Solidity Pro VS Code 拡張機能が暗号資産ウォレット、APIキー、認証情報を窃取

Ravie LakshmananAug 10, 2026マルウェア / サイバー犯罪

サイバーセキュリティの研究者は、ブラウザウォレットや認証情報を盗む機能が確認された、Solidity Pro（「solidity-pro」）という名前の悪意のあるMicrosoft Visual Studio Code（VS Code）拡張機能に警告を発しました。

拡張機能の名前は以下の通りです -

• helper-beeps.solidity-pro
• web3devtoolsx.solidity-pro

どちらの拡張機能も現在はOpen VSXで利用できませんが、「web3devtoolsx/solidity-pro」のGitHubリポジトリは執筆時点でも引き続きアクセス可能な状態です。

Yeeth Securityによると、1.0.0からv2.4.xまでの初期バージョンの拡張機能は、Cloudflare Workersのエンドポイントと通信（ビーコン）して暗号化されたPythonペイロードを取得し、実行していたことが判明しました。

一方で、v3.0.0以降のバージョンは本格的な情報窃取ツール（インフォスティーラー）に移行しており、ブラウザのプロファイル、暗号資産ウォレット、ソース管理トークン、APIキー、SSHキー、Telegramボットトークンを収集できるようになっています。取得されたデータはその後、Telegramボットのアップロードを通じて外部に送信（エクスフィルトレーション）されます。

このスティーラーによって収集されるデータの一覧は以下の通りです -

• GitHub ghp_ および github_pat_ トークン
• GitLab glpat- トークン
• AWS キーおよびセッショントークン
• Cloudflare cfat_ トークン
• OpenAI sk-、sk-proj-、および sk-ant- キー
• Telegram ボットトークン
• ニーモニックおよびシードフレーズ
• MetaMask、Phantom、Rabby、Coinbase、Trust、Keplr ウォレットの保管庫（vaults）
• Bitcoin WIF / xprv
• SSH 秘密鍵 (PRIVATE KEY)
• URL 認証情報および 1Password MFA トークン

このマルウェアファミリーはまた、高度な難読化、信頼を築くための中間的なクリーンバージョンの提供、インストールから数時間または数日後に悪意のあるコードを実行させるランダム化された遅延実行などを通じて、マーケットプレイスの審査、静的スキャン、および簡易的なサンドボックス環境を回避する機能を備えています。

「悪意のあるブランチが実行される頃には、ユーザーはすでにその拡張機能が有用であると判断しており、パッケージを数分間しか監視しない自動スキャナーはすでにチェックを終えています」と Yeeth Security は述べています。「難読化は単なる飾りではありません。文字列を IIFE テーブル全体に分割し、実行時に再構築します。また、リリースごとにメソッド名を切り替えるため、シグネチャベースの検出は常に変化するターゲットを追跡しなければなりません」