Stealer in VS-Code-Erweiterungen: Wallets und Schluessel gehen per Telegram-Bot

Zwei boesartige VS-Code-Erweiterungen namens Solidity Pro sahen monatelang wie gewoehnliches Entwicklerwerkzeug aus, bevor sie sich in Zugangsdaten-Diebe verwandelten. Yeeth Security veroeffentlichte die Analyse am 6. August 2026, und entscheidend ist nicht die Nutzlast, sondern die Geduld: Der Schadcode wartet nach der Installation zwischen zwoelf und zweiundsiebzig Stunden, bevor er laeuft. Bis dahin ist der Scanner des Marktplatzes fertig, und der Entwickler hat die Erweiterung fuer nuetzlich befunden.

Was die Solidity-Pro-Erweiterungen tatsaechlich taten

Die Erweiterungen erschienen unter mehreren Herausgebern, darunter helper-beeps.solidity-pro und web3devtoolsx.solidity-pro, auf Open VSX und im VS Code Marketplace. Sie gaben sich als Werkzeug fuer Solidity aus, die Sprache der Ethereum-Smart-Contracts. Das Publikum ist fuer einen Angreifer bequem: Leute, deren Wallet-Schluessel auf der Arbeitsmaschine liegen.

Das Verhalten wechselte mit der Versionsnummer. Die Ausgaben 1.0.0 bis 2.4.x arbeiteten als Dropper: Sie meldeten sich bei Cloudflare-Workers-Endpunkten, luden eine AES-GCM-verschluesselte Python-Nutzlast und fuehrten sie ueber child_process.spawn aus. Die Versionen 2.4.7 und 2.4.8 behielten dasselbe Geruest mit dichterer Verschleierung. Ab 3.0.0 trug die Erweiterung einen vollwertigen Krypto-Wallet-Dieb, und die neuesten Versionen verzichteten ganz auf die Cloudflare-Stufe zugunsten eines Uploads direkt an einen Telegram-Bot. Der Herausgeber web3devtoolsx lieferte zusaetzlich saubere, harmlose Pakete mit den Nummern 1.0.0 und 4.0.0 aus - genau so bekommt ein Paket eine glaubwuerdige Vorgeschichte.

Was der Krypto-Wallet-Dieb mitnimmt

Die Beuteliste liest sich wie eine Inventur des gesamten Arbeitslebens eines Entwicklers. Bei den Zugangsdaten: GitHub-Tokens in den Formen ghp_ und github_pat_, GitLab-Tokens glpat-, AWS-Schluessel und Sitzungstokens, Cloudflare-Tokens, API-Schluessel von OpenAI und Anthropic sowie Telegram-Bot-Tokens. Auf der kryptografischen Seite: private SSH-Schluessel, Bitcoin-Schluessel als WIF und xprv, mnemonische Seed-Phrasen und die Wallet-Tresore von MetaMask, Phantom, Rabby, Coinbase, Trust und Keplr. Dazu Zugangsdaten, die in Adressen eingebettet sind, und MFA-Tokens von 1Password.

Wie es durch die Pruefung kam: zwoelf bis zweiundsiebzig Stunden Geduld

Die Verzoegerung ist als zufaelliges Intervall zwischen zwoelf und zweiundsiebzig Stunden nach der Installation gesetzt. Vor dem Start prueft die Nutzlast Umgebungsvariablen, die eine automatisierte Umgebung verraten, darunter CI, GITHUB_ACTIONS, JENKINS_HOME und GITPOD_WORKSPACE_ID, und bleibt schlafend, wenn sie faendig wird. Ein Scanner, der ein Paket installiert, es einige Minuten beobachtet und weiterzieht, sieht einen Solidity-Helfer, der nichts Ungewoehnliches tut - weil er in diesem Moment tatsaechlich nichts Ungewoehnliches tut.

Der Rest ist Handwerk, nicht Neuheit: Endpunktadressen liegen als Hex-Fragmente vor und werden zur Laufzeit zusammengesetzt, Zeichenketten sind ueber Tabellen sofort aufgerufener Funktionen verteilt, Base64-Bloecke laufen durch eval(), und Methodennamen wechseln von Ausgabe zu Ausgabe, damit eine Signatur fuer eine Version nicht auf die naechste passt. Fruehe Versionen setzten zur Tarnung sogar eine Anfrage an die oeffentliche Preis-API von CoinGecko ab - genau das, was ein echtes Krypto-Entwicklungswerkzeug tun wuerde.

Das WhiteCobra-Drehbuch und gefaelschte Downloadzahlen

Yeeth verbindet die Kampagne mit WhiteCobra, einer Gruppe, die seit 2025 Erweiterungsmarktplaetze flutet, merkt aber an, dass sich die Artefakte genug unterscheiden, um von einer Uebereinstimmung im Verhalten und nicht Byte fuer Byte zu sprechen. Der Vergleich lohnt sich, weil der Gruppe ihr eigener Plan abhandenkam. Im September 2025 veroeffentlichte Koi Security eine Datei mit dem Titel "DEPLOYMENT PLAN: Operation Solidity Pro", geborgen aus einer Kampagne mit 24 boesartigen Erweiterungen im VS Code Marketplace und auf Open VSX.

Geschrieben ist sie wie ein Produktlaunch. Fuenf Phasen: packen, ausliefern, bewerben, aufblasen, abziehen. Die Werbephase beschreibt Vorlagen fuer soziale Netze und Bots, die Aufblasphase weist an, ein Skript laufen zu lassen, bis die Erweiterung 50 000 Downloads zeigt - in den Worten des Plans, um "einen sozialen Beweis fuer Entwickler zu liefern, die die Erweiterung entdecken". Die Umsatzschaetzung reicht von 10 000 bis 500 000 Dollar pro Stunde, je nachdem, wessen Wallet hineingeraet. Die praktische Lehre ist schlicht: Der Downloadzaehler ist eine Zahl, die der Angreifer steuert, also darf sie nicht das sein, was Sie ueberzeugt.

Was jetzt zu tun ist

• Pruefen, was installiert ist, nicht was Sie erinnern: Beide Solidity-Pro-Erweiterungen sind von Open VSX verschwunden, aber die Entfernung aus einem Marktplatz deinstalliert nichts, was schon auf einer Maschine liegt.
• Einen Treffer als vollstaendige Kompromittierung behandeln: Tokens fuer GitHub, GitLab, AWS, Cloudflare und API-Schluessel wechseln, SSH-Schluessel neu erzeugen und Krypto in eine Wallet verschieben, die auf einem sauberen Geraet erstellt wurde. Ein einzelnes Token zu rotieren reicht nicht, wenn der Dieb den ganzen Satz mitnahm.
• Den Herausgeber beurteilen, nicht die Downloadzahl: Der Zaehler wird absichtlich aufgeblasen. Ein unbekannter Herausgeber mit beeindruckenden Zahlen und kurzer Geschichte ist genau das Profil, das der Plan beschreibt.
• Seed-Phrasen von der Entwicklungsmaschine fernhalten: Eine Hardware-Wallet haelt die Signierschluessel ausserhalb dessen, was eine Editor-Erweiterung erreichen kann.
• Erweiterungen nach Plan pruefen: entfernen, was Sie nicht mehr nutzen. Jede installierte Erweiterung laeuft mit Ihren Rechten und aktualisiert sich still selbst.
• Bemerken, was ein Editor nie tun sollte: Eine Erweiterung, die powershell, cmd, mshta, cscript oder curl startet, gehoert in die Alarme jeder Endpoint-Loesung, die ohnehin schon laeuft.

Warum das nicht nur Entwickler angeht

Eine Entwicklermaschine ist ein Generalschluessel. Die Zugaenge darauf oeffnen die Pipelines, die Software bauen, welche andere Leute installieren, weshalb solch ein Diebstahl selten beim ersten Opfer endet. Dieselbe Logik lief durch die VS-Code-Luecke, bei der ein einziger Klick GitHub-Repositories preisgab, und durch die Coding-Agenten, bei denen ein GitHub-Issue CI-Geheimnisse erreichte. Hier hoeren Werkzeuge fuer Netzwerk-Privatsphaere auf, relevant zu sein, und das offen zu sagen ist nuetzlicher als ein Verkaufsargument: Ein VPN verschluesselt die Verbindung, die eine Erweiterung aufbaut, es entscheidet nicht, ob sie sie aufbauen sollte. Bekannte Steuerungsdomaenen auf DNS-Ebene zu blockieren ist eine echte, wenn auch teilweise Abwehr gegen die Dropper-Stufe, aber Code, den Sie selbst installiert und dem Sie selbst Rechte gegeben haben, ist kein Netzwerkproblem.

Fazit