В субботу, 17 октября 2026 года, команда OpenCode сообщила, что ночью злоумышленники взломали её старую систему. Пострадали 1,4% пользователей OpenCode Console. Это онлайн-платформа, где часть разработчиков хранила API-ключи OpenAI, Anthropic, Google и других провайдеров. По этим ключам уже успели списать деньги.
OpenCode - открытый ИИ-агент для программирования, его часто ставят как альтернативу Claude Code и Cursor. Сам агент и консольная утилита, по словам сооснователя Dax Raad, не затронуты: ключи, которые вы вводите локально, на серверы компании не уходят. Утекли только те, что лежали в рабочих пространствах Console.
Сколько списали и вернут ли деньги
Разработчики писали в Reddit и X, что ночью у них разом сработали оповещения о расходах в OpenAI, Anthropic и Google. Обычно речь о сотнях долларов на аккаунт, у нескольких человек счёт перевалил за $1000.
Anthropic и Google заблокировали ключи, которые сочли скомпрометированными. OpenAI вместе с OpenCode восстанавливает доступ и обещает вернуть клиентам API потраченные в атаке кредиты. OpenCode тоже пишет, что возвраты за несанкционированные списания уже идут. Сроков и порядка возврата в источнике нет.
Компания называет инцидент «масштабной дистилляционной атакой»: ключи якобы нужны были, чтобы получить от моделей большой объём ответов. Часть экспертов с этим не согласна. По их мнению, это обычный взлом, а версия с дистилляцией не доказана. Как именно взломали систему и как хранились ключи, OpenCode не раскрыла. Инцидент, по её словам, ещё не закрыт.
Что сделать прямо сейчас
Пострадавшим OpenCode разослала письма. Если письма нет, компания считает, что вас не задело. На наш взгляд, полагаться только на это не стоит:
- отзовите ключи, которые хранились в OpenCode Console, и выпустите новые прямо в кабинете каждого провайдера (так советует и сама OpenCode);
- проверьте историю расходов в OpenAI, Anthropic и Google за последние дни;
- поставьте лимиты и оповещения о тратах, если их ещё нет;
- не держите в сторонних сервисах ключи с широкими правами: отдельный ключ под отдельный инструмент проще отозвать.
Для пользователей из России есть отдельная проблема: API этих провайдеров у нас официально не работают, и аккаунт часто привязан к карте, которую не так просто заменить. Если ключ уйдёт, разбираться со списаниями и возвратом будет сложнее, поэтому лимиты на счёте тут особенно полезны.