يغرس القراصنة 73 إضافة نائمة في OpenVSX لسرقة محافظ العملات المشفرة

قام برنامج GlassWorm الخبيث المعروف بإدخال 73 إضافة ضارة في سجل OpenVSX. يستخدمه القراصنة لسرقة محافظ العملات المشفرة للمطورين وبيانات أخرى.

وجد باحثو الأمان أن ست إضافات قد تحولت بالفعل إلى حمولات نشطة. تم تحميل الإضافات كنسخ وهمية من القوائم المعروفة التي لم تكن ضارة. ووفقاً لتقرير من Socket، يأتي الكود السيئ في تحديث لاحق.

هجمات برنامج GlassWorm الخبيث على مطوري العملات المشفرة

في أكتوبر 2025، ظهر GlassWorm لأول مرة. استخدم أحرف يونيكود غير مرئية لإخفاء الكود المخصص لسرقة بيانات محافظ العملات المشفرة ومعلومات اعتماد المطورين. انتشرت الحملة منذ ذلك الحين إلى حزم npm ومستودعات GitHub وسوق Visual Studio Marketplace وOpenVSX.

ضربت موجة مئات المستودعات وعشرات الإضافات في منتصف مارس 2026، لكن حجمها لفت انتباه الناس. لاحظت عدة مجموعات بحثية النشاط في وقت مبكر وساعدت في إيقافه.

يبدو أن المهاجمين غيّروا نهجهم. الدفعة الأخيرة لا تضمّن البرمجيات الخبيثة على الفور؛ بدلاً من ذلك، تستخدم نموذج تفعيل متأخر. ترسل إضافة نظيفة، تبني قاعدة تثبيت، ثم ترسل تحديثاً سيئاً.

"تُنشر الإضافات المقلدة أو المنتحلة أولاً بدون حمولة واضحة، ثم يتم تحديثها لاحقاً لتوفير برمجيات خبيثة،" قال باحثو Socket .

وجد باحثو الأمان ثلاث طرق لتسليم الكود الخبيث عبر الإضافات الـ 73. إحدى الطرق هي استخدام حزمة VSIX ثانية من GitHub أثناء تشغيل البرنامج وتثبيتها باستخدام أوامر CLI. طريقة أخرى تحميل وحدات مُجمعة محددة للمنصة مثل ملفات [.]node التي تحتوي على المنطق الأساسي، بما في ذلك الروتين للحصول على المزيد من الحمولات.

طريقة ثالثة تستخدم JavaScript مشفر بشدة يتم فك تشفيره في وقت التشغيل لتنزيل وتثبيت الإضافات الخبيثة. كما يحتوي على عناوين URL مشفرة أو احتياطية للحصول على الحمولة.

تبدو الإضافات تشبه كثيراً القوائم الأصلية.

في إحدى الحالات، نسخ المهاجم أيقونة الإضافة الأصلية وأعطى اسماً ووصفاً متطابقين تقريباً. اسم الناشر والمعرف الفريد هما ما يميزانها، لكن معظم المطورين لا ينظرون عن كثب إلى هذه الأشياء قبل التثبيت.

تم بناء GlassWorm للاستيلاء على رموز الوصول، وبيانات محافظ العملات المشفرة، ومفاتيح SSH، ومعلومات حول بيئة المطور.

محافظ العملات المشفرة تخضع لهجمات مستمرة من القراصنة

يذهب التهديد إلى ما هو أبعد من محافظ العملات المشفرة فقط. يُظهر حادث مختلف ولكن ذو صلة كيف يمكن لهجمات سلسلة التوريد أن تنتشر عبر بنية المطورين التحتية.

في 22 أبريل، استضاف سجل npm نسخة سيئة من واجهة سطر الأوامر (CLI) الخاصة بـ Bitwarden لمدة 93 دقيقة تحت اسم الحزمة الرسمي @bitwarden/[email protected]. وجدت شركة الأمان JFrog أن الحمولة سرقت رموز GitHub ورموز npm ومفاتيح SSH ومعلومات اعتماد AWS وAzure وأسرار GitHub Actions.

وجد تحليل JFrog أن الحزمة المخترقة عدّلت خطاف التثبيت ونقطة الدخول الثنائية لتحميل وقت تشغيل Bun وتشغيل حمولة مشفرة، سواء أثناء التثبيت وأثناء التشغيل.

ووفقاً لسجلات الشركة الخاصة، فإن Bitwarden لديه أكثر من 50,000 شركة و10 ملايين مستخدم. ربطت Socket هذا الهجوم بحملة أكبر تتبعها باحثو Checkmarx، وأكدت Bitwarden الصلة.

تكمن المشكلة في كيفية عمل npm وسجلات أخرى. يستغل المهاجمون الوقت بين نشر الحزمة وفحص محتوياتها.

وجدت Sonatype حوالي 454,600 حزمة خبيثة جديدة تغزو السجلات في عام 2025. بدأ الفاعلون في التهديد الذين يسعون إلى اكتساب الوصول إلى حراسة العملات المشفرة والتمويل اللامركزي ومنصات إطلاق الرموز المميزة في استهداف السجلات وإطلاق سير عمل خبيث.

بالنسبة للمطورين الذين قاموا بتثبيت أي من الإضافات الـ 73 المصنفة في OpenVSX، توصي Socket بتدوير جميع الأسرار وتنظيف بيئات التطوير الخاصة بهم.

الشيء التالي الذي يجب مراقبته هو ما إذا كانت الإضافات الـ 67 الخاملة المتبقية ستتنشط في الأيام القادمة، وما إذا كانت OpenVSX تنفذ ضوابط مراجعة إضافية لتحديثات الإضافات.