Włamanie do OpenCode Console zamieniło klucze API w cudzy rachunek

OpenCode potwierdziło wyciek kluczy z Console, a dostawcy zajmują się kosztami\n\nOpenCode poinformowało, że napastnicy przejęli część kluczy API użytkowników zapisanych w internetowej usłudze Console, a następnie wykorzystali je bez zgody właścicieli. Według relacji TechCrunch incydent objął 1,4% użytkowników Console. Anthropic i Google zablokowały klucze uznane za ujawnione, OpenAI pomogło przywrócić dostęp i zwrócić kredyty API, a OpenCode podało, że zwroty za nieuprawnione użycie są w toku.

Współzałożyciel Dax Raad zaznaczył, że problem dotyczył Console, gdzie część osób przechowywała klucze, a nie aplikacji open source ani narzędzia wiersza poleceń. Firma zaleciła poszkodowanym unieważnienie kluczy i wygenerowanie nowych u każdego dostawcy.

Przejęto warstwę przechowywania kluczy, nie sam OpenCode

To ważne rozróżnienie dla programistów: lokalne narzędzie open source może współistnieć z usługą chmurową, która przechowuje sekrety, a za ich nadużycie płaci użytkownik. Przy wysokich limitach pojedyncze przejęte konto szybko oznacza realną stratę.

Klucz API działa w praktyce jak środek płatniczy. Zespoły powinny ograniczać uprawnienia i wydatki każdego klucza oraz ustawiać alerty na nietypowe zużycie. Nie warto zakładać, że platforma jako pierwsza wykryje atak.

Nie wiadomo, jak włamano się do systemu ani ile kluczy wykorzystano

OpenCode nie wyjaśniło publicznie, jak napastnicy dostali się do starszego systemu, jak przechowywano klucze ani jaka część z nich została faktycznie wykorzystana. Firma powiązała incydent z szeroko zakrojonym atakiem typu distillation, ale motyw i to wyjaśnienie nie zostały niezależnie potwierdzone.

Teraz liczą się rotacja kluczy, audyt i rozliczenie kosztów

Użytkownicy muszą wiedzieć, czy wszystkie zagrożone klucze unieważniono, jaką skalę miało nieautoryzowane zużycie i jak dostawcy rozliczą zwroty. Dla pozostałych zespołów test jest prosty: czy jeden skradziony klucz zdąży narobić szkód, zanim zadziała alert?

Werdykt Lilith

Użytkownik zapisuje klucz, żeby oszczędzić kilka kliknięć, a rano znajduje rachunek za cudze zapytania. OpenCode musi teraz pokazać, że wygoda Console nie opiera się na kluczach bez sensownego limitu wydatków.