Microsoft Visual Studio Code用のSolidity Proという悪意ある拡張機能が、ブラウザウォレットと認証情報を盗むために使用されている。拡張機能はCloudflare Workersのエンドポイントに接続し、暗号化されたPythonペイロードを取得して実行する。以降のバージョンでは、ブラウザプロファイル、暗号ウォレット、ソース管理トークン、APIキー、SSHキー、Telegramボットトークンを収集する完全な情報窃取機能を提供する。データはTelegramボットを通じて外部へ送信される。

拡張機能は、公開前の審査、静的スキャン、ランダムなサンドボックス回避のために高度な暗号化、途中のクリーンリリース、ランダムな遅延起動を使用している。悪意コードはインストール後数時間から数日後に実行される。暗号化は文字列テーブルをIIFEテーブルに分割し、実行時に再結合し、メソッド名をバージョン間で変更する。

これは、オープンソースエコシステムで偽のSolidity拡張機能を配布する脅威アクターが初めて行ったことではない。2026年6月、Yeeth SecurityはEthereum開発者向けのSolidity言語サポートツールを偽装した別の拡張機能「ethdevtools.solidity-language-support」を検出した。