Expediente whitecobra-vsix-crypto-stealersCadena de suministro de IAGlobal
WhiteCobra inunda Open VSX y VS Code Marketplace con 24 extensiones que roban criptomonedas
Koi Security vinculó a un grupo que denominó WhiteCobra con 24 extensiones maliciosas cuyo script de segunda etapa descargaba LummaStealer o una carga útil para macOS; el desarrollador de Ethereum Zak Cole perdió su billetera por una falsa extensión de Solidity para Cursor.
AltaAtaque a la IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 13 sept 2025
- Ubicación
- Global
- Objetivo
- Usuarios de VS Code, Cursor y Windsurf
- Gravedad
- Alta
- Provocado por
- WhiteCobra
- Tipo de actor
- Criminal
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Koi Security vinculó a un grupo que denominó WhiteCobra con 24 extensiones maliciosas cuyo script de segunda etapa descargaba LummaStealer o una carga útil para macOS; el desarrollador de Ethereum Zak Cole perdió su billetera por una falsa extensión de Solidity para Cursor.
Impacto: 24 extensiones dirigidas a usuarios de VS Code, Cursor y Windsurf; al menos dos robos de billeteras confirmados, incluido uno de unos 500,000 dólares; robo de credenciales y datos de mensajería mediante infostealer
Quién lo provocó
Actor: WhiteCobra
Atribución: Nombrado por Koi Security a partir de un manual filtrado; vinculado al robo de unos 500,000 dólares mediante una extensión de Cursor en julio de 2025
Motivo: Robo de criptomonedas con objetivos de ingresos por campaña de 10,000 a 500,000 dólares
Cómo ocurrió
Vector de ataque: Extensiones imitadoras en Open VSX (16) y Visual Studio Marketplace (8) con descargas infladas; prompt.js descarga cargas útiles específicas por plataforma desde Cloudflare Pages
Causa raíz: El ecosistema VSIX compartido permite que extensiones maliciosas lleguen a los editores con IA a través de Open VSX con revisión mínima; nuevas versiones reemplazan a las eliminadas en horas
Cronología
- Una falsa extensión de Solidity conduce a un robo de 500,000 dólares investigado por Kaspersky
- Zak Cole reporta su billetera vaciada tras instalar una falsa extensión de Solidity con 54,000 descargas en Open VSX
- Koi Security publica el análisis de WhiteCobra; campaña aún activa
Respuesta
Los marketplaces eliminaron las extensiones reportadas pero el actor siguió republicando; Koi aconsejó examinar las extensiones nuevas con picos repentinos de descargas
Estado actual: En curso
Fuentes (pestaña nueva)
- BleepingComputer bleepingcomputer.com
- Kaspersky kaspersky.com
Citar este expediente
WhiteCobra inunda Open VSX y VS Code Marketplace con 24 extensiones que roban criptomonedas. AI Threat Watch, expediente whitecobra-vsix-crypto-stealers, 13 sept 2025. https://aithreat.io/es/cases/whitecobra-vsix-crypto-stealers/
Enlace permanente: https://aithreat.io/es/cases/whitecobra-vsix-crypto-stealers/