A OpenCode informou que um invasor alcançou um sistema legado na noite de 16 de outubro e que chaves de API de provedores externas, salvas pelos usuários no Console, podem ter sido expostas. O grupo afetado é de 1.4% dos usuários do Console.
O sistema alcançado já estava em processo de desativação. A empresa não detalhou como o acesso ocorreu, quanto tempo durou, nem quantas chaves estavam guardadas ali.
A exposição foi descrita como possível, não como confirmada. A OpenCode não afirmou que alguma chave tenha sido copiada ou usada, e parte dos usuários relatou cobranças não reconhecidas nas contas dos provedores.
O alcance é limitado às chaves colocadas no Console por quem tinha provedor externo ligado. Segundo o cofundador Dax Raad, o caso envolve o Console e não o OpenCode em si, e as chaves adicionadas nos aplicativos de linha de comando e de desktop ficam em banco local na própria máquina.
Em 17 de outubro a empresa enviou e-mail aos afetados e disse que quem não recebeu a mensagem não foi atingido. No mesmo comunicado, publicado no X, afirmou estar trabalhando com Anthropic, OpenAI e Google e que o incidente estava em curso.
A OpenCode associou o caso a um ataque de destilação em larga escala, sem explicar como uma coisa sustenta a outra, e não nomeou responsável. A matéria registra essa lacuna e não apresenta evidência técnica que ligue os dois fatos.
A orientação é revogar e trocar a chave no painel de cada provedor, porque apagar a chave do Console não a revoga, atualizar toda aplicação que usava a chave antiga e revisar o consumo e a cobrança dos provedores a partir de 16 de outubro.
