大家都错过了这个。几天前，bitwarden cli (作为最大的密码管理器之一)在npm上被植入后门。

存在了93分钟。334名开发者在有人注意到之前就已安装。
事情的经过：
> 攻击者劫持了一名bitwarden工程师的github账户
> 推送了一个恶意版本的npm包(@bitwarden/cli@2026.4.0)。
> 在此期间运行npm install bitwarden/cli的任何人都拉取了后门。
安装脚本并未直接携带恶意软件。它从github的官方发布端点下载了bun运行时，因此网络流量看起来100%合法。然后bun执行了真正的载荷，bw1.js。
被窃取的内容：
> npm令牌
> github令牌
> ssh密钥
> aws / gcp / azure凭证
> .env文件的内容
> 来自claude code和codex cli的mcp配置文件(是的，AI助手的秘密现在也成为战利品的一部分)