針對區塊鏈開發者的惡意軟體攻擊正變得日益精巧。根據 The Hacker News 報導，資安研究機構 Yeeth Security 近期發現了名為 Solidity Pro（包含 helper-beeps.solidity-pro 與 web3devtoolsx.solidity-pro）的惡意 Microsoft Visual Studio Code (VS Code) 擴充功能。這類攻擊直接鎖定使用 Solidity 語言（一種專為以太坊等智慧合約設計的程式語言）的開發者，利用開發者對工具的信任，將惡意程式植入開發環境，旨在竊取加密貨幣錢包、API 金鑰及各類敏感憑證。
惡意擴充功能的演進與運作機制
這類惡意軟體的演進過程顯示出攻擊者在不斷調整策略以規避偵測。在早期版本（v1.0.0 至 v2.4.x）中，該擴充功能主要透過 Cloudflare Workers 終端節點接收指令，下載並執行加密的 Python 載荷（Payload），這是一種將惡意指令隱藏在加密封包中，直到執行時才解密的技術。
然而，從 v3.0.0 版本開始，該工具轉型為功能完整的資訊竊取程式（Information Stealer）。它不再僅僅依賴外部指令，而是直接在本地端搜刮大量敏感資訊，包括瀏覽器設定檔、加密貨幣錢包、原始碼管理工具的 Token、API 金鑰、SSH 私鑰以及 Telegram 機器人 Token。一旦收集完成，這些數據會透過 Telegram Bot 直接上傳至攻擊者的伺服器。
具體被竊取的資產涵蓋範圍極廣，包括 GitHub 與 GitLab 的存取權杖（Tokens）、AWS 與 Cloudflare 的雲端服務金鑰、OpenAI 的 API Key，以及 MetaMask、Phantom、Rabby 等主流加密貨幣錢包的種子密碼（Seed Phrases）與金鑰庫。
規避偵測的高級技巧
為了繞過 VS Code 市場的審核與靜態掃描（Static Scanning，一種不執行程式碼而直接分析原始碼漏洞的檢查方式），Solidity Pro 採取了多種反偵測手段。首先是高度的混淆處理（Obfuscation），攻擊者將字串拆分並存放在立即執行函數（IIFE）表格中，僅在運行時才重新組合，且每次版本更新都會更換方法名稱，讓基於特徵碼的偵測工具難以追蹤。
其次，攻擊者利用延遲激活（Delayed Activation）策略。惡意程式在安裝後不會立即運行，而是隨機延遲數小時甚至數天。這種做法能有效欺騙自動化沙箱（Sandbox，一種隔離的測試環境），因為大多數掃描工具僅會監控安裝後短時間內的行為。當掃描結束且使用者認為該擴充功能安全有用時，惡意程式才會正式啟動。
此外，類似的攻擊案例如 ethdevtools.solidity-language-support 則採取了剪貼簿監控技術。它利用 VS Code 的原生 API 監控剪貼簿，一旦偵測到符合 BIP-39 標準（一種用於生成錢包助記詞的工業標準）的種子密碼或以太坊私鑰，便會悄悄將其替換為攻擊者的地址。由於這類操作僅調用官方 API 且不涉及外部網路請求或檔案寫入，傳統的靜態掃描器幾乎無法察覺。
供應鏈風險與實務影響
這次事件揭示了軟體供應鏈安全（Software Supply Chain Security）的脆弱性。開發者習慣於安裝第三方擴充功能以提升效率，但這也為攻擊者提供了直接進入開發機的入口。除了 Solidity Pro，近期還發現了如 ascii-fetcher 等惡意 npm 套件，以及針對 Cursor、Windsurf 等 VS Code 分叉版本（Forks）的定向攻擊。
這類攻擊的影響極其嚴重，因為開發者的機器通常擁有高權限的存取金鑰（如 AWS Root Key 或 GitHub 管理員權限）。一旦這些憑證外流，攻擊者不僅能盜取加密貨幣，還能滲透進企業的雲端基礎設施或篡改生產環境的程式碼，造成毀滅性的後果。
面對此類威脅，開發者應採取更嚴格的工具審核機制。建議移除所有來源不明或可疑的擴充功能，並定期檢查依賴圖（Dependency Graphs）以確認無異常套件。在系統層級，應監控不尋常的指令執行，例如非預期的 cscript、mshta、curl 或 powershell 調用，並儘量將敏感金鑰儲存在硬體安全模組（HSM）或專用的金鑰管理服務中，而非以明文形式存放於本地端。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。