Le directeur de la sécurité de l’information chez Malware Fog (Slow Mist) a transmis un avertissement de l’équipe de sécurité de Bitwarden : la version 2026.4.0 de Bitwarden CLI a été retirée. Elle avait, au cours d’un intervalle de 1,5 heure entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, fait l’objet d’une altération : un paquet malveillant diffusé via npm a été identifié et le package concerné a été retiré. Bitwarden a confirmé que les données du coffre-fort des mots de passe et les systèmes de production n’ont pas été affectés.
Détails de l’attaque : cibles visées par la charge utile malveillante bw1.js
La charge utile malveillante s’exécute silencieusement pendant l’installation du paquet npm et collecte les types de données suivants :
· Jetons GitHub et npm
· Clés SSH
· Variables d’environnement
· Historique du shell
· Identifiants d’accès côté cloud
· Documents de portefeuilles cryptographiques (y compris MetaMask, Phantom et les portefeuilles Solana)
Les données volées sont exfiltrées vers des domaines contrôlés par l’attaquant, puis soumises à une persistance via un mécanisme de persistance dans un dépôt GitHub. De nombreuses équipes de cryptomonnaies utilisent Bitwarden CLI dans leurs processus d’automatisation CI/CD pour l’injection de clés et le déploiement ; tout processus ayant exécuté une version compromise peut divulguer des clés de portefeuille et des identifiants d’API d’échanges de grande valeur.
Étapes d’intervention d’urgence pour les utilisateurs concernés
Les utilisateurs ayant installé la version 2026.4.0 via npm uniquement pendant la fenêtre du 22 avril, entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) doivent prendre les mesures suivantes : désinstaller immédiatement la version 2026.4.0 ; nettoyer le cache npm ; faire une rotation de tous les identifiants sensibles tels que tous les jetons d’API et clés SSH ; vérifier les activités anormales des processus GitHub et CI/CD ; mettre à niveau vers la version 2026.4.1 corrigée (ou rétrograder vers 2026.3.0, ou télécharger depuis le site officiel de Bitwarden les binaires officiels signés).
Contexte de l’attaque : le mécanisme de publication fiable de npm a été exploité pour la première fois
Le chercheur en sécurité Adnan Khan indique que cette attaque constitue un cas d’exploitation connu pour la toute première fois du mécanisme de publication fiable de npm. Cette attaque est liée aux activités d’attaque de la chaîne d’approvisionnement de TeamPCP. Depuis 2026, le 3 mois, TeamPCP a mené des attaques similaires contre les outils de sécurité Trivy, la plateforme de sécurité du code Checkmarx et l’outil d’IA LiteLLM, l’objectif étant d’intégrer des outils pour développeurs dans le processus de build CI/CD.
FAQ
Comment vérifier si j’ai installé la version 2026.4.0 concernée ?
Vous pouvez exécuter npm list -g @bitwarden/cli pour vérifier les versions installées. Si 2026.4.0 est affiché et que l’installation s’est faite entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, vous devez prendre des mesures immédiatement. Même si vous n’êtes pas certain de la date d’installation, il est recommandé d’effectuer une rotation proactive de tous les identifiants concernés.
Les données du coffre-fort de Bitwarden ont-elles été compromises ?
Non. Bitwarden a confirmé que les données du coffre-fort des mots de passe des utilisateurs et les systèmes de production n’ont subi aucun dommage. Cette attaque n’a affecté que le processus de build de la CLI ; l’objectif de l’attaque était les identifiants des développeurs et les documents de portefeuilles cryptographiques, et non la base de données des mots de passe des utilisateurs de la plateforme Bitwarden.
Quel est le contexte plus large des activités d’attaque de la chaîne d’approvisionnement de TeamPCP ?
Depuis 2026, le mois de mars, TeamPCP a mené une série d’attaques contre des outils pour développeurs. Les cibles victimes comprennent Trivy, Checkmarx et LiteLLM. L’attaque contre Bitwarden CLI fait partie de la même série d’activités ; l’objectif est d’intégrer des outils pour développeurs dans le processus de build CI/CD afin de voler des identifiants de grande valeur dans des pipelines automatisés.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Le sergent-chef des forces spéciales américaines a été arrêté : en utilisant des renseignements classifiés pour parier sur Polymarket que Maduro a été arrêté, en réalisant un profit de 400 000 dollars
Le ministère américain de la Justice dans l’arrondissement sud de New York inculpe le sergent-chef des forces spéciales de l’armée américaine, Gannon Ken Van Dyke, l’accusant d’avoir utilisé des informations confidentielles pour parier sur le résultat de l’arrestation de Maduro sur Polymarket, et d’en avoir tiré un profit d’environ 409,881 USD (13 transactions, du 27/12/2025 au 26/01/2026). Les chefs d’accusation incluent notamment l’utilisation illégale d’informations confidentielles, le vol d’informations non publiques, la fraude dans les transactions de marchandises, l’escroquerie par virement et des transactions financières illégales, etc. Il s’agirait de la première poursuite fédérale dont le cœur est l’arbitrage entre informations privilégiées et marchés de prédiction, et qui pourrait influencer l’orientation future de la réglementation.
ChainNewsAbmediaIl y a 17m
La police espagnole saisit 400 000 € en crypto sur une plateforme illégale de piratage de manga, 3 arrestations
Message de Gate News, 24 avril — La police espagnole à Almería a saisi deux portefeuilles crypto froids contenant environ 400 000 € lors d'une descente sur la plus grande plateforme illégale de distribution de manga du pays. Trois personnes ont été arrêtées dans le cadre de l'opération, lancée
GateNewsIl y a 1h
Sanctions de l’OFAC contre un sénateur cambodgien pour un réseau d’arnaques liées aux crypto-monnaies
Sanctions de l’OFAC contre un sénateur cambodgien lié à un réseau d’escroquerie en crypto
Le Bureau du Trésor américain pour le contrôle des avoirs étrangers (OFAC) a sanctionné le sénateur cambodgien Kok An, accusé de contrôler des « complexes d’arnaque » à travers le Cambodge qui ont escroqué des Américains. L’OFAC a désigné An et 28 autres
CryptoFrontierIl y a 1h
Zone de fraude de plusieurs milliards de dollars US ciblant des responsables cambodgiens sanctionnés par les États-Unis ! Tether gèle plus de 344 millions de dollars USDT
Le Trésor américain et le Département de la Justice ont récemment mené une action conjointe contre les escroqueries « pig butchering » de rencontres, en plein essor en Asie du Sud-Est, portant sur les cryptomonnaies. Les autorités ont annoncé officiellement des sanctions contre le sénateur cambodgien洛昂 (Kok An) et 28 personnes et entités impliquées dans son réseau criminel, les accusant d’utiliser l’influence politique et leurs installations de casinos pour protéger de vastes activités d’escroquerie et de traite d’êtres humains. On estime que ces activités frauduleuses entraînent chaque année des pertes allant jusqu’à 10 milliards de dollars pour les citoyens américains. Dans le cadre de cette opération de riposte, le fournisseur de stablecoins Rether a également gelé plus de 344 millions de dollars d’actifs numériques liés au dossier.
Escroqueries amoureuses « pig butchering » : les pertes annuelles des citoyens américains dépassent 10 milliards de dollars
Ces dernières années, des organisations criminelles transnationales basées en Asie du Sud-Est ont massivement recours à une méthode d’escroquerie consistant à « nourrir puis égorger », connue sous le nom de « Pig Butchering ». Les escrocs vont, via les réseaux sociaux ou des applications de messagerie, passer des mois à…
ChainNewsAbmediaIl y a 2h
Un soldat de l’armée américaine arrêté pour avoir utilisé des renseignements classifiés afin de parier sur la capture de Maduro sur Polymarket
Message « Gate News », 24 avril — Le Département de la Justice des États-Unis a arrêté un soldat de l’armée en service actif, Gannon Ken Van Dyke, 38 ans, pour des accusations d’utilisation d’informations confidentielles afin de parier sur Polymarket, un marché de prédictions, concernant la capture de l’ex-président vénézuélien Nicolás Maduro. Van Dyke a participé
GateNewsIl y a 2h
