案例 cursor-solidity-extension-theftAI 供应链俄罗斯
Open VSX上的假“Solidity Language”扩展从Cursor开发者处盗走50万美元
Open VSX上一个仿冒的Solidity扩展通过虚增下载量排名超过正版，它运行PowerShell脚本安装ScreenConnect、Quasar RAT和窃密程序，使攻击者窃取了一名开发者的助记词和约50万美元加密货币。
高针对 AI 的攻击状态: 已控制已核实案例档案
- 报道日期
- 2025年7月10日
- 地点
- 俄罗斯
- 目标
- 安装Solidity扩展的Cursor IDE用户
- 严重程度
- 高
- 发起者
- 未知
- 行为者类型
- 犯罪团伙
- 已报告损失
- $500K
- CVE
- 无
发生了什么
Open VSX上一个仿冒的Solidity扩展通过虚增下载量排名超过正版，它运行PowerShell脚本安装ScreenConnect、Quasar RAT和窃密程序，使攻击者窃取了一名开发者的助记词和约50万美元加密货币。
影响: 一名开发者约50万美元加密货币被盗；该扩展宣称有数万次安装，可能还有其他受害者
谁发起了攻击
行为者: 未知
归因: 未归因；Kaspersky随后关联了相关扩展（solaibot、among-eth、blankebesxstnion）和npm包solsafe；Koi Security于2025年9月将该活动与WhiteCobra团伙联系起来
动机: 加密货币盗窃
如何发生
攻击途径: Cursor使用的Open VSX注册表中的恶意VSIX扩展，下载量被虚增至5.4万、后又虚增至200万，以超过合法扩展的排名
根本原因: AI编辑器依赖Open VSX，而后者缺乏Visual Studio Marketplace的审查，且排名可被虚假安装量操纵
时间线
- 一名俄罗斯区块链开发者在损失加密货币后请Kaspersky调查
- Open VSX在Kaspersky报告后移除“Solidity Language”
- 攻击者重新发布一个几乎相同、安装量虚高的“solidity”扩展
- Kaspersky发布调查结果并请求移除第二个扩展
应对
Open VSX应请求移除了这些扩展；Kaspersky发布IOC并警告Cursor和Windsurf用户注意未经审查的市场扩展
当前状态: 已控制
来源（在新标签页打开）
- Kaspersky kaspersky.com
- BleepingComputer bleepingcomputer.com
- SC World scworld.com
引用此案例
Open VSX上的假“Solidity Language”扩展从Cursor开发者处盗走50万美元. AI Threat Watch, 案例 cursor-solidity-extension-theft, 2025年7月10日. https://aithreat.io/zh/cases/cursor-solidity-extension-theft/
永久链接: https://aithreat.io/zh/cases/cursor-solidity-extension-theft/