Hackers instalam 73 extensões dormentes no OpenVSX para roubar carteiras de criptomoedas
- O malware GlassWorm plantou 73 extensões nocivas no repositório do OpenVSX.
- As extensões foram projetadas para roubar as carteiras de criptomoedas dos desenvolvedores e outros dados sensíveis.
- O malware utiliza um modelo de ativação diferida, enviando primeiro uma extensão limpa e depois uma atualização maliciosa.
O GlassWorm, um malware conhecido, inseriu 73 extensões nocivas no registro do OpenVSX. Os hackers utilizam isso para roubar as carteiras de criptomoedas e outros dados dos desenvolvedores.
Pesquisadores de segurança descobriram que seis extensões já se tornaram payloads ativos. As extensões foram carregadas como cópias falsas de listagens bem conhecidas que não eram prejudiciais. De acordo com um relatório da Socket, o código malicioso vem em uma atualização posterior.
Malware GlassWorm ataca desenvolvedores de criptomoedas
Em outubro de 2025, o GlassWorm apareceu pela primeira vez. Ele usava caracteres Unicode invisíveis para esconder código destinado a roubar dados de carteiras de criptomoedas e credenciais de desenvolvedores. A campanha se espalhou desde então para pacotes npm, repositórios do GitHub, o Marketplace do Visual Studio Code e o OpenVSX.
Uma onda atingiu centenas de repositórios e dezenas de extensões no meio de março de 2026, mas seu tamanho chamou a atenção. Vários grupos de pesquisa notaram a atividade cedo e ajudaram a interrompê-la.
Os atacantes parecem ter mudado sua abordagem. O lote mais recente não incorpora malware imediatamente; em vez disso, usa um modelo de ativação atrasada. Ele envia uma extensão limpa, constrói uma base de instalações e depois envia uma atualização maliciosa.
“Extensões clonadas ou que se passam por outras são publicadas primeiro sem um payload óbvio, e depois atualizadas para entregar malware,” disseram os pesquisadores da Socket .
Pesquisadores de segurança encontraram três maneiras de entregar o código malicioso através das 73 extensões. Uma maneira é usar um segundo pacote VSIX do GitHub enquanto o programa está em execução e instalá-lo usando comandos de CLI. Outro método carrega módulos compilados específicos da plataforma como arquivos [.]node que contêm a lógica principal, incluindo rotinas para obter mais payloads.
Uma terceira maneira usa JavaScript altamente ofuscado que é decodificado em tempo de execução para baixar e instalar extensões maliciosas. Ele também possui URLs criptografados ou de fallback para obter o payload.
As extensões se parecem muito com listagens genuínas.
Em um caso, o atacante copiou o ícone da extensão genuína e deu a ela um nome e descrição quase idênticos. O nome do editor e o identificador exclusivo são o que os diferenciam, mas a maioria dos desenvolvedores não olha de perto essas coisas antes de instalar.
O GlassWorm é construído para visar tokens de acesso, dados de carteiras de criptomoedas, chaves SSH e informações sobre o ambiente do desenvolvedor.
Carteiras de criptomoedas estão continuamente sob ataque de hackers
O ameaça vai além das carteiras de criptomoedas. Um incidente diferente, mas relacionado, mostra como os ataques à cadeia de suprimentos podem se espalhar pela infraestrutura dos desenvolvedores.
Em 22 de abril, o repositório npm hospedou uma versão maliciosa da CLI do Bitwarden por 93 minutos sob o nome oficial do pacote @bitwarden/[email protected]. A JFrog, uma empresa de segurança, descobriu que o payload roubava tokens do GitHub, tokens do npm, chaves SSH, credenciais da AWS e Azure e segredos do GitHub Actions.
A análise da JFrog descobriu que o pacote hackeado modificou o gancho de instalação e o ponto de entrada do binário para carregar o runtime Bun e executar um payload ofuscado, tanto durante a instalação quanto durante a execução.
De acordo com os próprios registros da empresa, o Bitwarden tem mais de 50.000 empresas e 10 milhões de usuários. A Socket vinculou esse ataque a uma campanha maior rastreada por pesquisadores da Checkmarx, e o Bitwarden confirmou a conexão.
O problema reside na forma como o npm e outros repositórios operam. Atacantes exploram o tempo entre quando um pacote é publicado e quando seu conteúdo é verificado.
A Sonatype encontrou cerca de 454.600 novos pacotes maliciosos infestando repositórios em 2025. Atores de ameaça que buscam obter acesso à custódia de criptomoedas, DeFi e plataformas de lançamento de tokens começaram a mirar repositórios e lançar fluxos de trabalho maliciosos.
Para desenvolvedores que instalaram qualquer uma das 73 extensões do OpenVSX sinalizadas, a Socket recomenda girar todos os segredos e limpar seus ambientes de desenvolvimento.
A próxima coisa a observar é se as 67 extensões dormentes restantes ativarem nos próximos dias e se o OpenVSX implementará controles de revisão adicionais para atualizações de extensões.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
