Atak na łańcuch dostaw w bitwarden CLI naraża klucze portfeli kryptowalutowych na ryzyko

Atakujący przejęli kontrolę nad menedżerem haseł Bitwarden w wersji CLI 2026.4.0 przez zainfekowaną akcję GitHub, publikując złośliwy pakiet npm, który aktywnie kradnie dane portfeli kryptowalut i dane logowania deweloperów.

Firma bezpieczeństwa Socket wykryła naruszenie 23 kwietnia i powiązała je z trwającą kampanią TeamPCP dotyczącą łańcucha dostaw. Złośliwa wersja npm została już usunięta.

Złośliwe oprogramowanie zagraża portfelom krypto i danym CI/CD

Złośliwy ładunek, umieszczony w pliku bw1.js, uruchamiał się podczas instalacji pakietu i zbierał tokeny GitHub i npm, klucze SSH, zmienne środowiskowe, historię powłoki i dane dostępowe do chmury.

Kampania TeamPCP obejmuje także ataki na dane portfeli krypto, w tym pliki portfeli MetaMask, Phantom oraz Solana.

Zgodnie z informacjami podanymi przez JFrog, wykradzione dane trafiały na domeny kontrolowane przez atakujących i były przesyłane z powrotem do repozytoriów GitHub jako mechanizm utrzymania dostępu. Szczegóły opisano też tutaj.

Wiele zespołów krypto korzysta z Bitwarden CLI do automatycznego wstrzykiwania sekretów oraz wdrożeń w pipeline’ach CI/CD. Każdy workflow, który używał zainfekowanej wersji, mógł ujawnić klucze portfeli o wysokiej wartości oraz dane API giełd.

Badacz bezpieczeństwa Adnan Khan zauważył, że to pierwszy znany przypadek przejęcia pakietu przez mechanizm zaufanej publikacji npm, zaprojektowany do eliminacji długoterminowych tokenów.

Co powinni zrobić użytkownicy dotknięci atakiem?

Socket rekomenduje, aby każda osoba, która zainstalowała @bitwarden/cli w wersji 2026.4.0, natychmiast zmieniła wszystkie ujawnione sekrety.

Użytkownicy powinni cofnąć się do wersji 2026.3.0 lub pobrać oficjalnie podpisane pliki binarne ze strony Bitwarden.

Od marca 2026 roku TeamPCP przeprowadzał podobne ataki na Trivy, Checkmarx i LiteLLM, celując w narzędzia deweloperskie wykorzystywane wewnątrz pipeline’ów budujących aplikacje.

Główny sejf Bitwarden pozostał bezpieczny. Atak dotknął wyłącznie proces budowy CLI. Więcej informacji podano tutaj.

BeInCrypto Polska - Atak na łańcuch dostaw w bitwarden CLI naraża klucze portfeli kryptowalutowych na ryzyko