VS Code拡張機能「Solidity Pro」が情報窃取マルウェア — 暗号資産ウォレットやAPIキーをTelegramで窃取（Yeeth Security分析）

「Solidity Pro」と聞けば、暗号資産（仮想通貨）のスマートコントラクト開発に使う正規ツールだと思うだろう。その「思い込み」を狙った攻撃が確認された。セキュリティ企業Yeeth Securityは2026年8月6日、VS Code拡張機能「Solidity Pro」が、暗号資産ウォレットや認証情報を窃取するマルウェアだと報告した。

この拡張機能は、helper-beeps.solidity-pro と web3devtoolsx.solidity-pro という2つの発行元（パブリッシャー）から配布されていた。名前こそ別だが、同じ悪性コードを別の発行元に載せ替えた同一ファミリーだと分析されている。2026年8月11日時点で、いずれもOpen VSXからは削除されていることを確認した（APIで名前空間が見つからない状態）。

バージョンごとに進化する「入れ物」

このマルウェアは単一のペイロードではない。Yeeth Securityによると、**20以上のバージョンで作り直され続けた「入れ物（チャシス）」**だ。挙動はおおまかに次のように変遷している。

時期・バージョン	挙動
v1.0.0〜v2.4.x	C2ドロッパー — Cloudflare Workersのエンドポイントに通信し、AES-GCMで暗号化されたPythonペイロードを取得して実行
v2.4.7〜v2.4.8など	難読化を強めたドロッパー（ステージング経路を変更）
v3.0.0〜v3.0.2	移行期 — 旧来の部品を残しつつ、情報窃取型の骨格を隠し持つ
v3.1.x以降・web3devtoolsx 3.4.0	インフォスティーラー — ウォレットや認証情報を収集し、Telegramボット経由で外部送信
web3devtoolsx 1.0.0 / 4.0.0	デコイ（囮）版 — 悪性コードを含まない小さな正規風パッケージ。信用を稼ぐ目的とみられる

初期版（v1.0.0〜v2.4.x）の動きは次のとおりだ。拡張機能は起動後、**ランダムな遅延（12〜72時間）**を挟んでからCloudflare WorkersのURLに通信し、暗号化された応答を一時ファイル（.vscode_sol_analytics_<時刻>.py など）に書き出して実行する。実行前にCI／サンドボックス環境の変数（CI、GITHUB_ACTIONS、JENKINS_HOME、GITPOD_WORKSPACE_ID）を確認し、解析環境では動かないようにしている。

何が盗まれるのか

v3.0.0以降の情報窃取型が狙うのは、Web3開発者が普段触る「ありとあらゆる機微情報」だ。

• GitHubのアクセストークン（ghp_、github_pat_）、GitLabのトークン（glpat-）
• AWSのアクセスキーとセッショントークン、CloudflareのAPIトークン（cfat_）
• OpenAIのAPIキー（sk-、sk-proj-、sk-ant-）、Telegramのボットトークン
• 暗号資産ウォレットの**シードフレーズ（ニーモニック）**と秘密鍵
• MetaMask、Phantom、Rabby、Coinbase、Trust、Keplrなどのウォレット保管庫（vault）
• Bitcoinの秘密鍵形式（WIF／xprv）
• SSH秘密鍵（PRIVATE KEY）
• ブラウザに保存されたURL認証情報、1PasswordのMFAトークン

収集したデータはTelegramのボットAPIにアップロードして送信される。Yeeth Securityは「これは一般的なクリップボード窃取ではなく、Web3開発者がファイルや文字列として蓄積する資産を狙い撃ちにする、構造化された収穫機だ」と指摘している。

なぜ検知を逃れるのか

Yeeth Securityは、このファミリーがマーケットプレイスの審査、静的解析、簡易サンドボックスを同時にかいくぐるように設計されていると分析する。

• 遅延実行 — インストール直後は動かず、数時間〜数日後に悪性コードが動く。「便利だ」と思った頃に実行されるため、数分しか観測しない自動スキャナは見逃す
• 徹底した難読化 — 文字列を16進数やIIFE（即時実行関数）の表に分割し、実行時に再組み立て。リリースごとに関数名を変えるため、シグネチャ検知は「動く標的」を追うことになる
• デコイ版の混入 — 悪性版と無害版を交互に公開してシグナルを薄める。レビュー承認の反応を探る目的もあるとみられる

WhiteCobraとの関連

この活動は、「WhiteCobra」と呼ばれる脅威グループの手口と軌を一にする。Yeeth Securityは2025年9月、Solidityテーマの偽拡張機能が遠隔操作型マルウェアを仕込む「WhiteCobra Beginnings」を初めて報告している。今回の2拡張機能は同じ「Solidityテーマの偽ツール＋偽の発行元＋多段ペイロード」という戦術の後継にあたる。

さらに2026年6月には、ethdevtools.solidity-language-support という別の偽拡張機能が、クリップボード上の暗号資産アドレスを攻撃者管理のアドレスにすり替える窃取型であることも確認されている。Solidity関連の偽拡張機能は、マーケットプレイスへの攻撃経路として繰り返し使われているのが実態だ。

今、何をすべきか

VS Codeは日本の開発現場でも広く使われている。拡張機能のマーケットプレイスは「信頼できるツールの置き場」だが、今回の事例はそこが攻撃経路になり得ることを示している。開発者・組織は以下を徹底したい。

1. インストール済み拡張機能の棚卸し — solidity-pro に関連する拡張機能（helper-beeps、web3devtoolsx、iktok90-design名義など）が残っていないか確認し、見つけたら即座に無効化・削除する
2. 発行元（パブリッシャー）の確認 — ダウンロード数が多くても「正規」とは限らない。実在する企業・組織の発行元か、公式サイトからリンクされているかを確認する
3. シードフレーズや秘密鍵をエディタ・クリップボードに置かない — ウォレットの秘密情報はハードウェアウォレットなどエディタ外の仕組みで管理する
4. 拡張機能の更新履歴を疑う — 短期間に大量のバージョンが公開されている拡張機能は要注意。今回のファミリーも20以上のバージョンを繰り返し公開していた
5. 端末の侵害兆候を確認する — 心当たりのないPythonプロセス（_sol_analytics_ 系のファイル名）、Telegram APIへの不審な通信、ウォレットの異常な送金がないか確認する

拡張機能マーケットプレイスの「ダウンロード数」は、もはや安全の証明にはならない。開発者の端末は認証情報の宝庫だ。「便利そうな名前」と「多いダウンロード数」だけで信頼しないことが、IDEサプライチェーン攻撃への第一歩になる。

出典: Yeeth Security — Solidity Pro’s WhiteCobra Chassis: Cloudflare C2 to Telegram Infostealer（2026年8月6日）