Angripere kapret passordbehandleren Bitwarden sin CLI-versjon 2026.4.0 via en kompromittert GitHub Action, der de publiserte en ondsinnet npm-pakke som aktivt stjeler data fra kryptolommebøker og utviklerlegitimasjon.
Sikkerhetsselskapet Socket oppdaget bruddet 23. april. og koblet det til den pågående TeamPCP supply chain-kampanjen. Den skadelige npm-versjonen er nå fjernet.
Malware rammer kryptolommebøker og CI/CD-hemmeligheter
Den ondsinnede nyttelasten, innebygd i en fil kalt bw1.js, ble kjørt under installasjon av pakken og hentet ut GitHub- og npm-tokens, SSH-nøkler, miljøvariabler, shell-historikk og skylegitimasjon.
TeamPCP sin bredere kampanje er også bekreftet rettet mot kryptolommebok-data, inkludert MetaMask-, Phantom- og Solana-lommebokfiler.
I følge JFrog ble de stjålne dataene sendt til domener kontrollert av angriperne og lastet opp tilbake til GitHub-repositorier som et vedvarende angrepsmekanisme.
Mange kryptoteam bruker Bitwarden CLI i automatiserte CI/CD-pipelines for innsetting av hemmeligheter og utrulling. Enhver arbeidsflyt som kjørte den kompromitterte versjonen kan ha eksponert verdifulle lommeboknøkler og børser API-legitimasjon.
Sikkerhetsforsker Adnan Khan påpekte at dette er det første kjente tilfellet der en pakke kompromitteres via npm sitt verifiserte publiseringssystem, laget for å forhindre langvarige tokens.
Hva berørte brukere bør gjøre
Socket anbefaler at alle som har installert @bitwarden/cli versjon 2026.4.0 umiddelbart roterer alle eksponerte hemmeligheter.
Brukere bør nedgradere til versjon 2026.3.0 eller bytte til offisielle signerte binærfiler fra Bitwarden sin nettside.
TeamPCP har siden mars 2026 koblet lignende angrep mot Trivy, Checkmarx og LiteLLM og rettet seg mot utviklerverktøy dypt inne i byggpipelines.
Bitwarden sin kjerne-vault er ikke påvirket. Kun byggeprosessen for CLI-en var kompromittert.
