Le directeur de la sécurité de l’information chez Malware Fog (Slow Mist) a transmis un avertissement de l’équipe de sécurité de Bitwarden : la version 2026.4.0 de Bitwarden CLI a été retirée. Elle avait, au cours d’un intervalle de 1,5 heure entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, fait l’objet d’une altération : un paquet malveillant diffusé via npm a été identifié et le package concerné a été retiré. Bitwarden a confirmé que les données du coffre-fort des mots de passe et les systèmes de production n’ont pas été affectés.
Détails de l’attaque : cibles visées par la charge utile malveillante bw1.js
La charge utile malveillante s’exécute silencieusement pendant l’installation du paquet npm et collecte les types de données suivants :
· Jetons GitHub et npm
· Clés SSH
· Variables d’environnement
· Historique du shell
· Identifiants d’accès côté cloud
· Documents de portefeuilles cryptographiques (y compris MetaMask, Phantom et les portefeuilles Solana)
Les données volées sont exfiltrées vers des domaines contrôlés par l’attaquant, puis soumises à une persistance via un mécanisme de persistance dans un dépôt GitHub. De nombreuses équipes de cryptomonnaies utilisent Bitwarden CLI dans leurs processus d’automatisation CI/CD pour l’injection de clés et le déploiement ; tout processus ayant exécuté une version compromise peut divulguer des clés de portefeuille et des identifiants d’API d’échanges de grande valeur.
Étapes d’intervention d’urgence pour les utilisateurs concernés
Les utilisateurs ayant installé la version 2026.4.0 via npm uniquement pendant la fenêtre du 22 avril, entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) doivent prendre les mesures suivantes : désinstaller immédiatement la version 2026.4.0 ; nettoyer le cache npm ; faire une rotation de tous les identifiants sensibles tels que tous les jetons d’API et clés SSH ; vérifier les activités anormales des processus GitHub et CI/CD ; mettre à niveau vers la version 2026.4.1 corrigée (ou rétrograder vers 2026.3.0, ou télécharger depuis le site officiel de Bitwarden les binaires officiels signés).
Contexte de l’attaque : le mécanisme de publication fiable de npm a été exploité pour la première fois
Le chercheur en sécurité Adnan Khan indique que cette attaque constitue un cas d’exploitation connu pour la toute première fois du mécanisme de publication fiable de npm. Cette attaque est liée aux activités d’attaque de la chaîne d’approvisionnement de TeamPCP. Depuis 2026, le 3 mois, TeamPCP a mené des attaques similaires contre les outils de sécurité Trivy, la plateforme de sécurité du code Checkmarx et l’outil d’IA LiteLLM, l’objectif étant d’intégrer des outils pour développeurs dans le processus de build CI/CD.
FAQ
Comment vérifier si j’ai installé la version 2026.4.0 concernée ?
Vous pouvez exécuter npm list -g @bitwarden/cli pour vérifier les versions installées. Si 2026.4.0 est affiché et que l’installation s’est faite entre 17 h 57 et 19 h 30 (heure de l’Est des États-Unis) le 22 avril, vous devez prendre des mesures immédiatement. Même si vous n’êtes pas certain de la date d’installation, il est recommandé d’effectuer une rotation proactive de tous les identifiants concernés.
Les données du coffre-fort de Bitwarden ont-elles été compromises ?
Non. Bitwarden a confirmé que les données du coffre-fort des mots de passe des utilisateurs et les systèmes de production n’ont subi aucun dommage. Cette attaque n’a affecté que le processus de build de la CLI ; l’objectif de l’attaque était les identifiants des développeurs et les documents de portefeuilles cryptographiques, et non la base de données des mots de passe des utilisateurs de la plateforme Bitwarden.
Quel est le contexte plus large des activités d’attaque de la chaîne d’approvisionnement de TeamPCP ?
Depuis 2026, le mois de mars, TeamPCP a mené une série d’attaques contre des outils pour développeurs. Les cibles victimes comprennent Trivy, Checkmarx et LiteLLM. L’attaque contre Bitwarden CLI fait partie de la même série d’activités ; l’objectif est d’intégrer des outils pour développeurs dans le processus de build CI/CD afin de voler des identifiants de grande valeur dans des pipelines automatisés.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
La bourse Zondacrypto fait l’objet d’accusations de détournement de 350 millions de dollars, le PDG nie publiquement
L’un des plus grands échanges de crypto-monnaies de Pologne, Zondacrypto, a fait une déclaration publique le 16 avril sur les réseaux sociaux par son PDG, Przemysław Kral, indiquant que la plateforme ne parvenait pas à accéder à un portefeuille contenant 4 503 bitcoins, d’une valeur actuelle de plus de 350 millions de dollars. Kral a publié l’adresse du portefeuille en question afin de réfuter les accusations de détournement, mais cette divulgation a immédiatement déclenché un large retrait.
MarketWhisperIl y a 1h
JPMorgan : le bug de KelpDAO efface 20 milliards de dollars de TVL DeFi, l’attrait pour les institutions en pâtit
L’équipe de recherche de JPMorgan, menée par l’analyste Nikolaos Panigirtzoglou, a publié le 23 avril un rapport indiquant que des failles de sécurité persistantes et la stagnation de la valeur totale verrouillée (TVL) affaiblissent l’attrait de la finance décentralisée (DeFi) auprès des investisseurs institutionnels. Le rapport souligne que la faille de KelpDAO a effacé environ 200 milliards de dollars de TVL DeFi en quelques jours, mettant en évidence des risques structurels.
MarketWhisperIl y a 1h
Alerte de brouillard : des pirates nord-coréens recrutent par tromperie des développeurs Web3, et volent 12 millions de dollars en 3 mois
Le mécanisme de sécurité SlowMist publie une alerte d’urgence : l’organisation nord-coréenne Lazarus, via sa sous-organisation HexagonalRodent, lance des attaques contre des développeurs Web3. En utilisant des moyens d’ingénierie sociale tels que des postes à distance bien rémunérés, elle incite les développeurs à exécuter du code d’évaluation de compétences incluant des portes dérobées de logiciels malveillants, pour finalement voler des actifs cryptés. D’après le rapport d’enquête d’Expel, au cours des trois premiers mois de 2026, les pertes se sont élevées à 12 millions de dollars.
MarketWhisperIl y a 1h
Proposition du CoW DAO pour indemniser les victimes d’un piratage du domaine cow.fi, jusqu’à 100 % de remboursement des pertes
Le 23 avril, CoW DAO a publié une proposition de compensation (CIP) sur le forum de gouvernance, proposant la mise en place d’un programme d’aides discrétionnaires afin d’offrir jusqu’à 100% du montant des pertes subies aux victimes de l’incident de détournement du domaine cow.fi du 14 avril. L’incident aurait entraîné des pertes d’environ 1,2 million de dollars USDC pour les utilisateurs. CoW DAO souligne que la compensation relève d’une nature volontaire et à titre gracieux, et ne constitue pas une reconnaissance de toute responsabilité juridique.
MarketWhisperIl y a 1h
CryptoQuant : Le lancement d’une faille de KelpDAO déclenche la crise la plus grave depuis 2024, le TVL d’Aave chute de 33 %
Selon l’évaluation de CryptoQuant du 23 avril, l’attaque par faille de KelpDAO survenue la semaine dernière a exposé Aave, dans un délai de 72 heures, à un risque potentiel de créances irrécouvrables allant de 124 à 230 millions de dollars, tandis que le TVL a chuté de 33 %. Les taux d’emprunt des prêts en USDT et USDC sont passés de 3,4 % à 14 %, et le taux d’emprunt de l’ETH a atteint le niveau le plus élevé depuis janvier 2024, à 8 %.
MarketWhisperIl y a 2h
Le groupe APT nord-coréen HexagonalRodent vole $12M en cryptomonnaie à des développeurs Web3 grâce à des attaques alimentées par l’IA
Message des actualités Gate, 24 avril — Un groupe APT parrainé par l’État nord-coréen, surnommé HexagonalRodent, a volé plus de $12 millions en cryptomonnaies et en NFT à des développeurs Web3 au cours du premier trimestre 2026, selon la société de cybersécurité Expel. Le groupe a compromis 2 726 appareils de développeurs et a obtenu un accès à 26 584 portefeuilles crypto. Cette phrase est coupée au niveau de la fin de la ligne, veuillez fournir la suite du texte.
GateNewsIl y a 2h
