Взлом OpenCode: утечка API-ключей OpenAI, Anthropic и Google
OpenCode подтвердила взлом legacy-системы Console 17 октября 2026 года. Пострадали 1,4% пользователей, у которых могли утечь API-ключи сторонних провайдеров.
17 октября 2026 года компания OpenCode (Anomaly Innovations) сообщила о взломе своей legacy-системы Console. Инцидент затронул 1,4% пользователей hosted-сервиса, где могли оказаться доступны API-ключи OpenAI, Anthropic и Google.
Компания направила уведомления всем затронутым пользователям утром 17 октября. Пользователи, не получившие письма, не пострадали. Сам CLI-инструмент OpenCode и локальные ключи остались вне зоны риска.
Что произошло при взломе OpenCode Console
Атака была классифицирована как large-scale distillation attack. Злоумышленники получили доступ к устаревшему компоненту Console, который компания выводила из эксплуатации. В затронутых рабочих пространствах хранились ключи внешних провайдеров, и именно они могли быть скопированы.
Часть пользователей уже до официального заявления зафиксировала необычную активность: счета на Anthropic выросли примерно на 400 долларов, на Google — на 200 евро. Эти данные основаны на отчётах пользователей и не подтверждены компанией как итоговые суммы.
OpenCode заявила, что продолжает взаимодействовать с OpenAI, Anthropic и Google для минимизации последствий. Anthropic уже отозвала ключи Claude, которые сочла скомпрометированными. Полный технический отчёт о векторе атаки пока не опубликован.
Действия для пользователей после взлома OpenCode
Пострадавшим рекомендовано немедленно отозвать и заменить ключи в личных кабинетах OpenAI, Anthropic и Google. Компания подчеркнула, что делать это нужно напрямую через интерфейсы провайдеров, без перехода по ссылкам из писем.
Также следует проверить историю использования и расходов за последние дни. При возможности стоит установить лимиты трат и оповещения в консолях провайдеров. OpenCode отдельно отметила, что локальные настройки ключей через CLI не передавались на её серверы и не были затронуты.
На момент 19 октября 2026 года инцидент остаётся активным, новых данных о масштабе утечки не поступало. Пользователям, не получавшим уведомлений, дополнительных действий не требуется.
Частые вопросы
Кто пострадал при взломе OpenCode?
Затронуты 1,4% пользователей Console — hosted-дашборда. Пользователи, не получавшие письма от компании 17 октября 2026 года, не пострадали.
Нужно ли менять локальные API-ключи после инцидента?
Нет. Локальные ключи, настроенные через CLI, не передавались на серверы OpenCode и не были скомпрометированы.
Что уже сделали провайдеры после взлома?
Anthropic отозвала ключи Claude, которые посчитала затронутыми. OpenCode сотрудничает с OpenAI, Anthropic и Google по вопросам remediation.
Где отзывать ключи после взлома OpenCode?
Только через официальные консоли OpenAI, Anthropic и Google. Компания не рекомендует переходить по ссылкам из писем.
Комментарии
Комментариев пока нет. Будьте первым!