Exposition d’un paquet npm malveillant via l’interface de ligne de commande Bitwarden, des risques de vol pèsent sur les portefeuilles chiffrés

Le directeur de la sécurité de l’information chez Malware Fog (Slow Mist) a transmis un avertissement de l’équipe de sécurité de Bitwarden : la version 2026.4.0 de Bitwarden CLI a été retirée. Elle avait, au cours d’un intervalle de 1,5 heure entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, fait l’objet d’une altération : un paquet malveillant diffusé via npm a été identifié et le package concerné a été retiré. Bitwarden a confirmé que les données du coffre-fort des mots de passe et les systèmes de production n’ont pas été affectés.

Détails de l’attaque : cibles visées par la charge utile malveillante bw1.js

La charge utile malveillante s’exécute silencieusement pendant l’installation du paquet npm et collecte les types de données suivants :

· Jetons GitHub et npm

· Clés SSH

· Variables d’environnement

· Historique du shell

· Identifiants d’accès côté cloud

· Documents de portefeuilles cryptographiques (y compris MetaMask, Phantom et les portefeuilles Solana)

Les données volées sont exfiltrées vers des domaines contrôlés par l’attaquant, puis soumises à une persistance via un mécanisme de persistance dans un dépôt GitHub. De nombreuses équipes de cryptomonnaies utilisent Bitwarden CLI dans leurs processus d’automatisation CI/CD pour l’injection de clés et le déploiement ; tout processus ayant exécuté une version compromise peut divulguer des clés de portefeuille et des identifiants d’API d’échanges de grande valeur.

Étapes d’intervention d’urgence pour les utilisateurs concernés

Les utilisateurs ayant installé la version 2026.4.0 via npm uniquement pendant la fenêtre du 22 avril, entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) doivent prendre les mesures suivantes : désinstaller immédiatement la version 2026.4.0 ; nettoyer le cache npm ; faire une rotation de tous les identifiants sensibles tels que tous les jetons d’API et clés SSH ; vérifier les activités anormales des processus GitHub et CI/CD ; mettre à niveau vers la version 2026.4.1 corrigée (ou rétrograder vers 2026.3.0, ou télécharger depuis le site officiel de Bitwarden les binaires officiels signés).

Contexte de l’attaque : le mécanisme de publication fiable de npm a été exploité pour la première fois

Le chercheur en sécurité Adnan Khan indique que cette attaque constitue un cas d’exploitation connu pour la toute première fois du mécanisme de publication fiable de npm. Cette attaque est liée aux activités d’attaque de la chaîne d’approvisionnement de TeamPCP. Depuis 2026, le 3 mois, TeamPCP a mené des attaques similaires contre les outils de sécurité Trivy, la plateforme de sécurité du code Checkmarx et l’outil d’IA LiteLLM, l’objectif étant d’intégrer des outils pour développeurs dans le processus de build CI/CD.

FAQ

Comment vérifier si j’ai installé la version 2026.4.0 concernée ?

Vous pouvez exécuter npm list -g @bitwarden/cli pour vérifier les versions installées. Si 2026.4.0 est affiché et que l’installation s’est faite entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, vous devez prendre des mesures immédiatement. Même si vous n’êtes pas certain de la date d’installation, il est recommandé d’effectuer une rotation proactive de tous les identifiants concernés.

Les données du coffre-fort de Bitwarden ont-elles été compromises ?

Non. Bitwarden a confirmé que les données du coffre-fort des mots de passe des utilisateurs et les systèmes de production n’ont subi aucun dommage. Cette attaque n’a affecté que le processus de build de la CLI ; l’objectif de l’attaque était les identifiants des développeurs et les documents de portefeuilles cryptographiques, et non la base de données des mots de passe des utilisateurs de la plateforme Bitwarden.

Quel est le contexte plus large des activités d’attaque de la chaîne d’approvisionnement de TeamPCP ?

Depuis 2026, le mois de mars, TeamPCP a mené une série d’attaques contre des outils pour développeurs. Les cibles victimes comprennent Trivy, Checkmarx et LiteLLM. L’attaque contre Bitwarden CLI fait partie de la même série d’activités ; l’objectif est d’intégrer des outils pour développeurs dans le processus de build CI/CD afin de voler des identifiants de grande valeur dans des pipelines automatisés.