Ethereum-разработчик стал жертвой вредоносного ИИ-расширения

I've been in crypto for over 10 years and I’ve Never been hacked. Perfect OpSec record.

Yesterday, my wallet was drained by a malicious @cursor_ai extension for the first time.

If it can happen to me, it can happen to you. Here’s a full breakdown. 🧵👇

— zak.eth (@0xzak) August 12, 2025

«Я в криптоиндустрии уже больше 10 лет, и меня ни разу не взламывали. Идеальная репутация по безопасности. Однако вчера мой кошелек впервые опустошил дрейнер в виде ИИ-ассистента Cursor», — написал он.

Коул установил расширение contractshark.solidity-lang, не заметив ничего подозрительного. У него был профессиональный дизайн иконки, подробное описание и более чем 54 000 загрузок.

Однако плагин незаметно скопировал .env-файл разработчика, содержащий приватный ключ, и отправил его на сервер злоумышленников. В течение трех дней у хакеров был доступ к кошельку Коула, но они вывели средства только 10 августа.

По словам жертвы, убытки составили «несколько сотен» долларов в эфире. Основную часть средств разработчик хранит на аппаратных кошельках.

Коул заметил уведомление о переводе средств. Именно тогда он понял, что его взломали. Изучив отчеты «Лаборатории Касперского» и других компаний по кибербезопасности, Ethereum-разработчик обнаружил, что дрейнер является частью кампании, в рамках которой злоумышленники уже похитили свыше $500 000.

Он также выделил «красные флаги», на которые не обратил внимания при установке расширения:

• неофициальный создатель;
• отсутствие ссылки на GitHub;
• большое количество загрузок и ноль отзывов;
• недавняя дата загрузки — июль 2025;
• имитация названия известного расширения.

«Спешка = игнорирование инстинктов», — подчеркнул Коул.

Столкнувшимся со взломом пользователям он посоветовал сменить все ключи, проверить Etherscan на наличие несанкционированных транзакций, отозвать все разрешения, создать новые кошельки и задокументировать инцидент.

Напомним, в мае хакеры создали вредоносный клон Ledger Live для macOS. Злоумышленники заменили официальное приложение фейковым, которое собирало сид-фразы и опустошает кошельки.

В апреле стало известно, что операторы ПО для кражи криптовалют начали сдавать свои инструменты в аренду. Начинающие мошенники за разовую плату в $100-300 получают в аренду набор необходимых инструментов.