Cybersecurity-Teams warnen vor einer schädlichen Visual-Studio-Code-Erweiterung namens „Solidity Pro“. Die Ergänzung wird als „Solidity Pro VS-Code“ geführt und soll laut Beobachtungen sowohl Browser-Wallets als auch zahlreiche Zugangsdaten und API-Schlüssel ausleiten. Betroffen sind damit besonders Entwickler, die Erweiterungen aus Open-Source- oder Community-Ökosystemen installieren und dabei auf den guten Ruf des Namens vertrauen.
Obwohl zwei konkrete Varianten zurzeit nicht mehr in Open VSX auffindbar sind, bleibt ein zugehöriges GitHub-Repository erreichbar. Das ist ein wichtiger Hinweis: Auch wenn einzelne Pakete verschwinden, kann die Infrastruktur oder der Code-Zyklus weiterlaufen.
Was ist „Solidity Pro VS-Code“?
Unter den beobachteten Erweiterungsnamen finden sich unter anderem helper-beeps.solidity-pro und web3devtoolsx.solidity-pro. Beide sollen bei Installation eine Kette von Aktionen ausführen, deren Ziel klar ist: sensible Daten aus dem System und aus Browser-Kontexten zu sammeln und anschließend zu exfiltrieren.
Die Forschenden ordnen die Aktivität einer bösartigen Erweiterungskampagne zu, die im Verlauf verschiedener Versionen ihr Verhalten deutlich verändert hat. Genau diese Entwicklung macht die Erkennung so schwer.
Frühe Versionen: Abfragen und späterer Payload-Start
In frühen Iterationen, etwa von Version 1.0.0 bis 2.4.x, wurden Hinweise gefunden, dass die Erweiterung zunächst zu Cloudflare-Workers-Endpunkten „beacons“ sendet. Dabei wird offenbar eine verschlüsselte Python-Nutzlast angefordert, die anschließend ausgeführt werden soll.
Dieser erste Schritt dient häufig als Tarnung und als Kontrollmechanismus: Erst wenn eine passende Umgebung oder ein bestimmter Zeitpunkt erreicht ist, startet die eigentliche Schadfunktion.
Ab Version 3.0.0: Vollwertiger Informationsdiebstahl
Mit dem Sprung auf Version 3.0.0 änderte sich das Schadbild. Statt bei einem einzelnen Payload-Start zu bleiben, konzentriert sich „Solidity Pro VS-Code“ nun auf einen breit angelegten Stealer-Ansatz.
Die Erweiterung soll unter anderem Browserprofile und verschiedene Krypto-Wallet-Vaults auslesen. Zusätzlich werden Token aus Entwickler- und Plattform-Umgebungen abgegriffen, darunter Schlüssel, die normalerweise für Quellcode- und Cloud-Zugriffe gebraucht werden. Das Ergebnis ist eine Sammlung hochwertiger Zugangsdaten, die Angreifern später den Zugriff erleichtern.
Welche Daten sollen gesammelt werden?
Laut Bericht umfasst die Liste der erbeuteten Informationen unter anderem:
- GitHub-Tokens (ghp_ und github_pat_)
- GitLab-Tokens (glpat_)
- AWS Keys und Session Tokens
- Cloudflare-Tokens (cfat_)
- OpenAI-Keys (sk-, sk-proj-, sk-ant-)
- Telegram Bot Tokens
- Mnemonic- und Seed-Phrases
- Wallet-Vaults von MetaMask, Phantom, Rabby, Coinbase, Trust und Keplr
- Bitcoin-Material wie WIF/xprv
- SSH private Keys (PRIVATE KEY)
- URL Credentials und 1Password-MFA-Token
Danach soll die Exfiltration über einen Telegram-Bot Upload erfolgen. Das bedeutet: Ein Angreifer kann Daten über eine externe, leicht anpassbare Kommunikationsschiene abziehen.
Warum fällt das so spät auf?
Ein besonders kritischer Aspekt ist das Vorgehen gegen Erkennung. Die Forschenden beschreiben eine Kombination aus starker Obfuskation, einer Phase, in der Versionen „vertrauenswürdig“ wirken können, sowie einer zufälligen verzögerten Aktivierung. Dadurch läuft die schädliche Komponente teils erst Stunden oder sogar Tage nach der Installation an.
In der Praxis heißt das: Wer nur kurz testet oder „nur mal eben“ die Erweiterung einige Minuten laufen lässt, merkt häufig nichts. Automatisierte Scanner, die Pakete nur kurz beobachten, verlieren so die Chance, den schädlichen Pfad zu sehen.
Auch das Obfuscation-Design soll zielgerichtet sein: Strings werden zur Laufzeit zerlegt und wieder zusammengesetzt, Methodennamen werden zwischen Releases ausgetauscht. Dadurch ist eine reine Signaturerkennung schwer, weil sich Muster über Versionen hinweg verändern.
Ausweichen an Review-Prozesse und Scans
Der Bericht nennt zudem Mechanismen, die darauf abzielen, Sicherheitsprüfungen im Marketplace- oder Scan-Kontext zu umgehen. Dazu zählen:
- Obfuskation, die statische Auswertung erschwert
- Versionen, die zeitweise eher „sauber“ wirken, um Vertrauen zu erzeugen
- verzögerter Start, der Beobachtungsfenster überbrückt
Zusätzlich wird ein ähnliches Vorgehen mit einem anderen Bedrohungscluster in Verbindung gebracht: WhiteCobra, das im September 2025 ebenfalls über bösartige VS-Code-Erweiterungen Stealer verteilt haben soll.
Vorbild: Schon früher gab es ähnliche „Solidity“-Imitationen
„Solidity Pro VS-Code“ steht offenbar nicht allein. Die Forschenden berichten, dass im Juni 2026 bereits eine Erweiterung mit dem Namen „ethdevtools.solidity-language-support“ auffiel. Diese sollte zwar eine Hilfsfunktion für Solidity- bzw. Ethereum-Entwicklung bereitstellen, war aber mit einem delayed-activation clipboard stealer ausgestattet.
Dabei ging es unter anderem um das Auslesen und Ausnutzen von BIP-39 Seed Phrases sowie privaten Schlüsseln. Zusätzlich wird eine Adressentausch-Funktion beschrieben: Wenn eine bekannte Kryptoadresse in der Zwischenablage erkannt wird, ersetzt die Erweiterung den eingefügten Wert durch eine Angreiferadresse. Der Tausch erfolgte über eine VS-Code-API-Funktion zum Schreiben in die Zwischenablage.
Solche Muster zeigen: Die Angreifer versuchen nicht nur Daten zu stehlen, sondern auch Prozesse im Workflow der Nutzer zu manipulieren.
Weitere verdächtige Pakete im Umfeld
Im Kontext werden auch andere rogue Pakete genannt. Dazu zählt ein npm-Paket namens „ascii-fetcher“, das schädlichen Code in einer Abhängigkeit wie @jaymara/jsononifier einbetten soll, um Befehle zu decodieren und über einen Prozessaufruf auszuführen.
Außerdem werden mehrere VS-Code-Erweiterungen beschrieben, die als Dropper fungieren und Windows-basierte Skripte (z. B. BAT) oder weitere Komponenten nachladen können. In einigen dieser Fälle soll eine npm-Abhängigkeit über einen postinstall hook eine entfernte Nutzlast holen und ausführen.
Ein weiteres Beispiel ist die Erweiterung „DigitalBarberTrim.html-entity-codec“. Hier wird berichtet, dass in ausgewählten Versionen ein remote VSIX nachgeladen werden soll, während in anderen Versionen nur ein sehr „leerer“ Platzhalter ausgeliefert wird, um die Prüfung zu umgehen.
Was Nutzer jetzt tun sollten
Wenn „Solidity Pro VS-Code“ bei Ihnen installiert ist, lautet die Empfehlung der Forschenden: Erweiterung entfernen und das System sowie die eigenen Konten prüfen.
Konkrete Schritte, die genannt werden:
- Erweiterung deinstallieren und betroffene Pakete entfernen
- Abhängigkeitsgraphen prüfen, um versteckte Einbindungen in Dependencies zu erkennen
- Bekannte Command-and-Control-Domänen blockieren
- auf die Verwendung verdächtiger Befehle achten bzw. diese gegebenenfalls überwachen, darunter cscript, mshta, cmd, curl und powershell
Für einen wirksamen Schutz lohnt es sich zudem, anschließend Token und Schlüssel zu rotieren, insbesondere wenn Einträge wie API-Keys, GitHub/GitLab-Token oder Wallet-Seed-Material betroffen sein könnten.
Fazit: Vorsicht bei „solidity“-namensähnlichen Erweiterungen
Die Beobachtungen zeigen, wie gefährlich es sein kann, wenn Erweiterungen aus dem Dev-Umfeld heraus Wallets, Token und Zugangsdaten abgreifen. „Solidity Pro VS-Code“ nutzt dafür mehrere Taktiken gleichzeitig: wechselnde Versionen, Verzögerungen, Obfuskation und eine Exfiltration über Telegram.
Planen Sie deshalb bei VS-Code-Erweiterungen konsequent konservativ: nur vertrauenswürdige Quellen, regelmäßige Überprüfung installierter Pakete und ein schneller Reaktionsprozess, falls eine Erweiterung wie diese als schädlich eingestuft wird.
Quelle: https://thehackernews.com/2026/08/solidity-pro-vs-code-extensions-steal.html
