Solidity Pro VS Code 扩展程序窃取加密钱包、API 密钥和凭据

Ravie LakshmananAug 10, 2026恶意软件 / 网络犯罪

网络安全研究人员标记了一个名为 Solidity Pro ("solidity-pro") 的恶意 Microsoft Visual Studio Code (VS Code) 扩展，该扩展被观察到会分发浏览器钱包和凭据窃取程序。

扩展的名称如下 -

• helper-beeps.solidity-pro
• web3devtoolsx.solidity-pro

尽管这两个扩展目前都已不在 Open VSX 上提供，但截至发稿时，"web3devtoolsx/solidity-pro" 的 GitHub 仓库仍然可以访问。

根据 Yeeth Security 的说法，这些扩展的早期版本（从 1.0.0 到 v2.4.x）被发现会向 Cloudflare Workers 端点发送信号，以检索并执行加密的 Python 载荷。

另一方面，从 v3.0.0 开始的后续版本已转变为功能齐全的信息窃取程序，可以收集浏览器配置文件、加密钱包、源代码控制令牌、API 密钥、SSH 密钥和 Telegram 机器人令牌。捕获的数据随后通过 Telegram 机器人上传进行外泄。

该窃取程序收集的数据列表如下 -

• GitHub ghp_ 和 github_pat_ 令牌
• GitLab glpat- 令牌
• AWS 密钥和会话令牌
• Cloudflare cfat_ 令牌
• OpenAI sk-、sk-proj- 和 sk-ant- 密钥
• Telegram 机器人令牌
• 助记词和种子短语
• MetaMask, Phantom, Rabby, Coinbase, Trust, Keplr 钱包保险库
• Bitcoin WIF / xprv
• SSH 私钥 (PRIVATE KEY)
• URL 凭据和 1Password MFA 令牌

该恶意软件家族还具备通过重度混淆、用于建立信任的中间干净版本以及随机延迟激活来绕过市场审查、静态扫描和常规沙箱的能力，这导致恶意代码在安装数小时或数天后才会运行。

"当恶意分支运行时，用户已经认为该扩展是有用的，而只观察软件包几分钟的自动扫描器已经离开了，" Yeeth Security 表示。"混淆并非装饰性的；它将字符串拆分到 IIFE 表中，在运行时重新组装，并在版本之间切换方法名称，因此基于特征的检测必须追踪一个移动的目标。"

这家网络安全公司表示，该活动与 WhiteCobra 共享相同的高层策略，WhiteCobra 是另一个在 2025年9月被检测到通过恶意 VS Code 扩展分发 Lumma Stealer 的威胁集群。

这并非威胁行为者首次在开源生态系统中发布虚假的 Solidity 扩展。在 2026年6月，Yeeth Security 标记了另一个名为 "ethdevtools.solidity-language-support" 的扩展，该扩展冒充以太坊开发者的 Solidity 语言支持工具，但潜藏了一个延迟激活的剪贴板窃取程序，用于搜刮 BIP-39 种子短语、以太坊私钥和钱包地址。