_Atualizado com mais informações do Bitwarden._ A CLI do **Bitwarden** foi brevemente comprometida após atacantes carregarem um pacote malicioso `@bitwarden/cli` no npm, contendo um payload de roubo de credenciais capaz de se espalhar para outros projetos. De acordo com relatórios da **Socket**, **JFrog** e **OX Security**, o pacote malicioso foi distribuído como a versão 2026.4.0 e permaneceu disponível entre 17:57 e 19:30 ET em 22 de abril de 2026, antes de ser removido. O Bitwarden confirmou o incidente, afirmando que a violação afetou apenas seu canal de distribuição npm para o pacote npm da CLI e apenas aqueles que baixaram a versão maliciosa. "A investigação não encontrou evidências de que os dados do cofre de usuários finais foram acessados ou estavam em risco, ou que dados de produção ou sistemas de produção foram comprometidos. Assim que o problema foi detectado, o acesso comprometido foi revogado, o release npm malicioso foi depreciado e as medidas de remediação foram iniciadas imediatamente", compartilhou o Bitwarden em um comunicado. "O problema afetou o mecanismo de distribuição npm para a CLI durante essa janela limitada, não a integridade do código-fonte legítimo da CLI do Bitwarden ou os dados do cofre armazenados." O Bitwarden afirma que revogou o acesso comprometido e depreciou o release npm da CLI afetado. ## O Ataque à Cadeia de Suprimentos do Bitwarden De acordo com a Socket, os atores de ameaça parecem ter usado uma **GitHub** Action comprometida no pipeline CI/CD do **Bitwarden** para injetar código malicioso no pacote npm da CLI. De acordo com a JFrog, o pacote foi modificado de forma que o script `preinstall` e o ponto de entrada da CLI usam um loader customizado chamado `bw_setup.js`, que verifica o runtime **Bun** e, se ele não existir, o baixa. O loader então usa o runtime **Bun** para iniciar um arquivo JavaScript ofuscado chamado `bw1.js`, que age como malware de roubo de credenciais.  Uma vez executado, o malware coleta uma ampla gama de segredos de sistemas infectados, incluindo tokens npm, tokens de autenticação **GitHub**, chaves SSH e credenciais de nuvem para **AWS**, **Azure** e **Google Cloud**. O malware criptografa os dados coletados usando AES-256-GCM e os exfiltra criando repositórios públicos **GitHub** sob a conta da vítima, onde os dados criptografados são armazenados. A OX Security afirma que esses repositórios criados contêm a string "Shai-Hulud: The Third Coming", uma referência a ataques anteriores à cadeia de suprimentos npm que usaram um método e string de texto semelhantes ao exfiltrar dados roubados.  O malware também possui capacidades de auto-propagação, com a OX Security relatando que ele pode usar credenciais npm roubadas para identificar pacotes que a vítima pode modificar e injetá-los com código malicioso. A Socket também observou que o payload tem como alvo ambientes CI/CD e tenta coletar segredos que podem ser reutilizados para expandir o ataque. O ataque ocorre após a **Checkmarx** divulgar um incidente separado na cadeia de suprimentos que afeta suas imagens KICS Docker, **GitHub** Actions e extensões de desenvolvedor. Embora não se saiba exatamente como os atacantes obtiveram acesso, o Bitwarden disse ao BleepingComputer que o incidente estava ligado ao ataque à cadeia de suprimentos da **Checkmarx**, com uma ferramenta de desenvolvimento relacionada à Checkmarx comprometida permitindo o abuso do caminho de entrega npm para a CLI durante uma janela de tempo limitada. A Socket disse ao BleepingComputer que há indicadores sobrepostos entre a violação da **Checkmarx** e este ataque. "A conexão está no nível do malware e da infraestrutura. No caso do Bitwarden, o payload malicioso usa o mesmo endpoint `audit.checkmarx[.]cx/v1/telemetry` que apareceu no incidente da Checkmarx. Ele também usa a mesma rotina de ofuscação `__decodeScrambled` com a semente `0x3039`, e mostra o mesmo padrão geral de roubo de credenciais, exfiltração baseada em **GitHub** e comportamento de propagação na cadeia de suprimentos", disse a Socket ao BleepingComputer. "Essa sobreposição vai além de uma semelhança superficial. O payload do Bitwarden contém o mesmo tipo de componentes gzip+base64 embutidos que vimos no malware anterior, incluindo ferramentas para coleta de credenciais e abuso downstream." Ambas as campanhas foram ligadas a um ator de ameaça conhecido como TeamPCP, que anteriormente visou pacotes de desenvolvedores nos massivos ataques à cadeia de suprimentos **Trivy** e **LiteLLM**. Desenvolvedores que instalaram a versão afetada devem tratar seus sistemas e credenciais como comprometidos e rotacionar todas as credenciais expostas, especialmente aquelas usadas para pipelines CI/CD, armazenamento em nuvem e ambientes de desenvolvimento. _Atualização 23/04/26: A história foi atualizada com informações do Bitwarden confirmando que o incidente estava ligado ao ataque à cadeia de suprimentos da Checkmarx._