Após ataque à NPM, criminosos distribuem versão maliciosa do Bitwarden para roubar dados e credenciais

Uma ferramenta criada para proteger senhas foi usada para roubá-las. A versão 2026.4.0 do @bitwarden/cli ficou disponível no npm por menos de duas horas na última terça-feira (22), carregando um malware que furtava credenciais de desenvolvedores, de chaves SSH a tokens de nuvem. O caso ocorreu após atacantes sequestrarem o pipeline de publicação da Bitwarden, sem deixar rastros no repositório. Por sua vez, a empresa confirmou o incidente e afirma que nenhum dado de vault de usuários foi comprometido.

O ataque atinge um dos gerenciadores de senhas mais adotados no mercado corporativo. A ferramenta serve mais de 10 milhões de usuários e 50 mil empresas, segundo a Socket, uma das empresas responsáveis pela investigação. Como o pipeline da Bitwarden foi comprometidoO ponto de entrada foi a conta GitHub de um engenheiro da Bitwarden. Com o acesso em mãos, o atacante criou um branch no repositório bitwarden/clients, inseriu um tarball malicioso pré-compilado e reescreveu o workflow publish-cli. yml para trocar um token OIDC do GitHub Actions por um token de autenticação do npm, publicando o pacote adulterado diretamente no registro. Depois de concluir a publicação, o atacante apagou todas as evidências no repositório, incluindo o branch, o histórico de execuções do workflow e a tag de release.

O pacote permaneceu disponível no npm como único artefato remanescente. O incidente é considerado o primeiro caso confirmado em que o mecanismo de OIDC Trusted Publishing do npm foi explorado como vetor de ataque. Esse recurso foi criado justamente para eliminar tokens de longa duração, mas não oferece restrições por branch.