Dossier cursor-solidity-extension-theftChaîne d’approvisionnement IARussie
Une fausse extension « Solidity Language » sur Open VSX dérobe 500 000 $ à un développeur Cursor
Une extension Solidity contrefaite sur Open VSX, classée au-dessus de l'originale grâce à des téléchargements gonflés, exécutait un script PowerShell installant ScreenConnect, Quasar RAT et un stealer, permettant aux attaquants de dérober les phrases de récupération d'un développeur et environ 500 000 dollars en crypto.
ÉlevéeAttaque contre l’IAStatut: ContenuDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 10 juil. 2025
- Lieu
- Russie
- Cible
- Utilisateurs de l'IDE Cursor installant des extensions Solidity
- Gravité
- Élevée
- Déclenché par
- Inconnu
- Type d’acteur
- Criminel
- Perte déclarée
- $500K
- CVE
- Aucun
Ce qui s’est passé
Une extension Solidity contrefaite sur Open VSX, classée au-dessus de l'originale grâce à des téléchargements gonflés, exécutait un script PowerShell installant ScreenConnect, Quasar RAT et un stealer, permettant aux attaquants de dérober les phrases de récupération d'un développeur et environ 500 000 dollars en crypto.
Impact: Environ 500 000 dollars en cryptomonnaies volés à un seul développeur ; l'extension affichait des dizaines de milliers d'installations, d'autres victimes sont donc possibles
Qui l’a déclenché
Acteur: Inconnu
Attribution: Non attribué ; Kaspersky a ensuite relié des extensions apparentées (solaibot, among-eth, blankebesxstnion) et le paquet npm solsafe ; Koi Security a rattaché l'activité au groupe WhiteCobra en septembre 2025
Mobile: Vol de cryptomonnaies
Comment c’est arrivé
Vecteur d’attaque: Extension VSIX malveillante dans le registre Open VSX utilisé par Cursor, avec un compteur de téléchargements gonflé à 54 000 puis 2 millions pour devancer l'extension légitime
Cause racine: Les éditeurs IA s'appuient sur Open VSX, qui n'a pas le contrôle du Visual Studio Marketplace, et le classement peut être manipulé avec de faux compteurs d'installation
Chronologie
- Un développeur blockchain russe demande à Kaspersky d'enquêter après avoir perdu des cryptos
- Open VSX retire « Solidity Language » après le signalement de Kaspersky
- L'attaquant republie une extension « solidity » quasi identique avec un compteur d'installations gonflé
- Kaspersky publie ses conclusions et demande le retrait de la seconde extension
Réponse
Open VSX a retiré les extensions sur demande ; Kaspersky a publié des IOC et mis en garde les utilisateurs de Cursor et Windsurf contre les extensions de marketplace non vérifiées
Statut actuel: Contenu
Sources (nouvel onglet)
- Kaspersky kaspersky.com
- BleepingComputer bleepingcomputer.com
- SC World scworld.com
Citer ce dossier
Une fausse extension « Solidity Language » sur Open VSX dérobe 500 000 $ à un développeur Cursor. AI Threat Watch, dossier cursor-solidity-extension-theft, 10 juil. 2025. https://aithreat.io/fr/cases/cursor-solidity-extension-theft/
Lien permanent: https://aithreat.io/fr/cases/cursor-solidity-extension-theft/