Risco para desenvolvedores e utilizadores de criptoativos em Chaves
Pesquisadores de segurança identificaram extensões maliciosas para o Microsoft Visual Studio Code que se faziam passar pela ferramenta Solidity Pro e tinham capacidade para roubar carteiras de criptomoedas, credenciais e chaves de API. As extensões, distribuídas com os nomes helper-beeps.solidity-pro e web3devtoolsx.solidity-pro, já foram removidas do repositório Open VSX, mas o repositório web3devtoolsx/solidity-pro no GitHub permaneceu acessível no momento da análise.
Para residentes e empresas de Chaves — nomeadamente programadores, consultores TI, pequenas empresas tecnológicas e utilizadores de carteiras digitais — a descoberta sublinha a necessidade de cautela ao instalar extensões e de políticas rígidas de segurança em ambiente de desenvolvimento.
Como operava o malware
Segundo a análise da Yeeth Security, as primeiras versões (de 1.0.0 até à linha 2.4.x) contactavam endpoints hospedados no Cloudflare Workers para descarregar um payload Python cifrado e executá‑lo localmente. A partir da versão 3.0.0 o comportamento evoluiu para um infostealer mais abrangente, capaz de recolher um amplo leque de dados sensíveis e de os exfiltrar através de um bot do Telegram.
- Dados procurados: tokens do GitHub (formatos “ghp_” e “github_pat_”), tokens do GitLab (“glpat-”), chaves e tokens da AWS, tokens da Cloudflare (“cfat_”) e chaves da OpenAI (formatos “sk-”, “sk-proj-”, “sk-ant-”).
- Carteiras e chaves: frases mnemónicas, seeds, cofres da MetaMask, Phantom, Rabby, Coinbase, Trust e Keplr, além de chaves Bitcoin WIF e xprv.
- Outros alvos: chaves privadas SSH, credenciais embebidas em URLs e tokens de autenticação multifator do 1Password.
| Versão | Comportamento identificado |
|---|---|
| 1.0.0 – 2.4.x | Descarga de payload Python cifrado via Cloudflare Workers e execução local |
| 3.0.0 | Operação como infostealer, recolha alargada e envio por bot do Telegram |
Os autores do esquema adotaram técnicas para dificultar a deteção: ofuscação do código, publicação de versões intermédias aparentemente legítimas para ganhar confiança e ativação maliciosa retardada (horas ou dias) para contornar análises automatizadas de curta duração.
Impacto local e recomendações práticas
Em Chaves, onde o ecossistema tecnológico é composto por profissionais independentes, empresas de engenharia e utilizadores de serviços online, a ameaça representa um risco concreto: uma extensão maliciosa instalada numa máquina de desenvolvimento pode comprometer repositórios, infraestruturas cloud e carteiras com ativos.
Medidas imediatas recomendadas:
- Verificar as extensões instaladas no VS Code e remover helper-beeps.solidity-pro e web3devtoolsx.solidity-pro caso existam.
- Rotear chaves e tokens suspeitos (revogar e regenerar) e ativar autenticação multifator onde disponível.
- Consultar os administradores de sistemas nas empresas locais para auditar máquinas de desenvolvimento e sistemas de CI/CD.
- Evitar instalar extensões de fontes não verificadas e preferir repositórios oficiais ou internos validados.
Para cidadãos e entidades de Chaves que utilizem carteiras de criptomoedas, recomenda‑se a verificação das frases de recuperação e, em caso de suspeita de comprometimento, a migração de fundos para novas carteiras cujas chaves privadas nunca tenham sido importadas em máquinas potencialmente afetadas.
Esta divulgação reforça a necessidade de práticas de higiene digital constantes em todo o país e localmente, onde pequenos perfis técnicos podem tornar alvos atractivos por possuírem acessos valiosos a infraestruturas e serviços.
