Bitwarden CLI в npm подменили на 90 минут — успели утащить SSH-ключи и токены

Кто-то получил доступ к npm-аккаунту Bitwarden и опубликовал фейковую версию @bitwarden/cli@2026.4.0. Она пролежала в реестре полтора часа — с 17:57 до 19:30 по Нью-Йорку — и всё это время делала одно: через preinstall-хук скачивала Bun, запускала обфусцированный загрузчик и тихо сливала на внешние серверы GitHub и npm-токены, SSH-ключи, .env-файлы, историю шелла, облачные креды и конфиги ИИ-ассистентов — Claude, Cursor, Codex CLI, Kiro и Aider.

Vault-пароли не тронули: взломали не сам менеджер, а npm-пакет его CLI. Supply chain в чистом виде.

Если ставили этот пакет с 00:57 до 02:30 МСК 23 апреля — ротируйте токены и ключи прямо сейчас. Bitwarden подтвердил инцидент: вредоносный релиз снят, доступ отозван, CVE заводится отдельно.

@your_tech (теперь ещё в VK и Max)