案例 whitecobra-vsix-crypto-stealersAI 供应链全球
WhiteCobra向Open VSX和VS Code市场投放24个窃币扩展
Koi Security将其命名为WhiteCobra的团伙与24个恶意扩展联系起来，其第二阶段脚本获取LummaStealer或macOS载荷；以太坊开发者Zak Cole因Cursor的假Solidity扩展丢失了钱包。
高针对 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2025年9月13日
- 地点
- 全球
- 目标
- VS Code、Cursor和Windsurf用户
- 严重程度
- 高
- 发起者
- WhiteCobra
- 行为者类型
- 犯罪团伙
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Koi Security将其命名为WhiteCobra的团伙与24个恶意扩展联系起来，其第二阶段脚本获取LummaStealer或macOS载荷；以太坊开发者Zak Cole因Cursor的假Solidity扩展丢失了钱包。
影响: 24个扩展针对VS Code、Cursor和Windsurf用户；至少两起确认的钱包盗窃，其中一起约50万美元；信息窃取程序窃取凭据和消息数据
谁发起了攻击
行为者: WhiteCobra
归因: Koi Security根据泄露的操作手册命名；与2025年7月Cursor扩展约50万美元盗窃案相关联
动机: 加密货币盗窃，活动收入目标为1万至50万美元
如何发生
攻击途径: Open VSX（16个）和Visual Studio Marketplace（8个）上下载量虚增的仿冒扩展；prompt.js从Cloudflare Pages下载平台特定载荷
根本原因: 共享的VSIX生态使恶意扩展能以极少审查通过Open VSX进入AI编辑器；被移除的扩展数小时内即被新版本替代
时间线
- 假Solidity扩展导致50万美元盗窃，由Kaspersky调查
- Zak Cole报告在安装一个有5.4万次Open VSX下载的假Solidity扩展后钱包被清空
- Koi Security发布WhiteCobra分析；活动仍在进行
应对
市场移除了被举报的扩展，但该行为者持续重新发布；Koi建议审查下载量突增的新扩展
当前状态: 进行中
来源（在新标签页打开）
- BleepingComputer bleepingcomputer.com
- Kaspersky kaspersky.com
引用此案例
WhiteCobra向Open VSX和VS Code市场投放24个窃币扩展. AI Threat Watch, 案例 whitecobra-vsix-crypto-stealers, 2025年9月13日. https://aithreat.io/zh/cases/whitecobra-vsix-crypto-stealers/
永久链接: https://aithreat.io/zh/cases/whitecobra-vsix-crypto-stealers/