Una brecha en OpenCode Console convirtió claves API en facturas ajenas

OpenCode confirmó el robo de claves de Console y los proveedores gestionan los cargos\n\nOpenCode informó de que los atacantes comprometieron algunas claves API de usuarios guardadas en su servicio online Console, lo que permitió consumir servicios y generar cargos sin autorización. Según la información de TechCrunch, el incidente afectó al 1,4 % de los usuarios de Console. Anthropic y Google bloquearon las claves que consideraban expuestas; OpenAI colaboró con OpenCode para restablecer el acceso y devolver créditos de API, y OpenCode afirmó que estaba tramitando los reembolsos de los cargos no autorizados.

El cofundador Dax Raad señaló que la exposición se limitó a Console, donde algunos usuarios guardaban sus claves, y que no afectó a la aplicación de código abierto ni a la herramienta de línea de comandos. La empresa recomendó a los afectados revocar y sustituir las claves con cada proveedor.

La capa expuesta guardaba credenciales; no era la aplicación OpenCode

La diferencia importa a los desarrolladores: una herramienta local de código abierto puede convivir con un servicio en la nube que custodia secretos cuyo uso indebido paga el usuario. Con límites generosos, una cuenta comprometida puede convertirse enseguida en un perjuicio económico.

Una clave API funciona, en la práctica, como un medio de pago. Los equipos deberían asignar permisos mínimos, topes de gasto bajos y alertas de consumo anómalo a cada clave, en vez de confiar en que la plataforma detectará el ataque primero.

Siguen sin aclararse el acceso inicial y el alcance del abuso

OpenCode no ha explicado públicamente cómo entraron los atacantes en un sistema antiguo, cómo se almacenaban las claves ni cuántas llegaron a utilizarse. La empresa relacionó el incidente con un ataque de destilación a gran escala, pero ni el motivo ni esa explicación cuentan con confirmación independiente.

La rotación de claves, la auditoría y los reembolsos son la prueba pendiente

Los usuarios necesitan saber si se han revocado todas las claves afectadas, cuánto consumo no autorizado hubo y cómo gestionarán los proveedores las devoluciones. Para los demás equipos, la pregunta práctica es sencilla: ¿puede una clave robada causar daños antes de que salte una alerta?

El veredicto de Lilith

Alguien guarda una clave para ahorrarse unos clics y al día siguiente encuentra una factura por el trabajo de otro. OpenCode debe demostrar que la comodidad de Console no depende de claves con barra libre de gasto.