Backdoor no VS Code em projeto Solidity mira dados de criptomoedas
A SlowMist identificou uma backdoor de roubo de dados no repositório do GitHub Hylance/sol-live, apresentado como um projeto de prática para entrevistas de Solidity. O código malicioso está oculto nas configurações do workspace do VS Code e pode ser executado quando os usuários selecionam a configuração personalizada de terminal do projeto. No macOS e no Linux, ele baixa e executa um script remoto; a execução no Windows não foi confirmada devido a um possível erro de aspas.
A análise do código arquivado e dos payloads preservados identificou recursos para coletar bancos de dados de login de navegadores e dados de extensões de carteiras, copiar arquivos do Chaveiro do macOS, examinar e enviar arquivos locais, monitorar o conteúdo da área de transferência e executar comandos por meio de um canal de controle remoto. A função de descriptografia de senhas do navegador retorna um valor vazio, e os investigadores não verificaram se senhas, frases-semente ou chaves privadas foram descriptografadas ou roubadas. Eles também não executaram a amostra nem confirmaram infecções ou exfiltração de dados em dispositivos de vítimas.
A SlowMist recomenda que usuários que iniciaram a configuração maliciosa de terminal do projeto investiguem seus dispositivos e, se não for possível descartar uma exposição, transfiram os ativos das carteiras e troquem as credenciais usando um dispositivo confiável. O incidente destaca o risco da cadeia de suprimentos de software para desenvolvedores de criptoativos: não há confirmação de que apenas abrir o repositório acione a backdoor.
Neutral
O relatório aponta um grave risco de segurança para desenvolvedores individuais e usuários de criptomoedas, mas não comprova uma violação em todo o mercado, nem confirma o número de vítimas ou perdas de fundos. A análise foi baseada em código arquivado e payloads retidos; os pesquisadores não executaram o malware nem confirmaram que segredos de carteiras tenham sido descriptografados ou roubados. Segundo relatos, a rotina de descriptografia de senhas do navegador retorna um valor vazio, o que limita ainda mais as afirmações sobre o que os invasores realmente obtiveram.
No curto prazo, os desenvolvedores afetados podem analisar os registros de endpoints e da rede, trocar credenciais, migrar carteiras usando dispositivos confiáveis e revogar aprovações arriscadas de contratos. Essas precauções direcionadas podem gerar alguma preocupação entre os usuários do repositório mencionado ou de projetos relacionados, mas o artigo não apresenta evidências de uma interrupção mais ampla no comércio de criptomoedas, nas operações de exchanges ou nas redes blockchain. Divulgações semelhantes de malware voltado a ferramentas de desenvolvimento e à cadeia de suprimentos geralmente levaram a verificações de segurança e a uma cautela maior, e não a mudanças sustentadas nos principais preços de criptomoedas — a menos que tenham sido seguidas por roubos de ativos confirmados e em grande escala.
A longo prazo, o incidente pode incentivar uma análise mais rigorosa das configurações de workspace do VS Code e de outras configurações de desenvolvimento, além de uma melhor varredura de repositórios em busca de malware. Os traders devem monitorar infecções confirmadas, ativos roubados ou campanhas mais abrangentes antes de considerar o episódio um catalisador de mercado. Com base nas informações disponíveis, o efeito mais provável é uma preocupação de segurança limitada, e não um sinal direcional para os preços das criptomoedas.