Hacker pflanzen 73 schlafende Erweiterungen in OpenVSX, um Krypto-Wallets zu stehlen
- Die GlassWorm-Malware hat 73 schädliche Erweiterungen im OpenVSX-Registry platziert.
- Diese Erweiterungen sind darauf ausgelegt, die Krypto-Wallets von Entwicklern sowie andere sensible Daten zu stehlen.
- Die Malware nutzt ein verzögertes Aktivierungsmodell: Zuerst wird eine saubere Erweiterung gesendet, gefolgt von einer bösartigen Aktualisierung.
GlassWorm, eine bekannte Malware, hat 73 schädliche Erweiterungen in die Registry von OpenVSX eingebracht. Hacker nutzen sie, um die Krypto-Wallets von Entwicklern und andere Daten zu stehlen.
Sicherheitsforscher stellten fest, dass sechs Erweiterungen bereits zu aktiven Payloads geworden sind. Die Erweiterungen wurden als gefälschte Kopien bekannter, an sich unschädlicher Listings hochgeladen. Laut einem Bericht von Socket stammt der schädliche Code aus einem späteren Update.
GlassWorm-Malware greift Krypto-Entwickler an
Im Oktober 2025 trat GlassWorm erstmals in Erscheinung. Es nutzte unsichtbare Unicode-Zeichen, um Code zu verbergen, der darauf abzielte, Krypto-Wallet-Daten und Entwicklerzugangsdaten zu stehlen. Die Kampagne hat sich seitdem auf npm-Pakete, GitHub-Repositories, den Visual Studio Code Marketplace und OpenVSX ausgeweitet.
Mitte März 2026 traf eine Welle Hunderte von Repositories und Dutzende von Erweiterungen, doch ihre Größe erregte die Aufmerksamkeit. Mehrere Forschungsgruppen bemerkten die Aktivität frühzeitig und halfen, sie zu stoppen.
Die Angreifer haben ihren Ansatz offenbar geändert. Die neueste Charge enthält keine Malware sofort; stattdessen nutzt sie ein verzögertes Aktivierungsmodell. Sie sendet eine saubere Erweiterung, baut eine Installationsbasis auf und sendet dann ein schädliches Update.
„Klone oder nachgeahmte Erweiterungen werden zunächst ohne offensichtliche Schadsoftware veröffentlicht und später aktualisiert, um Malware zu liefern“, so Socket-Forscher .
Sicherheitsforscher fanden drei Wege, den schädlichen Code über die 73 Erweiterungen zu liefern. Eine Möglichkeit besteht darin, ein zweites VSIX-Paket von GitHub zu verwenden, während das Programm läuft, und es über CLI-Befehle zu installieren. Eine andere Methode lädt plattformspezifische kompilierte Module wie [.]node-Dateien, die die Kernlogik enthalten, einschließlich Routinen zum Abrufen weiterer Payloads.
Ein dritter Weg nutzt stark verschleierten JavaScript-Code, der zur Laufzeit decodiert wird, um schädliche Erweiterungen herunterzuladen und zu installieren. Er enthält auch verschlüsselte oder Fallback-URLs zum Abrufen der Payload.
Die Erweiterungen ähneln echten Listings stark.
In einem Fall kopierte der Angreifer das Symbol der echten Erweiterung und vergab einen Namen und eine Beschreibung, die fast identisch waren. Der Herausgebername und die eindeutige Kennung sind es, die sie unterscheiden, aber die meisten Entwickler schauen sich diese Details vor der Installation nicht genau an.
GlassWorm ist darauf ausgelegt, Zugriffstoken, Krypto-Wallet-Daten, SSH-Schlüssel und Informationen über die Entwicklerumgebung zu stehlen.
Krypto-Wallets sind kontinuierlich Angriffen von Hackern ausgesetzt
Die Bedrohung geht über Krypto-Wallets hinaus. Ein anderer, aber verwandter Vorfall zeigt, wie Supply-Chain-Angriffe sich über die Infrastruktur von Entwicklern ausbreiten können.
Am 22. April hostete die npm-Registry für 93 Minuten eine schadhafte Version von Bitwardens CLI unter dem offiziellen Paketnamen @bitwarden/[email protected]. JFrog, ein Sicherheitsunternehmen, stellte fest, dass die Payload GitHub-Token, npm-Token, SSH-Schlüssel, AWS- und Azure-Anmeldeinformationen sowie GitHub Actions-Geheimnisse stahl.
JFrogs Analyse ergab, dass das gehackte Paket den Installations-Hook und den Binär-Einstiegspunkt modifizierte, um die Bun-Laufzeitumgebung zu laden und eine verschleierte Payload auszuführen, sowohl während der Installation als auch im laufenden Betrieb.
Laut den eigenen Aufzeichnungen des Unternehmens hat Bitwarden mehr als 50.000 Unternehmen und 10 Millionen Nutzer. Socket verknüpfte diesen Angriff mit einer größeren Kampagne, die von Checkmarx-Forschern verfolgt wird, und Bitwarden bestätigte die Verbindung.
Das Problem hängt damit zusammen, wie npm und andere Registrierungen funktionieren. Angreifer nutzen die Zeitspanne zwischen der Veröffentlichung eines Pakets und der Überprüfung seines Inhalts aus.
Sonatype fand im Jahr 2025 etwa 454.600 neue bösartige Pakete, die Registrierungen infizierten. Bedrohungsakteure, die darauf abzielen, Zugang zu Krypto-Custody, DeFi und Token-Launchpads zu erlangen, haben begonnen, Registrierungen zu zielen und schädliche Workflows freizugeben.
Für Entwickler, die eine der 73 markierten OpenVSX-Erweiterungen installiert haben, empfiehlt Socket, alle Geheimnisse zu rotieren und ihre Entwicklungsumgebungen zu bereinigen.
Als Nächstes gilt es zu beobachten, ob die verbleibenden 67 ruhenden Erweiterungen in den kommenden Tagen aktiviert werden und ob OpenVSX zusätzliche Überprüfungsmaßnahmen für Erweiterungs-Updates implementiert.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
