всі пропустили це. кілька днів тому, cli bitwarden (один із найбільших менеджерів паролів) був зламаний на npm.


життєвий цикл тривав 93 хвилини. 334 розробники встановили його, перш ніж хтось помітив.
як це сталося:
> зловмисники захопили акаунт github інженера bitwarden
> опублікували шкідливу версію пакету npm (@bitwarden/cli@2026.4.0).
> будь-хто, хто виконав npm install bitwarden/cli у цей проміжок часу, отримав бекдор.
інсталяційний скрипт не містив безпосередньо шкідливого коду. він завантажував середовище bun з офіційного релізу github, тому мережевий трафік виглядав на 100% легітимним. bun потім виконував справжній шкідливий код, bw1.js.
що було вкрадено:
> токени npm
> токени github
> ssh-ключі
> облікові дані aws / gcp / azure
> вміст файлів .env
> конфігураційні файли mcp з claude code та cli codex (так, секрети AI-помічника тепер частина здобичі)
Переглянути оригінал
post-image
post-image
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
  • Нагородити
  • Прокоментувати
  • Репост
  • Поділіться
Прокоментувати
Додати коментар
Додати коментар
Немає коментарів
  • Закріпити