Extensões do VS Code roubam dados: o perigo oculto para devs

Se você é desenvolvedor e confia cegamente no marketplace de extensões do VS Code, é hora de acordar. A recente descoberta de extensões maliciosas, como a Solidity Pro, mostra que o ecossistema de código aberto está sendo usado como vetor de ataques sofisticados. Não se trata apenas de um bug: é um assalto digital meticulosamente planejado para drenar carteiras de criptomoedas, chaves de API e credenciais. E o pior: as empresas por trás dessas plataformas continuam com um discurso vazio de segurança, enquanto os desenvolvedores arcam com o prejuízo.

Pesquisadores de segurança cibernética identificaram que as extensões helper-beeps.solidity-pro e web3devtoolsx.solidity-pro estavam entregando um stealer de credenciais e carteiras. Embora tenham sido removidas do Open VSX, o repositório GitHub do segundo pacote ainda está acessível — o que escancara a lentidão na resposta a incidentes. A pergunta incômoda: por que ainda é tão fácil publicar código malicioso em repositórios oficiais?

A falsa sensação de segurança nos marketplaces oficiais

O discurso oficial de plataformas como Microsoft e GitHub é sempre o mesmo: “revisamos manualmente as extensões”, “usamos scanners estáticos”, “a comunidade denuncia”. Mas a realidade, nua e crua, é que as verificações são burladas com técnicas de ofuscação e ativação retardada. A extensão maliciosa se comporta como legítima por dias, ganha avaliações positivas e, só depois, ativa o payload malicioso. Quando o estrago aparece, o desenvolvedor já perdeu chaves SSH, tokens do GitHub e até frases mnemônicas de carteiras cripto.

A Yeeth Security, responsável pela descoberta, detalhou que o malware evoluiu de simples beacons para Cloudflare Workers (versões 1.0.0 a 2.4.x) para um info-stealer completo a partir da v3.0.0. Ele coleta perfis de navegador, carteiras como MetaMask, Phantom e Rabby, tokens do Telegram, chaves AWS e muito mais. Tudo exfiltrado via bot do Telegram. É um prato cheio para criminosos, e a responsabilidade de evitar esse desastre ainda recai sobre o usuário final.

Enquanto isso, as plataformas se escondem atrás de termos de uso que isentam sua responsabilidade. Ora, se o marketplace lucra com a distribuição de extensões, por que não investe pesado em uma sandbox real, com análise comportamental profunda? A resposta é simples: custa caro, e o prejuízo não é deles.

O que a Solidity Pro rouba e por que você deveria se preocupar

A lista de dados coletados pela extensão maliciosa é assustadoramente abrangente:

• Tokens do GitHub (ghp e githubpat) e GitLab (glpat-)
• Chaves AWS e tokens de sessão
• Tokens da Cloudflare (cfat)
• Chaves da OpenAI (sk-, sk-proj-, sk-ant-)
• Tokens de bot do Telegram
• Frases mnemônicas e seed phrases de carteiras
• Cofres de MetaMask, Phantom, Rabby, Coinbase, Trust, Keplr
• Chaves privadas Bitcoin (WIF / xprv)
• Chaves SSH privadas
• Credenciais de URL e tokens MFA do 1Password

Isso significa que, em um único golpe, o atacante pode assumir o controle de repositórios, ambientes cloud, contas de IA e — o mais doloroso — drenar todos os fundos de carteiras cripto. Não há seguro que cubra esse tipo de perda. E o pior: muitas vítimas só descobrem quando já é tarde demais.

Leia também: MCP 2026: escalonamento remoto fica mais fácil. O cenário de ameaças está evoluindo rapidamente, e técnicas que facilitam o escalonamento de privilégios se combinam com esses roubos de credenciais para causar danos catastróficos.

Redes Wi-Fi públicas: o combo perfeito para o desastre

Se o desenvolvedor usa redes Wi-Fi públicas — em cafés, aeroportos ou coworkings — o risco se multiplica. Uma extensão maliciosa que já está instalada pode exfiltrar dados em segundo plano, e uma rede desprotegida torna esse tráfego ainda mais vulnerável a interceptações. Pior: muitos devs acessam servidores remotos via SSH ou fazem deploy de código usando essas conexões, expondo credenciais a ataques man-in-the-middle.

O conselho básico de “use uma VPN” já não basta. É preciso auditar cada extensão instalada, monitorar tráfego de saída e, principalmente, não confiar na segurança da rede apenas porque o café tem senha. A Kzarka já alertou sobre riscos semelhantes em dispositivos domésticos: TV Box e Streaming: O Risco Oculto de Vazamento de Dados. O padrão é o mesmo: dispositivos e softwares que coletam informações sem que o usuário perceba.

A indústria da negligência: por que as empresas não agem?

O caso da Solidity Pro não é isolado. Em junho de 2026, a extensão “ethdevtools.solidity-language-support” já havia usado ativação retardada para roubar frases BIP-39 e chaves privadas via clipboard. A técnica é engenhosa: quando o usuário copia um endereço de carteira, a extensão substitui silenciosamente o valor por um endereço do atacante usando vscode.env.clipboard.writeText. Nenhum scanner estático detecta isso, porque não há imports perigosos.

O que a Microsoft fez depois do primeiro incidente? Removeu a extensão e seguiu em frente. Nenhuma mudança estrutural no processo de revisão. O mercado de extensões continua sendo um faroeste, e os desenvolvedores são as vítimas preferenciais porque têm acesso a ativos digitais de alto valor.

Outro dado alarmante: um conjunto de 10 extensões do VS Code estava distribuindo droppers em BAT, JavaScript e HTA. Duas delas usavam um hook postinstall para baixar payloads remotos. E a extensão “DigitalBarberTrim.html-entity-codec” chegava a enumerar forks do VS Code como Cursor e Windsurf para decidir se entregava ou não o malware. É uma operação criminosa com inteligência de alvos.

Como se proteger de verdade (além do discurso oficial)

As recomendações padrão — “remova a extensão”, “inspecione dependências” — são insuficientes. É preciso adotar uma postura de verificação contínua da identidade digital. Pergunte-se:

• Suas chaves privadas já podem ter vazado sem você saber?
• Algum token de API está sendo usado indevidamente neste momento?
• Suas credenciais de e-mail ou serviços em nuvem estão expostas em fóruns clandestinos?

Não espere a notificação de uma empresa que levou semanas para remover uma extensão maliciosa. Assuma que você já pode ter sido comprometido. Ferramentas de monitoramento de vazamentos de dados são essenciais para detectar exposições precocemente, antes que o estrago financeiro ou reputacional aconteça.

Além disso, adote práticas rigorosas de segurança para desenvolvimento:

• Use ambientes isolados (VM ou containers) para testar extensões novas;
• Bloqueie tráfego de saída não essencial no firewall;
• Armazene chaves privadas apenas em hardware wallets ou cofres offline;
• Revogue tokens periodicamente e use escopos mínimos de permissão;
• Monitore logs de acesso a repositórios e serviços cloud.

Perguntas Frequentes (FAQ)

1. Como saber se instalei uma extensão maliciosa no VS Code?

Verifique o histórico de instalação e compare com listas de extensões maliciosas reportadas. Monitore tráfego de rede suspeito e revise os logs do VS Code. Mas, na prática, a detecção é difícil: o ideal é partir para monitoramento de vazamentos de credenciais.

2. A Microsoft reembolsa perdas causadas por extensões maliciosas?

Não. Os termos de uso isentam a plataforma de responsabilidade. Você está por sua conta e risco.

3. Extensões de outros editores, como Cursor ou Windsurf, também são visadas?

Sim. A extensão DigitalBarberTrim.html-entity-codec, por exemplo, identificava forks do VS Code para decidir se entregava o payload. O ecossistema de editores baseados em Electron é um alvo comum.

4. O que é ativação retardada e por que ela é tão perigosa?

É uma técnica em que o código malicioso só executa dias após a instalação. Isso burla sandboxes que analisam o comportamento por pouco tempo e faz com que o usuário confie na extensão antes do ataque.

5. Redes Wi-Fi públicas realmente aumentam o risco de roubo de credenciais?

Sim. Se o malware já está instalado, uma rede pública facilita a interceptação do tráfego de exfiltração. Além disso, muitos devs acessam servidores via SSH sem proteção adequada, expondo ainda mais credenciais.

6. Como posso verificar se meus dados já vazaram?

A Kzarka oferece um serviço de monitoramento de vazamentos de dados e proteção contra roubo de identidade digital. Em minutos, você descobre se suas credenciais, chaves ou documentos estão expostos na dark web.

Não seja a próxima vítima da negligência corporativa. Enquanto as plataformas lucram com a sua confiança, criminosos estão lucrando com os seus dados. Acesse agora a Kzarka e descubra se sua identidade digital já foi comprometida. A prevenção é a única defesa real.