Solidity Pro: extensões maliciosas do VS Code roubam carteiras de criptomoedas, chaves de API e credenciais

Pesquisadores de segurança identificaram extensões maliciosas para o Microsoft Visual Studio Code (VS Code) que se passavam pela ferramenta Solidity Pro e eram capazes de roubar carteiras de criptomoedas, credenciais, chaves de API e outros dados sensíveis de desenvolvedores.

As extensões foram distribuídas pelos nomes “helper-beeps.solidity-pro” e “web3devtoolsx.solidity-pro”. Ambas já foram removidas do Open VSX, embora o repositório do “web3devtoolsx/solidity-pro” no GitHub permanecesse acessível no momento da análise.

Segundo a Yeeth Security, as primeiras versões das extensões, da 1.0.0 até a linha 2.4.x, estabeleciam comunicação com endpoints hospedados no Cloudflare Workers para baixar um payload Python criptografado e executá-lo no sistema da vítima.

A partir da versão 3.0.0, a operação evoluiu para um infostealer mais completo. O malware passou a coletar perfis de navegadores, carteiras de criptomoedas, tokens de plataformas de controle de código-fonte, chaves de API e SSH e tokens de bots do Telegram. Os dados capturados eram posteriormente enviados por meio de um bot do Telegram.

Entre os dados procurados estavam tokens do GitHub nos formatos “ghp_” e “github_pat_”, tokens “glpat-” do GitLab, chaves e tokens de sessão da AWS, tokens “cfat_” da Cloudflare e chaves de API da OpenAI nos formatos “sk-”, “sk-proj-” e “sk-ant-”.

O malware também buscava tokens de bots do Telegram, frases mnemônicas e seeds de carteiras, cofres de MetaMask, Phantom, Rabby, Coinbase, Trust e Keplr, além de chaves Bitcoin WIF e xprv, chaves privadas SSH, credenciais presentes em URLs e tokens de autenticação multifator do 1Password.

A campanha empregava diferentes mecanismos para dificultar sua identificação durante análises de marketplaces e sandboxes. Entre eles estavam forte ofuscação do código, publicação de versões intermediárias aparentemente legítimas para construir confiança e ativação maliciosa com atrasos aleatórios de várias horas ou até dias após a instalação.

Segundo a Yeeth Security, esse comportamento permite que verificações automatizadas de curta duração terminem antes da execução da parte maliciosa. A ofuscação também divide strings em diferentes estruturas, remonta os valores durante a execução e altera nomes de métodos entre versões, dificultando mecanismos de detecção baseados em assinaturas.

A empresa observou ainda semelhanças no modo de operação com o WhiteCobra, cluster de ameaças identificado em setembro de 2025 distribuindo o Lumma Stealer por meio de extensões maliciosas do VS Code. A análise, porém, descreve uma semelhança de técnicas e não atribui diretamente a campanha Solidity Pro ao grupo.

Extensões falsas voltadas a desenvolvedores Solidity já haviam sido identificadas anteriormente. Em junho de 2026, a Yeeth Security encontrou a “ethdevtools.solidity-language-support”, que se apresentava como uma ferramenta de suporte à linguagem Solidity para desenvolvedores Ethereum.

Nesse caso, a extensão continha um malware de clipboard com ativação atrasada, projetado para identificar frases seed BIP-39, chaves privadas Ethereum e endereços de carteiras. Ao detectar um endereço de criptomoeda reconhecido na área de transferência, o código substituía o conteúdo por um endereço controlado pelos invasores.

A técnica utilizava diretamente a API “vscode.env.clipboard.writeText”, sem precisar criar processos, acessar a rede ou gravar arquivos. Isso dificulta a identificação por scanners estáticos que procuram apenas imports considerados perigosos no Node.js.

As descobertas ocorrem em meio à identificação de outras extensões maliciosas do VS Code e pacotes npm. Um deles, chamado “ascii-fetcher”, escondia código malicioso na dependência “@jaymara/jsononifier” para decodificar e executar comandos por meio de “child_process.exec”.

Pesquisadores também encontraram dez extensões do VS Code que distribuíam droppers baseados em BAT, JavaScript e HTA para Windows. Duas incluíam uma dependência npm que utilizava um hook “postinstall” para baixar e executar um payload remoto.

Outra extensão, “DigitalBarberTrim.html-entity-codec”, enumerava forks conhecidos do VS Code, incluindo Cursor, Windsurf, Codium e Positron. Dependendo da versão, ela podia baixar um arquivo VSIX remoto ou apresentar apenas um código praticamente vazio para reduzir as chances de detecção.

Usuários que instalaram as extensões envolvidas devem removê-las e verificar grafos de dependências e possíveis sinais de comprometimento. A Yeeth Security também recomenda bloquear domínios de comando e controle conhecidos e monitorar execuções de ferramentas como cscript, mshta, cmd, curl e PowerShell.