Ethereum ontwikkelaar gehackt via valse VS Code extensie

Een kleine fout werd een dure les voor Ethereum ontwikkelaar Zak.eth. Na tien jaar zonder beveiligingsproblemen werd hij toch slachtoffer van een geraffineerde hack. De boosdoener? Een ogenschijnlijk onschuldige VS Code extensie in de populaire AI-code-editor Cursor.

Zak installeerde de extensie “contractshark.solidity-lang” om sneller te kunnen werken. Alles leek in orde: meer dan 54.000 downloads, een professionele omschrijving en zelfs een plek in de standaardbibliotheek van Cursor. Maar achter de schermen was het pure malware. Binnen enkele minuten had de extensie zijn .env-bestand geopend, zijn privésleutel gekopieerd en doorgestuurd naar een externe server.

‘Als het mij kan overkomen, kan het iedereen overkomen’

Drie dagen later was het raak. De aanvaller haalde geld van zijn wallet. Dankzij zijn strikte beveiliging – met hardware wallets voor zijn hoofdtegoeden – bleef de schade beperkt tot een paar honderd dollar. “Maar,” zegt Zak, “het kan dus ook jou gebeuren, hoe ervaren je ook bent.”

Onderzoekers waarschuwen dat deze aanval deel uitmaakt van een veel grotere campagne. Daarbij is inmiddels meer dan een half miljoen dollar buitgemaakt. De tactiek is simpel maar effectief: gebruik een bijna onmerkbaar verkeerde naam, zet de extensie in een vertrouwde omgeving en zorg voor hoge downloadcijfers.

Aanval op het verkeerde moment

De extensie was volledig in JavaScript geschreven. Daardoor glipte de malware langs de detectie van het besturingssysteem. Volgens Zak is de aanval slim getimed: ontwikkelaars worden vaak juist getroffen als ze onder druk staan om snel code op te leveren. “Dat zijn de momenten waarop je minder kritisch bent,” geeft hij toe.

Tijdens zijn eigen onderzoek ontdekte Zak nog meer verdachte extensies, zoals “juanbIanco.solidity” en het npm-pakket “solsafe”. Zijn advies: controleer direct je geïnstalleerde extensies, vervang je sleutels en zorg dat er nooit gevoelige gegevens in je .env-bestanden staan.

Nieuwe manier van werken

Na deze ervaring heeft Zak zijn werkproces aangepast. Hij gebruikt nu geïsoleerde virtuele machines, alleen hardware wallets en bewaart gevoelige gegevens in versleutelde kluizen. Nieuwe extensies komen er alleen in na strenge controle.

Cybersecurity-experts steunen zijn aanpak. “Controleer altijd de bron, sla nooit sleutels op in platte tekst en werk zo veel mogelijk in een afgesloten omgeving,” zegt Hakan Unal van beveiligingsbedrijf Cyvers.

De hack is een harde herinnering dat zelfs de meest voorzichtige Ethereum ontwikkelaar kwetsbaar blijft. Zoals Zak het zelf samenvat: “Mijn paranoia heeft me gered. Misschien is dat wel de beste beveiliging die je kunt hebben.”