Der Angriff auf Bitwarden zeigt die Verletzlichkeit moderner Entwickler-Infrastrukturen. Sicherheitsfirmen wie Socket, JFrog und OX Security dokumentierten, wie Angreifer über eine kompromittierte GitHub Action in Bitwarden’s CI/CD-Pipeline malicious Code einschleusten. Die Malware war elegant konstruiert: Sie nutzte ein Custom-Loader-Skript namens bw_setup.js, das die Bun-Runtime herunterlud und dann eine verschleierte JavaScript-Datei (bw1.js) ausführte.
Diese Datei fungierte als Credential-Stealer mit Schwerpunkt auf sensitive Entwickler-Secrets. Sie sammelten npm-Token, GitHub-Authentifizierung, SSH-Schlüssel und Cloud-Credentials für AWS, Azure und Google Cloud. Mit AES-256-GCM-Verschlüsselung wurden die Daten exfiltriert — über ein besonders raffiniertes Verfahren: Die Angreifer erstellten öffentliche GitHub-Repositories unter dem Namen des Opfers und deponierten dort die verschlüsselten Daten.
OX Security identifizierte eine Besonderheit: Die Repositories enthielten die Referenz “Shai-Hulud: The Third Coming”, ein direkter Bezug zu früheren npm-Supply-Chain-Angriffen desselben Akteurs. Noch besorgniserregender ist die Selbstverbreitungs-Fähigkeit der Malware. Mit gestohlenen npm-Credentials konnte sie weitere Packages identifizieren und kontaminieren.
Bitwarden bestätigte schnell, dass Vault-Daten nicht gefährdet waren und die Produktion nicht betroffen ist. Allerdings verband das Unternehmen den Incident mit einem parallelen Checkmarx-Angriff. Socket fand übereinstimmende Malware-Signaturen: Der gleiche Telemetry-Endpoint (audit.checkmarx.cx/v1/telemetry), identische Obfuscation-Routinen und das gleiche Credential-Theft-Muster. Beide Attacken werden TeamPCP zugeordnet, der Gruppe hinter den Trivy- und LiteLLM-Angriffen.
Für betroffene Entwickler gilt klare Handlungsanweisung: Alle Systeme als kompromittiert behandeln, sämtliche Credentials rotieren — insbesondere CI/CD-Tokens, Cloud-Zugangsschlüssel und SSH-Keys. Der Vorfall unterstreicht, dass selbst etablierte Tools kein Schutz vor Supply-Chain-Kompromittierung sind.