Bitwarden CLI Supply Chain Attack Membahayakan Kunci Wallet Kripto

Penyerang membajak Bitwarden CLI versi 2026.4.0 melalui GitHub Action yang telah disusupi, lalu menerbitkan paket npm berbahaya yang secara aktif mencuri data wallet aset kripto dan kredensial pengembang.

Perusahaan keamanan Socket menemukan pelanggaran ini pada 23 April dan mengaitkannya dengan kampanye supply chain TeamPCP yang sedang berlangsung. Versi npm berbahaya tersebut kini sudah ditarik.

Malware Targeting Mengancam Wallet Kripto dan Rahasia CI/CD

Payload berbahaya yang tertanam di file bernama bw1.js ini berjalan selama proses instalasi paket dan mengumpulkan token GitHub dan npm, kunci SSH, variabel lingkungan, riwayat shell, serta kredensial cloud.

Kampanye TeamPCP yang lebih luas juga dikonfirmasi secara terpisah memang menargetkan data wallet aset kripto, termasuk file wallet MetaMask, Phantom, dan Solana.

Berdasarkan JFrog, data yang dicuri dikirim ke domain yang dikendalikan oleh penyerang dan disalahgunakan untuk melakukan commit kembali ke repositori GitHub sebagai mekanisme persistensi.

Banyak tim kripto menggunakan Bitwarden CLI dalam CI/CD pipeline otomatis untuk injeksi rahasia dan deployment. Setiap workflow yang menjalankan versi yang terkompromi berisiko membocorkan kunci wallet bernilai tinggi dan kredensial API exchange.

Peneliti keamanan Adnan Khan menerangkan ini adalah kompromi pertama yang diketahui pada sebuah paket yang memakai trusted publishing mechanism dari npm, yang awalnya dibuat agar tidak menggunakan token jangka panjang.

Apa yang Harus Dilakukan Pengguna yang Terdampak

Socket merekomendasikan agar siapa pun yang telah menginstal @bitwarden/cli versi 2026.4.0 segera melakukan rotasi untuk setiap rahasia yang terekspos.

Pengguna harus menurunkan versi ke 2026.3.0 atau beralih ke binary resmi yang telah ditandatangani langsung dari situs Bitwarden.

TeamPCP telah melakukan serangkaian serangan serupa terhadap Trivy, Checkmarx, dan LiteLLM sejak Maret 2026, dengan menargetkan alat developer yang dipakai di dalam pipeline build yang dalam.

Vault inti Bitwarden tetap tidak terdampak. Hanya proses build dari CLI yang tercompromi.