die Entwickler-Tools von Injective Labs hat Sicherheitslücken in der Software-Lieferkette offengelegt. Kriminelle gelangten an private Schlüssel und Seed-Phrasen von Krypto-Wallets.
Gefälschtes Update als Einfallstor
Sicherheitsforscher entdeckten am 9. Juli 2026 eine manipulierte Version des Entwickler-SDKs @injectivelabs/sdk-ts im npm-Registry. Die Angreifer hatten zuvor einen GitHub-Account des Unternehmens gekapert. Über diesen Weg veröffentlichten sie Anfang Juni die infizierte Version 1.20.21 des Software Development Kits.
Das SDK ist ein zentrales Werkzeug für Entwickler, die Anwendungen auf der Injective-Blockchain programmieren. Genau diese Zielgruppe geriet ins Visier der Hacker.
So funktionierte der Datendiebstahl
Die Angreifer nutzten eine Methode namens „Dependency Poisoning". Sie manipulierten die Funktionen zur Schlüsselgenerierung und -ableitung im SDK. Sobald ein Entwickler die infizierte Version nutzte, fing die Schadsoftware sensible Wallet-Daten ab.
Die gestohlenen Informationen – private Keys und sogenannte Mnemonic Seed Phrases – gelangten über gefälschte Telemetrie-Daten an die Hacker. Die Malware sendete die Daten per HTTP-POST an einen Server, der die offizielle Injective-Infrastruktur nachahmte. Konkret tarnte sich das Ziel als Testnet-Archiv-Knoten.
Der aktuelle Vorfall zeigt, wie raffiniert Hacker heute Schwachstellen in der Software-Lieferkette ausnutzen, um an sensible Daten zu gelangen. In diesem kostenlosen E-Book erfahren Sie, wie Sie Ihr Unternehmen proaktiv absichern und Sicherheitslücken schließen, bevor Angreifer diese finden. Experten-Checkliste für IT-Sicherheit jetzt kostenlos herunterladen
Die infizierte Version wurde rund 310 Mal direkt heruntergeladen. Doch die eigentliche Reichweite ist größer: Das manipulierte SDK war eine Abhängigkeit für 87 weitere Pakete, die insgesamt über 112.000 Downloads verzeichnen. Zusätzlich veröffentlichten die Angreifer 17 sogenannte „Pinned Packages" im Rahmen der Kampagne.
Reaktion und Schadensbegrenzung
Injective Labs reagierte umgehend. CEO Eric Chen bestätigte, dass das Problem behoben sei. Die schadhafte Version wurde deponiert und entfernt. Als Ersatz veröffentlichte das Unternehmen die bereinigte Version 1.20.23.
Chen betonte, dass keine Netzwerk-Gelder gefährdet waren. Die Bedrohung richtete sich gezielt gegen einzelne Entwickler oder Nutzer von Anwendungen, die mit der kompromittierten SDK-Version erstellt wurden. Die Injective-Blockchain selbst blieb unversehrt.
Wachsende Gefahr für die Lieferkette
Der Vorfall reiht sich in eine Serie von Angriffen auf die Software-Lieferkette im Krypto-Sektor ein. Laut Daten der Sicherheitsfirma CertiK führten Wallet-Kompromittierungen im ersten Halbjahr 2026 zu Verlusten von 444 Millionen US-Dollar – verteilt auf 33 separate Vorfälle.
Erst im April 2026 war ein ähnlicher Angriff aufgetreten: Eine manipulierte Version eines beliebten Command-Line-Interface war kurzzeitig auf npm verfügbar und zielte auf GitHub-Tokens sowie Cloud-Zugangsdaten ab.
Nicht nur die Software-Lieferkette, auch gezielte Manipulationen durch Phishing stellen eine massive Bedrohung für die digitale Infrastruktur dar. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt Unternehmen in 4 Schritten den Weg zur erfolgreichen Hacker-Abwehr. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Strengere Sicherheitsmaßnahmen in Planung
Die npm-Registry reagiert auf die anhaltende Bedrohung. Für die zweite Jahreshälfte 2026 sind strengere Sicherheitsvorkehrungen angekündigt. Installationsskripte sollen künftig standardmäßig deaktiviert werden. Zudem plant npm, Authentifizierungs-Tokens abzuschaffen, die die Zwei-Faktor-Authentifizierung umgehen. Diese Maßnahmen sollen verhindern, dass Angreifer nach Account-Übernahmen unberechtigt Pakete veröffentlichen können.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
