Ein Einbruch bei OpenCode Console machte API-Schlüssel zur fremden Rechnung

OpenCode bestätigte den Schlüsselvorfall in Console, Anbieter kümmern sich um Kosten\n\nOpenCode zufolge kompromittierten Angreifer einige API-Schlüssel von Nutzern, die im Online-Dienst Console gespeichert waren. Sie nutzten die Schlüssel für unberechtigte Abfragen und verursachten Kosten. Laut TechCrunch waren 1,4 % der Console-Nutzer betroffen. Anthropic und Google sperrten Schlüssel, die sie für offengelegt hielten. OpenAI half OpenCode, den Zugang wiederherzustellen und API-Guthaben zu erstatten. OpenCode erklärte, Rückzahlungen für unberechtigte Kosten liefen.

Mitgründer Dax Raad zufolge betraf der Vorfall Console, wo manche Nutzer Schlüssel hinterlegt hatten, nicht aber die Open-Source-App oder das Kommandozeilenwerkzeug. Betroffene sollten ihre Schlüssel bei den jeweiligen Anbietern widerrufen und ersetzen.

Betroffen war der Schlüsselspeicher in Console, nicht OpenCode selbst

Für Entwickler ist diese Unterscheidung wichtig: Ein lokales Open-Source-Werkzeug kann neben einem Cloud-Dienst stehen, der Geheimnisse verwahrt. Werden sie missbraucht, zahlt der Nutzer. Bei großzügigen Limits wird aus einem kompromittierten Konto schnell ein finanzieller Schaden.

Ein API-Schlüssel ist praktisch ein Zahlungsmittel. Teams sollten jedem Schlüssel nur nötige Rechte, ein niedriges Ausgabenlimit und Warnungen bei ungewöhnlicher Nutzung geben, statt darauf zu setzen, dass die Plattform den Angriff zuerst bemerkt.

Angriffsweg und Ausmaß des Missbrauchs sind noch offen

OpenCode hat bisher nicht öffentlich erklärt, wie die Angreifer in ein älteres System eindrangen, wie die Schlüssel gespeichert waren oder wie viele tatsächlich missbraucht wurden. Das Unternehmen brachte den Vorfall mit einem groß angelegten Distillation-Angriff in Verbindung. Motiv und Erklärung sind jedoch nicht unabhängig bestätigt.

Schlüsselwechsel, Prüfung und klare Erstattungen zählen jetzt

Nutzer müssen wissen, ob alle betroffenen Schlüssel gesperrt wurden, wie hoch der unberechtigte Verbrauch war und wie die Anbieter Erstattungen abwickeln. Für andere Teams lautet der Praxistest: Kann ein gestohlener Schlüssel Schaden anrichten, bevor eine Warnung eintrifft?

Liliths Urteil

Jemand speichert einen Schlüssel, um ein paar Klicks zu sparen, und wacht mit der Rechnung für fremde Abfragen auf. OpenCode muss nun zeigen, dass die Bequemlichkeit von Console nicht auf Schlüsseln ohne wirksame Ausgabenbremse beruht.