O Cofre Ruiu: Como o Bitwarden CLI Virou um Verme no NPM
A ironia suprema da cibersegurança: o seu gerenciador de senhas teve o CI/CD hackeado e entregou a sua AWS de bandeja.
The Vault Crumbled: How Bitwarden CLI Became a Worm on NPM
The ultimate cybersecurity irony: your password manager had its CI/CD hacked and handed over your AWS on a silver platter.
A Ironia Suprema da Cibersegurança
Antes de voce entrar em pânico e deletar sua conta: os cofres de senhas dos usuários finais do Bitwarden não foram comprometidos. A criptografia de ponta a ponta deles continua intacta e não houve vazamento de dados de clientes.
O ataque foi um supply chain attack focado estritamente no desenvolvedor. No dia 22 de abril, a versão @bitwarden/cli@2026.4.0 foi publicada no NPM contendo um payload malicioso. O pacote ficou no ar por uma janela curtíssima de apenas 1 hora e meia, mas se a sua pipeline rodou um npm install nesse período, o seu ambiente foi aspirado.
A Mecânica do Verme e a Lib Infectada
Pra ser justo com a equipe do Bitwarden, a culpa não foi inteiramente de uma falha de segurança interna deles. Eles foram vítimas da esteira de automação. A porta de entrada foi uma biblioteca infectada de terceiros que rodou dentro da pipeline de CI/CD deles.
Essa dependência envenenada comprometeu o GitHub Action do repositório, roubou os tokens de publicação do NPM e injetou um verme batizado de “Shai-Hulud” no pacote oficial.
O payload varreu as máquinas infectadas e roubou:
- Tokens do GitHub e NPM
- Chaves da AWS, GCP e Azure
- Arquivos
.enve chaves SSH - O histórico do shell
- Configurações de IA (Claude, Cursor, Aider).
Os dados eram exfiltrados pra um domínio falso que fingia ser da Checkmarx (audit.checkmarx[.]cx).
Controles de Postura: O CI/CD é o Novo Perímetro
O pacote foi derrubado rápido, mas a lição estrutural é assustadora: se o Bitwarden, uma empresa que respira cibersegurança, tomou uma rasteira de uma biblioteca infectada no meio do processo de build, o que te faz pensar que a pipeline da sua empresa tá segura? Todo mundo tá sujeito a isso.
O elo mais fraco da sua segurança não é a criptografia do banco de dados, é o NPM ou a action aleatória que o seu dev colocou no GitHub.
A única forma de sobreviver hoje é tratar o CI/CD como o novo perímetro e implementar Controles de Postura (ASPM/CSPM). Voce precisa de automação forçando o compliance: varredura de dependências antes do build, análise de permissões de GitHub Actions, e bloqueio de artefatos não assinados. Sem postura de segurança automatizada na esteira, a sua infraestrutura é só um castelo de areia esperando a próxima lib infectada.
Fontes e Referências
The Irony of Security
The ultimate irony has arrived: Bitwarden, the password manager you trust to keep your secrets safe, had its CLI package compromised on npm. On April 22, 2026, version @bitwarden/cli@2026.4.0 was infected with a worm payload called “Shai-Hulud: The Third Coming”.
The attack vector wasn’t a zero-day in their encryption. It was a compromised GitHub Action in Bitwarden’s own CI/CD pipeline. The malicious package scraped everything: AWS keys, SSH keys, .env files, and even configurations for AI coding tools like Cursor, Claude, and Aider. If your pipeline downloaded this package during that 1.5-hour window, you don’t just have a breach; you have an existential infrastructure crisis.
Tá dentro. You're in.
Agora não precisa mais ficar acompanhando o site — o próximo post chega quentinho direto na sua caixa. No need to keep tracking the site — the next post will arrive fresh in your inbox.