Stell dir vor, das Schloss, das dein Haus schützen soll, wurde heimlich zur Falle umgebaut. Genau das hat die Hackergruppe TeamPCP im März 2026 mit einigen der meistgenutzten Security-Tools der IT-Welt getan. In einem koordinierten, eskalierenden Angriff kompromittierte die Gruppe innerhalb von nur neun Tagen vier weitverbreitete Open-Source-Projekte — und legte damit potenziell tausende Unternehmensumgebungen offen.
Für Bitcoin-Entwickler und alle, die in der Krypto-Infrastruktur arbeiten, ist das keine abstrakte Meldung: Viele der betroffenen Tools — von Vulnerability-Scannern bis zu KI-Gateways — stecken tief in denselben CI/CD-Pipelines, über die auch Bitcoin-Software gebaut, getestet und deployed wird.
Die Zahlen dahinter
Über 1’000 betroffene Enterprise-SaaS-Umgebungen
Mehr als 300 GB exfiltrierte Daten
Rund 500’000 gestohlene Credentials
Die Angriffskette: Jeder Hack ermöglichte den nächsten
Das Tückische an TeamPCPs Vorgehen: Die Gruppe stahl bei jedem Angriff Tokens und Credentials, die sie direkt als Hebel für den nächsten Schlag einsetzte.
19. März — Trivy (Aqua Security)
Trivy ist einer der verbreitetsten Vulnerability-Scanner für Container und CI/CD-Pipelines. TeamPCP kompromittierte Binary, GitHub-Actions-Workflow und Container-Images. Die Malware konnte Umgebungsvariablen, Cloud-Tokens und SSH-Keys aus Build-Umgebungen auslesen. Der Vorfall wurde als CVE-2026-33634 klassifiziert.
21.–23. März — KICS (Checkmarx)
Mit den bei Trivy gestohlenen GitHub-PATs überschrieb TeamPCP alle 35 Versions-Tags der KICS GitHub Action mit Backdoors. Die gestohlenen Daten wurden an checkmarx[.]zone geleitet — eine Typosquatting-Domain, die legitime Checkmarx-Infrastruktur imitiert.
24. März — LiteLLM (BerriAI, PyPI)
Versionen 1.82.7 und 1.82.8 des populären KI-Gateways auf PyPI enthielten Schadcode. Version 1.82.8 legte zusätzlich eine .pth-Datei ab (litellm_init.pth), die Python bei jedem Prozessstart automatisch ausführt — unabhängig davon, ob LiteLLM überhaupt im Code importiert wird.
27. März — Telnyx Python SDK (PyPI)
Schadhafte Versionen 4.87.1 und 4.87.2 des offiziellen Telnyx-SDKs erschienen auf PyPI. Der Angriff weitet sich damit von Security-Tools auf Kommunikationsinfrastruktur aus.
31. März — axios (npm)
Auch die populäre HTTP-Library axios für JavaScript wurde kompromittiert (Versionen 1.14.1 und 0.30.4). Ein Signal, dass die Kampagne weit über den Security-Bereich hinausgeht.
Was genau wurde gestohlen?
Das Verhalten der Malware war über alle Angriffe konsistent: Sie sammelte Cloud-Credentials, SSH-Keys, Kubernetes-Konfigurationsdateien und CI/CD-Secrets, verschlüsselte sie und leitete sie an Angreifer-Server weiter. Als primäre C2-Verbindung versagte, nutzte der Payload den eigenen GITHUB_TOKEN des Opfers, um ein verstecktes Repository namens docs-tpcp in der jeweiligen GitHub-Organisation anzulegen. In manchen Umgebungen wurde Kubernetes-Persistenz durch hochprivilegierte Pods hergestellt.
«TeamPCP nutzte eine entscheidende strukturelle Schwäche aus: Security-Scanning-Tools haben privilegierten Zugang in CI/CD-Pipelines — mit gleichzeitigem Zugriff auf Cloud-Credentials, Code-Repositories und Container-Infrastruktur. Das Kompromittieren eines Scanners exponiert alle erreichbaren Secrets im Pipeline-Kontext.»
Cloud Security Alliance Lab, April 2026
Was das mit Bitcoin zu tun hat
Bitcoin-Entwickler und Krypto-Teams sind keine Ausnahme — sie sind ein Hauptziel. Wer Node-Software, Wallets oder Exchange-Backends baut, verwendet dieselbe Open-Source-Toolchain: Trivy für Container-Scans, PyPI-Pakete für Backend-Services, GitHub Actions für automatisierte Deployments. Gestohlene Signing-Keys oder Cloud-Credentials könnten in diesem Kontext nicht nur Infrastruktur kompromittieren, sondern direkt finanzielle Mittel gefährden.
TeamPCP existiert erst seit Dezember 2025 — und kollaboriert inzwischen mit der Ransomware-Gruppe Vect, die im April 2026 ihr erstes Opfer auf einer Leak-Seite listete: ein Immobilientech-Unternehmen mit angeblich 4 Millionen exfiltrierten E-Mails und 700 GB Daten. Die Eskalationsgeschwindigkeit ist beispiellos.
Sofortmassnahmen — wer handeln muss
Wer zwischen Mitte März und Ende März 2026 eines der folgenden Tools eingesetzt hat, sollte alle pipeline-zugänglichen Credentials als kompromittiert betrachten und sofort rotieren:
Trivy um Version v0.69.4 (19.–21. März)
Checkmarx KICS GitHub Action (21.–24. März) → Update auf v2.1.20 oder neuer
LiteLLM v1.82.7 und v1.82.8 (24.–25. März)
Telnyx Python SDK v4.87.1 und v4.87.2 (27. März)
axios v1.14.1 und v0.30.4 (31. März)
Das strukturelle Problem: Vertrauen ist keine Sicherheitsstrategie
Die alte Weisheit der Open-Source-Welt — «genug Augen finden jeden Bug» — greift nicht mehr. Das Risiko ist konzentriert, Updates laufen automatisiert, und die Annahme, dass vielfach genutzte Tools per se sicher sind, erweist sich als fataler Irrtum.
CI/CD-Pipelines sind heute die lukrativsten Angriffsziele der Softwarewelt: Ein einziger kompromittierter Einstiegspunkt gibt Zugang zu hunderten Downstream-Systemen. Was fehlt, sind neue Sicherheitsstrategien: kryptografische Signierung von Releases, automatisiertes Monitoring von Paketregistries auf Verhaltensänderungen, und eine Kultur der minimalen Rechte auch in Build-Umgebungen.
Die Zeche zahlen am Ende nicht die Maintainer der Open-Source-Projekte — sondern die Unternehmen und Entwickler, die ihnen blind vertraut haben.
