Kampaň s názvem Solidity Pro ukazuje, jak snadno se dá falešné rozšíření pro Visual Studio Code vydávat za oblíbený nástroj pro vývojáře Solidity a přitom sbírat crypto peněženky, API klíče i SSH klíče. Za odhalením stojí bezpečnostní firma Yeeth Security, podle které kampaň navazuje na starší aktivitu skupiny WhiteCobra.
Dvě rozšíření, jeden škodlivý kód
Yeeth Security identifikovala dva publishery na Open VSX, kteří pod stejným jménem solidity-pro nabízeli fakticky identický škodlivý kód:
- helper-beeps.solidity-pro
- web3devtoolsx.solidity-pro
Objevily se i varianta helper-beeps.solidity-pro-ai-auditor a impostor účet iktok90-design.solidity-pro. Z Open VSX byla rozšíření stažena, GitHub repozitář web3devtoolsx/solidity-pro ale v době psaní stále funguje.
Jak se Solidity Pro vyvíjelo od droppera k infostealeru
Kampaň sahá minimálně od verze 1.0.0 po verzi 4.0.0 a v každé fázi mění chování.
Verze 1.0.0 až 2.4.x. Extension.js aktivuje moduly Web3Analytics a ApiClient, počká náhodné zpoždění v řádu 12 až 72 hodin a poté se připojí na endpointy hostované na Cloudflare Workers. Adresy jsou uložené jako hex fragmenty a dekódují se až za běhu, mezi nimi i falešný request na coingecko.com jako zástěrku. Server vrací AES-GCM šifrovanou odpověď, klíč se odvozuje ze statické passphrase přes SHA-256 nebo PBKDF2. Dešifrovaný obsah se uloží jako dočasný Python soubor a spustí přes child_process.spawn, odpojený od hlavního procesu, takže přežije i ukončení VS Code. Před spuštěním extension kontroluje proměnné prostředí jako CI, GITHUB_ACTIONS, JENKINS_HOME a GITPOD_WORKSPACE_ID, aby se vyhnula sandboxu.
Verze 3.0.0 až 3.0.2. Přechodné verze, ve kterých už jsou přítomné komponenty Web3Analytics, ApiClient a ENDPOINTS, ale skutečný infostealer kód je zatím schovaný pod další vrstvou obfuskace.
Verze 3.1.x a novější, včetně web3devtoolsx 3.4.0. Konfigurace se mění na WORKERS, CID, MAX_FILES, MAX_VAULTS a MAX_FILE_SIZE. Rozšíření se z droppera mění na plnohodnotný infostealer, který cíleně vyhledává a odesílá:
- GitHub tokeny ghp_ a github_pat_
- GitLab tokeny glpat-
- AWS klíče a session tokeny
- Cloudflare tokeny cfat_
- OpenAI klíče sk-, sk-proj- a sk-ant-
- Telegram bot tokeny
- Mnemonic a seed phrases
- Vaulty peněženek MetaMask, Phantom, Rabby, Coinbase, Trust, Keplr
- Bitcoin WIF a xprv klíče
- SSH privátní klíče
- Přihlašovací údaje z URL a MFA tokeny 1Password
Data se odesílají jako multipart/form-data upload na Telegram bota.
Decoy verze 1.0.0 a 4.0.0 publishera web3devtoolsx. Malé, čisté balíčky se stejným displayName a popisem v READMEmu, ale bez jakéhokoli škodlivého kódu. Podle Yeeth Security jde nejspíš o budování reputace publishera nebo test, jak rychle marketplace schválí novou verzi po smazání té škodlivé.
Proč Solidity Pro obchází detekci
Celá rodina je stavěná tak, aby přežila recenzní proces marketplace, statické skenery i běžný sandbox zároveň.
Zpožděná aktivace o hodiny až dny znamená, že v době, kdy se škodlivý kód spustí, už si uživatel rozšíření nainstaloval a označil za užitečné, zatímco automatizované skenery, které balíček sledují jen několik minut, jsou dávno pryč. Obfuskace není kosmetická. Řetězce jsou rozdělené do IIFE tabulek a skládají se až za běhu, názvy metod se navíc mezi verzemi mění, takže signaturová detekce honí pohyblivý cíl. Stejný škodlivý kód navíc rotuje mezi několika publishery, takže zablokování jednoho účtu kampaň nezastaví, a mezi škodlivé verze jsou vmíchané čisté decoy verze, které ředí signál pro každého, kdo balíček ručně kontroluje.
Napojení na WhiteCobra a únik interního playbooku
Yeeth Security dává kampaň do souvislosti se skupinou WhiteCobra, kterou poprvé popsala v září 2025 u vzorku NomcFoundation.hardhat-solidity. Tehdy skupina jednomu vývojáři ukradla 500 000 dolarů pomocí falešných počtů stažení, které měly rozšíření dodat na důvěryhodnosti.
Bezpečnostní firma Koi Security později získala únik interního dokumentu s názvem „DEPLOYMENT PLAN: Operation Solidity Pro“. Playbook popisuje pětifázovou strategii: balení rozšíření s věrohodně vyhlížejícím popisem, publikaci na Open VSX, propagaci přes X pomocí předpřipravených šablon, automatizované nafukování počtu stažení na 50 000 a víc pro sociální důkaz a sledování ukradených seed phrases v reálném čase. V seznamu cílených rozšíření se objevuje i ChainDevTools.solidity-pro. Yeeth Security upozorňuje, že vzorky helper-beeps a web3devtoolsx nejsou bajtově identické s tím, co playbook popisuje, shoda je v taktice a značce, ne nutně v konkrétním kódu.
Další rogue rozšíření a npm balíčky ze stejného období
Vedle Solidity Pro se objevila i další podezřelá rozšíření a balíčky:
- npm balíček ascii-fetcher, který přes závislost @jaymara/jsononifier dekóduje a spouští vložený příkaz přes child_process.exec
- deset rozšíření pro VS Code, která doručují Windows BAT, JavaScript a HTA droppery, u dvou z nich navíc postinstall hook v npm závislosti stahuje a spouští vzdálený payload
- rozšíření DigitalBarberTrim.html-entity-codec, které po detekci forků VS Code jako Cursor, Windsurf, Codium a Positron stahuje vzdálený VSIX soubor, jinak servíruje prázdnou stub verzi
- rozšíření Zlmiles.zlmiles-liquid, odstraněné z VS Marketplace, které stahovalo MSI instalátor hostovaný na doméně Replit
Doporučení pro vývojáře
Jméno „Solidity Pro“ nebo podobně znějící „prémiová“ rozšíření stojí za to brát jako neověřená, dokud si uživatel nezkontroluje publishera. Reálný ekosystém Solidity nástrojů je malý, takže neznámý publisher s vysokým počtem stažení je důvod k podezření spíš než k důvěře. Seed phrases a privátní klíče nepatří do VS Code ani do žádného extension hostu, pro tyto účely dává smysl hardwarová peněženka nebo oddělený proces mimo schránku. Nainstalovaná rozšíření se vyplatí čtvrtletně procházet a odstraňovat ty, které se aktivně nepoužívají.
Uživatelé, kteří rozšíření Solidity Pro nainstalovali, by je měli odstranit, zkontrolovat graf závislostí, blokovat známé C2 domény a nastavit alerty na spouštění cscript, mshta, cmd, curl a powershell.
Indikátory kompromitace Solidity Pro
Škodlivá rozšíření
- helper-beeps.solidity-pro
- helper-beeps.solidity-pro-ai-auditor
- web3devtoolsx.solidity-pro
- iktok90-design.solidity-pro (impostor)
Síťové fragmenty
- violet-87cardo[.]workers[.]dev
- soft-feather-7807.0x.cloudflare-workers[.]workers[.]dev
- cold-peak-60871 (fragment subdomény)
- steel-mere-orker (fragment subdomény)
- richardorichp (fragment subdomény)
- 0x0gnx0 (fragment subdomény)
Chování
- zpožděná aktivace s kontrolou proměnných prostředí CI/sandbox
- AES-GCM dešifrování staženého payloadu se statickou passphrase
- staging Python payloadu přes child_process.spawn
- Telegram bot upload peněženkových vaultů, přístupových údajů a SSH klíčů
Zdroje
The Hacker News – Solidity Pro VS Code Extensions Steal Crypto Wallets, API Keys, and Credentials (Ravie Lakshmanan, 10. srpna 2026): https://thehackernews.com/2026/08/solidity-pro-vs-code-extensions-steal.html
Yeeth Security – Solidity Pro’s WhiteCobra Chassis: Cloudflare C2 to Telegram Infostealer (6. srpna 2026): https://yeethsecurity.com/blog/2026-08-06-Solidity-Pro-WhiteCobra-C2-to-Telegram
Yeeth Security – WhiteCobra Beginnings (zmíněný starší případ z září 2025 s krádeží 500 000 $): https://yeethsecurity.com/blog/2025-09-03-WhiteCobra
