注意 Solidity Pro：针对 Web3 开发者的定向投毒攻击 SlowMist 安全团队发现了针对 Solidity/Web3 开发者的恶意活动，涉及 VSCode 扩展 Solidity Pro。 在两个发布者身份（helper-beeps 和 web3devtoolsx）下的历史版本中，发现了凭证窃取、远程负载执行和远程 VSIX 更新功能。 有趣的是，这些恶意功能在后续版本中消失了，但恶意源代码和前发布者的痕迹仍然留在代码库中。我们追踪了版本历史、发布者迁移和构建工件，揭示了一个关键的检测盲点： 仅检测当前版本可能导致具有恶意历史的扩展看起来干净或低风险。 这个案例强调了为什么 ExtensionSecurity 应该超越单个文件或版本，结合版本历史、发布者变更、构建来源和远程控制平面进行全面分析。 阅读完整分析 https://slowmist.(medium.com)/beware-of-solidity-pro-a-targeted-poisoning-attack-on-web3-developers-4c91a9892198