Expediente cursor-solidity-extension-theftCadena de suministro de IARusia
Falsa extensión 'Solidity Language' en Open VSX roba $500K a un desarrollador de Cursor
Una extensión de Solidity suplantada en Open VSX, posicionada por encima de la real mediante descargas infladas, ejecutaba un script de PowerShell que instalaba ScreenConnect, Quasar RAT y un stealer, permitiendo a los atacantes robar las frases semilla de un desarrollador y unos 500,000 dólares en cripto.
AltaAtaque a la IAEstado: ContenidoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 10 jul 2025
- Ubicación
- Rusia
- Objetivo
- Usuarios del IDE Cursor que instalan extensiones de Solidity
- Gravedad
- Alta
- Provocado por
- Desconocido
- Tipo de actor
- Criminal
- Pérdida reportada
- $500K
- CVE
- Ninguno
Qué ocurrió
Una extensión de Solidity suplantada en Open VSX, posicionada por encima de la real mediante descargas infladas, ejecutaba un script de PowerShell que instalaba ScreenConnect, Quasar RAT y un stealer, permitiendo a los atacantes robar las frases semilla de un desarrollador y unos 500,000 dólares en cripto.
Impacto: Unos 500,000 dólares en criptomonedas robados a un desarrollador; la extensión tenía decenas de miles de instalaciones declaradas, por lo que son posibles más víctimas
Quién lo provocó
Actor: Desconocido
Atribución: Sin atribuir; Kaspersky vinculó después extensiones relacionadas (solaibot, among-eth, blankebesxstnion) y el paquete npm solsafe; Koi Security vinculó la actividad al grupo WhiteCobra en septiembre de 2025
Motivo: Robo de criptomonedas
Cómo ocurrió
Vector de ataque: Extensión VSIX maliciosa en el registro Open VSX usado por Cursor, con recuentos de descargas inflados a 54,000 y luego a 2 millones para superar a la extensión legítima
Causa raíz: Los editores con IA dependen de Open VSX, que carece de la verificación del Visual Studio Marketplace, y el ranking puede manipularse con recuentos de instalación falsos
Cronología
- Un desarrollador blockchain ruso pide a Kaspersky que investigue tras perder cripto
- Open VSX elimina 'Solidity Language' tras el reporte de Kaspersky
- El atacante vuelve a publicar una extensión 'solidity' casi idéntica con un recuento de instalaciones inflado
- Kaspersky publica sus hallazgos y solicita la eliminación de la segunda extensión
Respuesta
Open VSX eliminó las extensiones a petición; Kaspersky publicó IOC y advirtió a los usuarios de Cursor y Windsurf sobre extensiones de marketplace no verificadas
Estado actual: Contenido
Fuentes (pestaña nueva)
- Kaspersky kaspersky.com
- BleepingComputer bleepingcomputer.com
- SC World scworld.com
Citar este expediente
Falsa extensión 'Solidity Language' en Open VSX roba $500K a un desarrollador de Cursor. AI Threat Watch, expediente cursor-solidity-extension-theft, 10 jul 2025. https://aithreat.io/es/cases/cursor-solidity-extension-theft/
Enlace permanente: https://aithreat.io/es/cases/cursor-solidity-extension-theft/