Extensões maliciosas para o Visual Studio Code estão sendo utilizadas para atingir desenvolvedores que trabalham com blockchain e criptomoedas. Batizadas de “Solidity Pro”, duas extensões identificadas por pesquisadores de segurança foram distribuídas como ferramentas de desenvolvimento, mas escondiam funcionalidades capazes de roubar carteiras digitais, senhas, chaves de API e outros dados armazenados nos computadores das vítimas.
A campanha foi identificada pela empresa de segurança Yeeth Security e envolve as extensões helper-beeps.solidity-pro e web3devtoolsx.solidity-pro. Os pacotes foram disponibilizados na plataforma Open VSX, embora já tenham sido removidos do catálogo. O repositório relacionado à segunda extensão, entretanto, continuava acessível no GitHub no momento da investigação.
O caso chama atenção porque o ataque não depende de uma vulnerabilidade no próprio VS Code. O criminoso explora a confiança depositada em extensões de terceiros e transforma uma ferramenta utilizada diariamente por programadores em um mecanismo para acessar informações sensíveis.
Extensões imitavam ferramentas para desenvolvimento em blockchain
Solidity é a linguagem de programação mais associada ao desenvolvimento de contratos inteligentes na rede Ethereum e em outros projetos compatíveis.
Por isso, uma extensão com esse nome pode parecer uma escolha natural para programadores que trabalham com Web3, DeFi e aplicações descentralizadas.
As extensões analisadas utilizavam justamente essa aparência de legitimidade. Entre os recursos anunciados estavam funcionalidades relacionadas ao desenvolvimento em Solidity, auditoria com inteligência artificial e análise de custos de transações, criando uma justificativa para que desenvolvedores instalassem os pacotes.
O problema estava no código executado em segundo plano.
Segundo a Yeeth Security, versões iniciais da extensão, entre 1.0.0 e 2.4.x, entravam em contato com servidores hospedados no Cloudflare Workers para baixar um payload Python criptografado e executá-lo na máquina comprometida.
Malware evoluiu para roubar informações
A campanha não permaneceu estática.
A partir de versões posteriores, especialmente na linha 3.x, o comportamento teria evoluído para transformar a extensão em um infostealer, programa especializado na coleta de informações armazenadas no dispositivo.
Entre os dados que podem ser procurados estão credenciais de carteiras de criptomoedas instaladas no navegador, chaves privadas e frases de recuperação, além de credenciais salvas, tokens e variáveis de ambiente.
Também foram identificados alvos relacionados ao ambiente profissional dos desenvolvedores, incluindo tokens do GitHub e GitLab, credenciais da AWS, tokens do Cloudflare, chaves de API da OpenAI, tokens de bots do Telegram e chaves SSH.
Isso amplia consideravelmente o impacto potencial.
Um desenvolvedor comprometido pode não ter apenas criptomoedas armazenadas em sua máquina. O computador também pode possuir acesso a repositórios privados, servidores, serviços de nuvem, sistemas de produção e ferramentas utilizadas por toda uma empresa.
Ataque usa o ambiente de desenvolvimento como ponto de entrada
O risco das extensões maliciosas está relacionado ao nível de acesso que ferramentas de desenvolvimento podem obter.
Uma extensão instalada no VS Code pode interagir com arquivos e recursos utilizados durante o trabalho de programação. Isso inclui projetos locais, configurações, terminais e informações armazenadas no ambiente de desenvolvimento.
Pesquisas acadêmicas anteriores já apontaram que extensões de VS Code podem representar riscos de exposição de credenciais. Em uma análise de mais de 27 mil extensões, pesquisadores identificaram milhares de casos potencialmente expostos a vazamentos de dados relacionados a credenciais.
Na prática, isso significa que o comprometimento de uma extensão pode oferecer ao invasor um caminho para informações que normalmente estariam protegidas por outras camadas de segurança.
Criminosos também tentaram dificultar a detecção
Outro elemento preocupante da campanha é o uso de técnicas destinadas a dificultar a identificação do comportamento malicioso.
Pesquisadores observaram código ofuscado, mudanças frequentes entre versões e mecanismos de execução atrasada. Em determinadas situações, o comportamento malicioso poderia demorar horas ou dias para ser ativado.
A estratégia é relevante porque ferramentas automatizadas de segurança podem analisar uma extensão durante um período limitado. Se o código malicioso permanecer inativo durante essa janela, o pacote pode parecer menos suspeito.
Além disso, versões aparentemente limpas entre lançamentos maliciosos podem ajudar a criar um histórico de atualizações que dificulta a identificação de um padrão imediatamente.
Carteiras de criptomoedas estão entre os principais alvos
Para criminosos especializados em roubo digital, computadores de desenvolvedores de blockchain são especialmente valiosos.
Essas máquinas podem concentrar carteiras de criptomoedas, chaves privadas, frases-semente, credenciais de exchanges, tokens de acesso e informações utilizadas para assinar transações.
Se uma chave privada ou uma frase de recuperação for comprometida, a consequência pode ser muito mais grave do que a simples perda de uma senha.
Em determinadas carteiras, quem obtém os elementos necessários para autenticação pode conseguir movimentar os ativos associados à conta. Por isso, o roubo dessas informações deve ser tratado como um incidente de segurança potencialmente crítico.
O problema também pode atingir empresas
Embora a campanha tenha como foco desenvolvedores ligados ao ecossistema de criptomoedas, o risco não se limita a ativos digitais.
Um programador trabalhando em uma empresa pode manter no mesmo computador:
- tokens de acesso a repositórios;
- chaves SSH;
- credenciais de serviços em nuvem;
- chaves de API;
- arquivos de configuração;
- tokens de automação;
- credenciais de sistemas internos;
- informações de projetos privados.
Esse cenário transforma uma máquina de desenvolvimento em um ativo estratégico para uma organização.
Um atacante que consiga extrair essas informações pode tentar utilizar as credenciais roubadas para avançar dentro da infraestrutura corporativa.
O risco é ainda maior quando as chaves possuem permissões amplas ou não contam com mecanismos adicionais de autenticação.
O caso reforça o risco da cadeia de suprimentos de software
O episódio faz parte de um problema maior enfrentado atualmente pelo setor de tecnologia: ataques contra ferramentas utilizadas pelos próprios desenvolvedores.
Em vez de invadir diretamente uma empresa, o criminoso pode tentar comprometer um componente que os profissionais já consideram confiável.
Esse modelo reduz uma barreira importante para o atacante. A vítima não precisa visitar um site suspeito ou executar conscientemente um arquivo desconhecido. Basta instalar uma ferramenta que aparenta ser útil para o trabalho.
Incidentes recentes envolvendo extensões de desenvolvimento mostram como esse vetor pode alcançar organizações inteiras. Em maio de 2026, por exemplo, o GitHub confirmou o roubo de aproximadamente 3.800 repositórios internos após o comprometimento de um computador por meio de uma extensão maliciosa do VS Code.
O padrão é especialmente relevante em ambientes corporativos nos quais desenvolvedores possuem acesso privilegiado a código, infraestrutura e serviços de nuvem.
Como se proteger
Desenvolvedores que tenham instalado as extensões helper-beeps.solidity-pro ou web3devtoolsx.solidity-pro devem tratar o computador como potencialmente comprometido.
A simples desinstalação do pacote não deve ser considerada suficiente.
É recomendável remover as extensões, investigar o sistema em busca de atividades suspeitas e, principalmente, substituir credenciais que possam ter sido acessadas durante o período de instalação.
Isso inclui tokens, chaves de API, credenciais de nuvem, chaves SSH e informações relacionadas a carteiras de criptomoedas.
No caso de carteiras, também é importante avaliar a necessidade de transferir os ativos para uma carteira considerada segura quando houver possibilidade de exposição de chaves privadas ou frases de recuperação.
Empresas, por sua vez, devem considerar políticas de controle sobre extensões permitidas, análise de comportamento, princípio do menor privilégio e monitoramento de credenciais utilizadas a partir de máquinas de desenvolvimento.
VS Code também se torna parte da superfície de ataque
O caso da Solidity Pro mostra que a segurança de um ambiente de desenvolvimento não depende apenas do código produzido pelo programador.
As ferramentas utilizadas para escrever, testar e publicar esse código também podem representar uma porta de entrada para criminosos.
À medida que os computadores dos desenvolvedores concentram cada vez mais acesso a repositórios, serviços de nuvem, inteligência artificial, criptomoedas e infraestrutura de produção, uma extensão aparentemente inofensiva pode representar um risco desproporcional ao seu tamanho.
Para empresas que trabalham com blockchain, inteligência artificial ou desenvolvimento de software, a principal lição é direta: extensões de IDE precisam ser tratadas como componentes de software com privilégios e riscos próprios, e não apenas como acessórios de produtividade.
