Досье cursor-solidity-extension-theftЦепочка поставок ИИРоссия
Поддельное расширение «Solidity Language» в Open VSX опустошило кошелёк разработчика Cursor на 500 000 долларов
Поддельное расширение Solidity в Open VSX, ранжировавшееся выше настоящего за счёт накрученных загрузок, запускало PowerShell-скрипт, устанавливавший ScreenConnect, Quasar RAT и стилер, что позволило злоумышленникам похитить seed-фразы разработчика и около 500 000 долларов в криптовалюте.
ВысокаяАтака на ИИСтатус: ЛокализованПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 10 июл. 2025
- Локация
- Россия
- Цель
- Пользователи Cursor IDE, устанавливающие расширения Solidity
- Критичность
- Высокая
- Инициатор
- Неизвестен
- Тип субъекта
- Криминальный
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- $500K
- CVE
- Нет
Что произошло
Поддельное расширение Solidity в Open VSX, ранжировавшееся выше настоящего за счёт накрученных загрузок, запускало PowerShell-скрипт, устанавливавший ScreenConnect, Quasar RAT и стилер, что позволило злоумышленникам похитить seed-фразы разработчика и около 500 000 долларов в криптовалюте.
Последствия: У одного разработчика похищено около 500 000 долларов в криптовалюте; расширение имело десятки тысяч заявленных установок, поэтому возможны дополнительные жертвы
Кто стоит за инцидентом
Субъект: Неизвестен
Атрибуция: Не атрибутировано; «Лаборатория Касперского» позднее связала родственные расширения (solaibot, among-eth, blankebesxstnion) и npm-пакет solsafe; Koi Security в сентябре 2025 года связала активность с группой WhiteCobra
Мотив: Кража криптовалюты
Как это произошло
Вектор атаки: Вредоносное VSIX-расширение в реестре Open VSX, используемом Cursor, с накрученными счётчиками загрузок до 54 000, а затем 2 млн, чтобы обойти легитимное расширение в выдаче
Первопричина: AI-редакторы опираются на Open VSX, где отсутствует проверка уровня Visual Studio Marketplace, а ранжирование можно подделать фиктивными счётчиками установок
Хронология
- Российский блокчейн-разработчик обращается в «Лабораторию Касперского» с просьбой о расследовании после потери криптовалюты
- Open VSX удаляет «Solidity Language» после сообщения «Лаборатории Касперского»
- Злоумышленник повторно публикует почти идентичное расширение «solidity» с накрученным счётчиком установок
- «Лаборатория Касперского» публикует результаты и запрашивает удаление второго расширения
Реагирование
Open VSX удалил расширения по запросу; «Лаборатория Касперского» опубликовала IOC и предупредила пользователей Cursor и Windsurf о непроверенных расширениях из маркетплейсов
Текущий статус: Локализован
Источники (открываются в новой вкладке)
- Kaspersky kaspersky.com
- BleepingComputer bleepingcomputer.com
- SC World scworld.com
Цитировать это досье
Поддельное расширение «Solidity Language» в Open VSX опустошило кошелёк разработчика Cursor на 500 000 долларов. AI Threat Watch, досье cursor-solidity-extension-theft, 10 июл. 2025. https://aithreat.io/ru/cases/cursor-solidity-extension-theft/
Постоянная ссылка: https://aithreat.io/ru/cases/cursor-solidity-extension-theft/