ブロックチェーン企業インジェクティブ・ラボの開発キット（SDK）が何者かに乗っ取られ、暗号資産（仮想通貨）のウォレットの秘密鍵を盗む不正コードが仕込まれていたことが分かりました。世界中の開発者が利用する部品を突く「サプライチェーン攻撃」で、被害の拡大が警戒されています。
公式パッケージが乗っ取り被害
問題となったのは、インジェクティブ・ラボが公開する「@injectivelabs/sdk-ts」というソフトウェア部品です。攻撃者は同社のGitHub（ソースコード共有基盤）のリポジトリを乗っ取り、7月8日にバージョン1.20.21として不正コードを含むパッケージをnpm（開発者向けの配布基盤）へ公開しました。
鍵を盗む巧妙な手口
このSDKは週あたり約5万回ダウンロードされ、ウォレットや自動取引ボット、分散型取引所（DEX）、DeFi（分散型金融）アプリの開発に広く使われています。不正コードは、開発者がウォレットの鍵を生成・読み込む関数を呼び出した瞬間に作動し、秘密鍵と復元用の「シードフレーズ」を盗み出します。データはBase64で符号化され、正規の通信を装ってインジェクティブの公開サーバー宛てに送信される巧妙な手口でした。
1時間以内に対処
セキュリティ企業のソケットやステップセキュリティなどが攻撃を検知しました。不正版は削除されるまでに310回ダウンロードされ、関連する18個のパッケージにも数分で波及しました。ただし公開から1時間以内に対処され、影響は最小限にとどまったとされています。
日本への影響
今回の事件は、日本の暗号資産事業者や開発者にとっても対岸の火事ではありません。ビットフライヤーやコインチェックをはじめ、国内の取引所やブロックチェーン企業はオープンソースの部品を数多く利用しており、同種のサプライチェーン攻撃に巻き込まれる恐れがあります。秘密鍵やシードフレーズが流出すれば、利用者の資産が瞬時に奪われかねず、開発現場では導入するパッケージのバージョン管理と監査が一段と重要になります。
日本では金融庁が暗号資産交換業者への監督を強めており、システムの安全対策は事業継続の生命線です。今回のように「信頼できる公式部品」が乗っ取られる手口は、従来のウイルス対策だけでは防ぎきれません。開発者は依存パッケージの更新履歴を常に確認し、利用者は取引所選びの際にセキュリティ体制を見極める姿勢が求められます。自分の資産を守るため、シードフレーズをオンライン環境に保存しない基本の徹底が改めて重要になっています。
まとめ：便利な共有部品ほど、狙われれば被害は一気に広がります。日本の読者も、暗号資産を扱うなら鍵の管理を今一度見直したいところです。
出典:
BleepingComputer – Injective SDK on npm infected
The Hacker News – Injective Labs GitHub compromise
Socket – Compromised Injective SDK npm package
Photo: Shahadat Rahman / Unsplash
