Пакет Bitwarden CLI в npm был скомпрометирован — злоумышленники загрузили вредоносный @bitwarden/cli, который мог красть учетные эти разработчиков. Инцидент произошел 22 апреля 2026 года и продолжался два часа, пока пакет не был удален из npm.
Что произошло
Пакет версии 2026.4.0 использовал внедренный вредоносный код для хищения токенов npm, SSH-ключей и учетных этих для облачных сервисов, включая AWS и Azure. Вредоносное ПО шифровало собранную информацию с помощью AES-256-GCM и отправляло ее в публичные репозитории на GitHub жертв.
Bitwarden подтвердил инцидент, отметив, что атака затронула только npm-канал и не угрожала этим пользователей, хранящимся в хранилище Bitwarden. "Мы не обнаружили никаких доказательств доступа к этим пользователей или их риску", — заявила компания.
Технические детали атаки
Согласно этим от Socket и JFrog, злоумышленники использовали скомпрометированный GitHub Action в CI/CD пайплайне Bitwarden дляInjection зловредного кода в пакет. Вредоносный сценарий bw_setup.js проверял наличие Bun runtime, и, если его не было, скачивал его для выполнения вредоноса bw1.js.
По оценкам OX Security, такое вредоносное ПО могло самораспространяться, используя украденные учетные эти npm, чтобы модифицировать другие пакетные проекты жертвы. Оно также нацеливалось на CI/CD окружения, что увеличивало масштаб атаки.
Как это затрагивает разработчиков
Инцидент подчеркивает важность безопасности в процессе разработки. Разработчики, использующие npm, должны быть особенно осторожны при установке пакетов и следить за обновлениями. Каждый разработчик должен следить за репозиториями и контролировать доступ к своим учетным данным.
В свете таких атак рекомендуется внедрять дополнительные меры безопасности, такие как двухфакторная аутентификация и регулярные аудиты кода, чтобы минимизировать риски.
Следующий шаг — ожидание от Bitwarden обновленных рекомендаций по безопасности и возможных патчей для устранения уязвимостей в своих инструментах.