tout le monde a raté ça. il y a quelques jours, le cli bitwarden (l'un des plus grands gestionnaires de mots de passe) a été compromis sur npm.


en ligne pendant 93 minutes. 334 développeurs l'ont installé avant que quelqu'un ne s'en aperçoive.
comment cela s'est produit :
> des attaquants ont piraté le compte github d'un ingénieur de bitwarden
> ont publié une version malveillante du paquet npm (@bitwarden/cli@2026.4.0).
> toute personne ayant exécuté npm install bitwarden/cli pendant cette période a récupéré la porte dérobée.
le script d'installation ne distribuait pas directement le malware. il téléchargeait l'environnement d'exécution bun depuis le point de sortie officiel de github, donc le trafic réseau semblait 100 % légitime. bun a ensuite exécuté la véritable charge utile, bw1.js.
ce qui a été volé :
> jetons npm
> jetons github
> clés ssh
> identifiants aws / gcp / azure
> contenu des fichiers .env
> fichiers de configuration mcp de claude code et cli codex (oui, les secrets de l'assistant IA font maintenant partie du butin)
Voir l'original
post-image
post-image
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
  • Récompense
  • Commentaire
  • Reposter
  • Partager
Commentaire
Ajouter un commentaire
Ajouter un commentaire
Aucun commentaire
  • Épingler