솔리디티 개발 도구로 위장한 악성 VS Code 확장 프로그램이 암호화폐 지갑, API 키 및 개발자 인증 정보를 탈취하고 있다

사이버 보안 연구원들은 전문 솔리디티(Solidity) 개발 도구로 위장한 악성 Visual Studio Code 확장 프로그램을 발견했는데, 이 확장 프로그램은 감염된 시스템에서 암호화폐 지갑, 클라우드 API 키, SSH 개인 키, 소스 제어 토큰 및 개발자 인증 정보를 체계적으로 수집해 왔습니다. Yeeth Security가 기록한 이 캠페인은 Web3 및 블록체인 개발자들의 자체 개발 환경을 통해 이들을 표적으로 삼는 공격이 상당히 심화되었음을 보여줍니다.

주요 내용

• “Solidity Pro”라는 이름의 두 가지 악성 VS Code 확장 프로그램 가 확인되었습니다: helper-beeps.solidity-pro 및 web3devtoolsx.solidity-pro
• 초기 버전은 암호화된 Python 페이로드를 가져오기 위해 Cloudflare Workers 엔드포인트로 신호를 보냈으나 — 이후 버전은 완전한 정보 탈취형으로 전환되었습니다
• 탈취된 데이터는 텔레그램 봇 업로드를 통해 외부로 유출됩니다
• 이 악성코드는 무작위 지연 활성화 방식을 사용하여 — 설치 후 몇 시간 또는 며칠이 지나서 실행되어 자동 스캐너를 회피하고 먼저 사용자의 신뢰를 얻습니다
• 이 캠페인은 WhiteCobra와 전술적 유사성을 보이며, 이는 2025년 9월에 탐지된 위협 클러스터로, 악성 VS Code 확장 프로그램을 통해 Lumma Stealer를 유포했습니다
• 두 확장 프로그램 모두 현재 Open VSX에서는 사용할 수 없으나, GitHub 저장소는 여전히 공개적으로 접근 가능합니다

확장 프로그램의 기능

게시자 및 패키지 식별자로 helper-beeps.solidity-pro 및 web3devtoolsx.solidity-pro로 확인된 이 두 확장 프로그램은 버전 이력을 통해 점진적인 공격 패턴을 보였습니다.

버전 1.0.0부터 v2.4.x에 이르는 초기 버전들은 Cloudflare Workers 엔드포인트에 신호를 보내고, 실행을 위해 암호화된 Python 페이로드를 가져오는 것으로 밝혀졌습니다. 버전 3.0.0부터는 이 확장 프로그램이 완전히 개발된 정보 탈취 도구로 변모했으며, 이는 개발자 자격 증명과 금융 자산을 동시에 광범위하게 노리는 훨씬 더 공격적인 기능을 갖추고 있습니다.

정보 유출 메커니즘은 텔레그램 봇 업로드를 통해 이루어집니다. 텔레그램의 인프라는 합법적인 목적으로 널리 사용되고 있으며, 이를 차단할 경우 악성 트래픽 이상의 영역에 지장을 초래할 수 있기 때문에, 이 전달 경로는 기존의 명령 및 제어 서버 통신보다 차단하기 어렵습니다.

도난당하는 정보

v3.0.0 스틸러가 노리는 데이터의 범위는 유난히 광범위하여, Web3 개발자가 보유할 가능성이 있는 거의 모든 종류의 민감한 인증 정보를 아우릅니다.

소스 제어 및 클라우드 인프라에서, 이 정보 탈취 도구는 ghp_ 및 github_pat_ 형식의 GitHub 개인 액세스 토큰, glpat- 접두사가 붙은 GitLab 토큰, AWS 액세스 키 및 세션 토큰, 그리고 cfat_로 시작하는 Cloudflare 토큰을 수집합니다. AI 개발 자격 증명도 표적이 됩니다. sk-, sk-proj- 및 sk-ant- 형식의 OpenAI API 키가 명시적으로 수집되므로, 이 캠페인은 블록체인 개발자뿐만 아니라 AI 개발자에게도 관련이 있습니다.

암호화폐 인프라와 관련하여, 이 정보 탈취 도구는 니모닉 시드 문구 및 복구 문구, MetaMask, Phantom, Rabby, Coinbase Wallet, Trust Wallet 및 Keplr의 지갑 금고, 비트코인 지갑 임포트 형식 키 및 확장 개인 키를 표적으로 삼습니다. SSH 개인 키, URL 인증 정보 및 1Password 다단계 인증 토큰도 수집 대상에 포함됩니다.

텔레그램 봇 토큰도 수집되는데, 이를 통해 공격자는 개발자가 운영하던 텔레그램 봇을 사칭하거나 제어할 수 있게 되며, 그 영향은 개별 피해자를 넘어 해당 봇과 상호작용하는 모든 사람에게까지 미칩니다.

탐지를 회피하는 방식

이 캠페인의 기술적으로 가장 중요한 특징은 탐지 회피 아키텍처로, 대부분의 확장 프로그램 마켓플레이스와 보안 도구가 의존하는 탐지 메커니즘을 무력화하는 다층적 접근 방식입니다.

핵심 기술은 무작위 지연 활성화입니다. 악성 코드는 설치 즉시 실행되지 않습니다. 대신, 악성 코드가 실행되기까지 몇 시간 또는 며칠을 기다립니다. 이는 사용자가 해당 확장 프로그램이 합법적이고 유용하다고 판단하기에 충분한 시간이며, 패키지를 몇 분 동안 관찰한 후 승인하는 자동 스캐너가 완전히 다른 대상으로 넘어가기에 충분한 시간입니다.

"악성 분기가 실행될 무렵이면, 사용자는 이미 해당 확장 프로그램이 유용하다고 판단했을 것이며, 패키지를 단 몇 분 동안만 관찰하는 자동 스캐너들은 이미 다음 대상으로 넘어간 상태입니다," Yeeth Security는 이같이 지적했습니다.

이 난독화는 피상적인 것이 아닙니다. 이 악성 코드는 문자열을 IIFE 테이블에 분할하여 저장하고, 정적 분석으로 탐지될 수 있는 형태로 저장하는 대신 런타임에 재조립합니다. 메서드 이름은 릴리스마다 바뀌기 때문에, 시그니처 기반 탐지 방식은 고정된 패턴과 대조하는 대신 끊임없이 변화하는 대상을 추적해야 합니다.

악성 버전이 출시되는 사이, 운영자들은 악성 페이로드가 포함되지 않은 기능적 확장판인 중간 청정 버전을 공개하여 긍정적인 사용자 신호를 축적하고, 마켓플레이스에서 신뢰 점수를 쌓으며, 악성 버전이 배포될 준비가 되기 전에 차단될 가능성을 줄였습니다.

WhiteCobra와의 연관성

Yeeth Security는 Solidity Pro 캠페인과 WhiteCobra 간의 전술적 중복을 확인했습니다. WhiteCobra는 2025년 9월에 처음 탐지된 위협 클러스터로, VS Code, Cursor 및 Windsurf를 사용하는 개발자를 표적으로 삼아 악성 VS Code 확장 프로그램을 통해 Lumma Stealer를 유포하는 것으로 밝혀졌습니다. 이 두 캠페인은 악성 VS Code 확장 프로그램, 개발자를 표적으로 한 인증 정보 탈취, 지연된 활성화, 그리고 정상적인 중간 버전을 통한 마켓플레이스 신뢰 구축이라는 동일한 고수준 전술을 공유합니다.

두 캠페인의 배후에 동일한 운영자가 있는지 여부는 확인되지 않았지만, 공통된 방법론은 직접적인 운영상의 중복이 있거나 WhiteCobra의 문서화된 기법에 대해 잘 알고 있음을 시사합니다.

솔리디티 개발자를 겨냥한 반복되는 패턴

Solidity Pro 캠페인은 단발성 사건이 아닙니다. 2026년 6월, Yeeth Security는 이더리움 개발자를 위한 솔리디티 언어 지원 도구를 사칭한 또 다른 확장 프로그램인 ethdevtools.solidity-language-support를 신고했습니다. 이 확장 프로그램에는 BIP-39 시드 문구, 이더리움 개인 키 및 지갑 주소를 수집하도록 특별히 설계된 지연 활성화형 클립보드 탈취 코드가 포함되어 있었습니다. 2025년에 진행된 이전 캠페인들은 오픈소스 생태계 내의 가짜 솔리디티 확장 프로그램을 통해 러시아어를 사용하는 개발자들을 표적으로 삼았습니다.

솔리디티 개발자를 대상으로 한 공격이 집중되는 것은 우연이 아닙니다. 솔리디티는 이더리움 스마트 계약 개발의 주요 언어입니다. 이 분야에서 활동하는 개발자들은 상당한 온체인 자산에 대한 직접적인 접근 권한을 나타내는 개인 키, 지갑 인증 정보 및 배포 인프라 접근 권한을 일상적으로 보유하고 있습니다. 가동 중인 프로토콜에 대한 배포 권한을 가진 개발자가 단 한 번만 감염되더라도, 해당 개인의 개인 자산보다 훨씬 더 많은 자산이 노출될 수 있습니다.

개발자가 취해야 할 조치

Solidity Pro 확장 기능은 Open VSX에서 제거되었지만, web3devtoolsx/solidity-pro에 있는 GitHub 저장소는 이 글을 작성하는 시점에도 여전히 접근 가능합니다. 어떤 버전의 helper-beeps.solidity-pro 또는 web3devtoolsx.solidity-pro를 설치한 개발자라면, 자신의 모든 인증 정보 세트가 유출된 것으로 간주해야 합니다.

즉시 취해야 할 조치로는 모든 GitHub 및 GitLab 개인 액세스 토큰을 취소 및 교체하고, AWS 액세스 키와 세션 토큰을 교체하며, 모든 Cloudflare API 토큰을 취소하고, 모든 OpenAI API 키를 교체하고, Telegram 봇 토큰을 취소하고, 무엇보다도 모든 암호화폐 자산을 감염된 기기에 한 번도 저장된 적이 없는 새로운 시드 문구로 생성된 지갑으로 옮기는 것이 포함됩니다.

SSH 개인 키는 교체해야 하며, 유출된 키가 접근 권한을 가졌던 모든 시스템에서 승인된 키 파일을 업데이트해야 합니다. 유출되었을 가능성이 있는 1Password MFA 토큰은 검토하고, 가능한 경우 교체해야 합니다.

아직 확장 프로그램을 설치하지 않은 개발자들에게 이번 사건은 VS Code 확장 프로그램 설치를 다른 소프트웨어 배포와 동일한 수준의 신중함을 가지고 다뤄야 할 필요성을 강조합니다. 보안상 민감한 개발 환경을 다루는 확장 프로그램을 설치하기 전에, 게시자 신원, 설치 횟수, 리뷰 내역 및 최근 버전 출시 시기를 모두 검토해 볼 가치가 있습니다.

출처

Solidity Pro 및 WhiteCobra의 텔레그램(Telegram)으로의 C2 통신에 관한 Yeeth Security 블로그 게시물, 2026년 8월 6일. 2026년 8월, Solidity Pro 악성 VS Code 확장 프로그램에 대한 The Hacker News 보도. 2026년 6월, ethdevtools 클립보드 탈취에 대한 Yeeth Security 보고서. 2025년 9월, WhiteCobra 위협 클러스터 탐지. VS Code 악성 확장 프로그램에 대한 The Hacker News 주간 요약, 2025년 9월.