_Actualizado con información adicional de Bitwarden._ La CLI de **Bitwarden** fue comprometida brevemente después de que los atacantes subieran un paquete malicioso `@bitwarden/cli` a npm que contenía una carga útil para el robo de credenciales capaz de propagarse a otros proyectos. Según informes de **Socket**, **JFrog** y **OX Security**, el paquete malicioso se distribuyó como la versión 2026.4.0 y estuvo disponible entre las 5:57 PM y las 7:30 PM ET del 22 de abril de 2026, antes de ser eliminado. Bitwarden confirmó el incidente, declarando que la brecha afectó solo a su canal de distribución npm para el paquete npm de la CLI y solo a aquellos que descargaron la versión maliciosa. "La investigación no encontró evidencia de que los datos de las bóvedas de los usuarios finales fueran accedidos o estuvieran en riesgo, ni que los datos de producción o los sistemas de producción fueran comprometidos. Una vez detectado el problema, se revocó el acceso comprometido, se dio de baja la versión maliciosa de npm y se iniciaron inmediatamente los pasos de remediación", compartió Bitwarden en un comunicado. "El problema afectó el mecanismo de distribución de npm para la CLI durante esa ventana limitada, no la integridad del código legítimo de la CLI de Bitwarden ni los datos de la bóveda almacenados." Bitwarden dice que revocó el acceso comprometido y dio de baja la versión afectada de la CLI de npm. ## El Ataque a la Cadena de Suministro de Bitwarden Según Socket, los actores de amenazas parecen haber utilizado una Acción de **GitHub** comprometida en el pipeline de CI/CD de **Bitwarden** para inyectar código malicioso en el paquete npm de la CLI. Según JFrog, el paquete fue modificado de tal manera que el script `preinstall` y el punto de entrada de la CLI utilizan un cargador personalizado llamado `bw_setup.js`, que verifica el runtime de **Bun** y, si no existe, lo descarga. Luego, el cargador utiliza el runtime de **Bun** para lanzar un archivo JavaScript ofuscado llamado `bw1.js`, que actúa como malware para el robo de credenciales.  Una vez ejecutado, el malware recopila una amplia gama de secretos de los sistemas infectados, incluyendo tokens npm, tokens de autenticación de **GitHub**, claves SSH y credenciales en la nube para **AWS**, **Azure** y **Google Cloud**. El malware cifra los datos recopilados utilizando AES-256-GCM y los exfiltra creando repositorios públicos de **GitHub** bajo la cuenta de la víctima, donde se almacenan los datos cifrados. OX Security dice que estos repositorios creados contienen la cadena "Shai-Hulud: The Third Coming", una referencia a ataques anteriores a la cadena de suministro de npm que utilizaron un método y una cadena de texto similares al exfiltrar datos robados.  El malware también presenta capacidades de autopropagación, y OX Security informa que puede usar credenciales npm robadas para identificar paquetes que la víctima puede modificar e inyectarles código malicioso. Socket también observó que la carga útil se dirige a entornos de CI/CD e intenta cosechar secretos que pueden ser reutilizados para expandir el ataque. El ataque se produce después de que **Checkmarx** revelara un incidente separado en la cadena de suministro que afecta a sus imágenes Docker KICS, Acciones de **GitHub** y extensiones para desarrolladores. Si bien no se sabe exactamente cómo los atacantes obtuvieron acceso, Bitwarden dijo a BleepingComputer que el incidente estaba relacionado con el ataque a la cadena de suministro de **Checkmarx**, con una herramienta de desarrollo relacionada con Checkmarx comprometida que permitió el abuso de la ruta de entrega de npm para la CLI durante una ventana de tiempo limitada. Socket dijo a BleepingComputer que hay indicadores superpuestos entre la brecha de **Checkmarx** y este ataque. "La conexión está a nivel de malware e infraestructura. En el caso de Bitwarden, la carga útil maliciosa utiliza el mismo endpoint `audit.checkmarx[.]cx/v1/telemetry` que apareció en el incidente de Checkmarx. También utiliza la misma rutina de ofuscación `__decodeScrambled` con la semilla `0x3039`, y muestra el mismo patrón general de robo de credenciales, exfiltración basada en **GitHub** y comportamiento de propagación en la cadena de suministro", dijo Socket a BleepingComputer. "Esa superposición va más allá de una semejanza superficial. La carga útil de Bitwarden contiene el mismo tipo de componentes incrustados gzip+base64 que vimos en el malware anterior, incluyendo herramientas para la recopilación de credenciales y abuso posterior." Ambas campañas han sido vinculadas a un actor de amenazas conocido como TeamPCP, que previamente atacó paquetes de desarrolladores en los masivos ataques a la cadena de suministro de **Trivy** y **LiteLLM**. Los desarrolladores que instalaron la versión afectada deben tratar sus sistemas y credenciales como comprometidos y rotar todas las credenciales expuestas, especialmente aquellas utilizadas para pipelines de CI/CD, almacenamiento en la nube y entornos de desarrollo. _Actualización 4/23/26: Se actualizó la historia con información de Bitwarden confirmando que el incidente estaba vinculado al ataque a la cadena de suministro de Checkmarx._