Ethereum-разработчик стал жертвой вредоносного ИИ-расширения

[TechnoLab]

Один из ключевых разработчиков Ethereum Зак Коул стал жертвой криптовалютного дрейнера. Злоумышленники похитили приватный ключ от его горячего кошелька.

I've been in crypto for over 10 years and I’ve Never been hacked. Perfect OpSec record.

Yesterday, my wallet was drained by a malicious @cursor_ai extension for the first time.

If it can happen to me, it can happen to you. Here’s a full breakdown.

— zak.eth (@0xzak) August 12, 2025

«Я в криптоиндустрии уже больше 10 лет, и меня ни разу не взламывали. Идеальная репутация по безопасности. Однако вчера мой кошелек впервые опустошил дрейнер в виде ИИ-ассистента Cursor», — написал он.

Коул установил расширение contractshark.solidity-lang, не заметив ничего подозрительного. У него был профессиональный дизайн иконки, подробное описание и более чем 54 000 загрузок.


Однако плагин незаметно скопировал .env-файл разработчика, содержащий приватный ключ, и отправил его на сервер злоумышленников. В течение трех дней у хакеров был доступ к кошельку Коула, но они вывели средства только 10 августа.


По словам жертвы, убытки составили «несколько сотен» долларов в эфире. Основную часть средств разработчик хранит на аппаратных кошельках.


Коул заметил уведомление о переводе средств. Именно тогда он понял, что его взломали. Изучив отчеты «Лаборатории Касперского» и других компаний по кибербезопасности, Ethereum-разработчик обнаружил, что дрейнер является частью кампании, в рамках которой злоумышленники уже похитили свыше $500 000.


Он также выделил «красные флаги», на которые не обратил внимания при установке расширения:

• неофициальный создатель;
• отсутствие ссылки на GitHub;
• большое количество загрузок и ноль отзывов;
• недавняя дата загрузки — июль 2025;
• имитация названия известного расширения.

«Спешка = игнорирование инстинктов», — подчеркнул Коул.

Столкнувшимся со взломом пользователям он посоветовал сменить все ключи, проверить Etherscan на наличие несанкционированных транзакций, отозвать все разрешения, создать новые кошельки и задокументировать инцидент.


Напомним, в мае хакеры создали вредоносный клон Ledger Live для macOS. Злоумышленники заменили официальное приложение фейковым, которое собирало сид-фразы и опустошает кошельки.


В апреле стало известно, что операторы ПО для кражи криптовалют начали сдавать свои инструменты в аренду. Начинающие мошенники за разовую плату в $100-300 получают в аренду набор необходимых инструментов.