Vào ngày 21 tháng 4, Giám đốc An ninh Thông tin của SlowMist, 23pds, đã cảnh báo các nhà phát triển thông qua việc chuyển tiếp bài đăng của người dùng X @mrdotparasyte, rằng phải cực kỳ cảnh giác khi cài đặt các plug-in hoặc gói của bên thứ ba.
Hiện tại có một plug-in VSCode đáng ngờ có tên là JuanFranBlanco.solidit-vscode, và từ "solidit" trong Identifier của plug-in là một lỗi chính tả rõ ràng. Plug-in này đã tồn tại được hai ba ngày, và hiện chưa rõ có bao nhiêu nhà phát triển đã vô tình "trúng kế". Hiện tại, các cuộc tấn công chuỗi cung ứng nhắm vào các nhà phát triển ngày càng phổ biến, đặc biệt là các plug-in VSCode, gói npm chưa được kiểm tra chính thức, đã trở thành vùng bị ảnh hưởng nặng nề nhất của các cuộc tấn công này.
