Aanvallers hebben de CLI-versie 2026.4.0 van wachtwoordmanager Bitwarden gehackt via een besmette GitHub Action. Daarbij is een kwaadaardig npm-pakket geplaatst dat actief gegevens uit crypto-wallets en ontwikkelaarsaccounts steelt.
Beveiligingsbedrijf Socket ontdekte het lek op 23 april en koppelde het aan de lopende TeamPCP supply chain-campagne. De foute npm-versie is inmiddels verwijderd.
Malware richt zich op crypto-wallets en CI/CD-geheimen
De kwaadaardige code zat in het bestand bw1.js, werd uitgevoerd tijdens de installatie en verzamelde GitHub- en npm-tokens, SSH-sleutels, omgevingsvariabelen, shellgeschiedenis en cloud-gegevens.
Volgens andere bronnen richt de bredere TeamPCP-campagne zich ook op crypto-wallets, waaronder bestanden van MetaMask, Phantom en Solana-wallets.
Volgens JFrog werd de gestolen data verstuurd naar domeinen die door de aanvallers werden beheerd en weer aan GitHub-repositories toegevoegd als een manier om toegang te houden.
Veel crypto-teams gebruiken de Bitwarden CLI in automatische CI/CD-pijplijnen om geheime sleutels toe te voegen en te implementeren. Elk workflow dat de besmette versie draaide, kan belangrijke wallet-sleutels en exchange API-gegevens hebben blootgesteld.
Beveiligingsonderzoeker Adnan Khan geeft aan dat dit de eerste bekende aanval is op een pakket dat npm’s trusted publishing mechanism gebruikt, juist bedoeld om tokens met lange levensduur te voorkomen.
Wat moeten getroffen gebruikers doen
Socket raadt aan dat iedereen die @bitwarden/cli versie 2026.4.0 heeft geïnstalleerd, direct alle gelekte geheimen vervangt.
Gebruikers kunnen het beste teruggaan naar versie 2026.3.0 of overstappen naar officiële, gesigneerde binaries van de Bitwarden-website.
TeamPCP heeft sinds maart 2026 vergelijkbare aanvallen uitgevoerd op Trivy, Checkmarx en LiteLLM, gericht op ontwikkelaarstools die diep in de build-pijplijnen zitten.
Bitwarden’s centrale kluis is niet aangetast. Alleen het CLI-buildproces is gecompromitteerd.
