[01] Утечка API-ключей в OpenCode: взломали «старую» консоль, ключи OpenAI, Anthropic и Google под угрозой
Компания Anomaly Innovations сообщила 17 октября 2026 о взломе OpenCode Console: злоумышленники получили доступ к устаревшей системе, которую выводили из эксплуатации, и похитили сохранённые в пользовательских воркспейсах API-ключи OpenAI, Anthropic и Google. Затронуты около 1,4% пользователей консоли с привязанными внешними провайдерами. Часть пострадавших заметила несанкционированные списания (порядка $100) ещё до письма от компании. Если вы когда-либо сохраняли провайдерские ключи в OpenCode — отзовите их в кабинетах провайдеров и перевыпустите сегодня; заодно стоит проверить биллинг с 17 октября и выставить лимиты расходов. Важно разработчикам и командам, использующим OpenCode в работе, — это прямое попадание в цепочку поставок dev-инструментов.
- ✅ Компания Anomaly Innovations (бывшая SST) раскрыла взлом 17 октября 2026 — подтвердили VectorWire, Startup Fortune, ZubiQo, AI Startups News и DEV Community
- ✅ Атакующие получили несанкционированный доступ к legacy-системе, которую компания выводила из эксплуатации, и похитили сохранённые в воркспейсах API-ключи пользователей (подтвердили все перечисленные издания)
- ✅ Затронуты примерно 1,4% пользователей OpenCode Console, у которых были привязаны внешние провайдеры — ключи OpenAI, Anthropic и Google (данные компании, переданные изданиями)
- ✅ Компания разослала уведомления пострадавшим по email утром того же дня и посоветовала немедленно отозвать и перевыпустить ключи в кабинетах провайдеров (Startup Fortune, ZubiQo)
- ✅ Пострадавшие пользователи сообщили о несанкционированных списаниях со счетов OpenAI/Anthropic ещё до официального уведомления; упоминались суммы порядка $100 (AIToolsRecap, VectorWire)
- 🎓 DEV Community (Ааранджкар): точный порядок действий — сначала создать новый ключ, развернуть его, затем удалить старый и наблюдать за usage 48 часов; у каждого провайдера задать лимит расходов
- 🎓 Startup Fortune: документация OpenCode и так предупреждает, что песочницы нет, а промпты разрешений — «фича UX, а не граница безопасности»; взлом хранилища ключей обходит это предупреждение целиком — ключ уходит через бэкдор системы, которую пользователь даже не знал










)







