OpenCode-Hack: Gestohlene API-Keys, fremde Rechnungen

Kurz gesagt: Das Open-Source-Coding-Tool OpenCode ist Opfer eines Angriffs geworden. Über ein älteres System erbeuteten Angreifer API-Schlüssel, die Nutzer in der OpenCode Console hinterlegt hatten, und fragten damit auf fremde Rechnung Modelle bei OpenAI, Anthropic und Google ab. OpenCode spricht von einem groß angelegten Distillation-Angriff.

Was passiert ist

OpenCode informierte am Samstag betroffene Nutzer per E-Mail: 1,4 Prozent der Console-Nutzer sind betroffen, konkret diejenigen, die externe Anbieter verknüpft hatten. Wer keine Mail bekam, ist laut dem Projekt nicht betroffen. Der frühestmögliche Zeitpunkt des Zugriffs war demnach der 17. Oktober 2026, 00:30 Uhr UTC. Weitere Daten seien nach jetzigem Stand nicht abgeflossen, heißt es in der Mail, aus der BleepingComputer zitiert. Wichtig: Nur die Console, also die Online-Plattform, war betroffen. Die Open-Source-App und das Kommandozeilen-Werkzeug nicht, denn dort liegen die Schlüssel laut Mitgründer Dax Raad gar nicht beim Projekt.

Rechnungen über Nacht

Noch in der Nacht meldeten Entwickler auf Reddit und X ausgelöste Ausgaben-Alarme bei OpenAI, Anthropic und Google. Mehrere Nutzer berichten von unautorisierten Abbuchungen im dreistelligen Bereich, einzelne von mehr als 1.000, in einem Fall über 1.700 Dollar. Anthropic und Google sperrten die mutmaßlich offengelegten Schlüssel. OpenAI stellte nach eigenen Angaben den Zugang wieder her und erstattet die durch den Angriff verbrauchten Credits, auch OpenCode hat Erstattungen angekündigt. Betroffene sollen ihre Schlüssel bei jedem Anbieter widerrufen und neu erzeugen.

Was ist ein Distillation-Angriff?

Distillation ist eigentlich eine legitime Technik: Ein kleines Modell lernt aus den Antworten eines stärkeren Modells und wird so günstiger und schneller. Zum Angriff wird das, wenn jemand massenhaft unautorisierte Anfragen dafür nutzt, etwa über erbeutete Schlüssel. OpenCode hat nicht erklärt, wie die Angreifer in das ältere System kamen und wie die Schlüssel gespeichert waren. Einige Beobachter halten die Distillation-Deutung für unbewiesen und sprechen schlicht von einem Einbruch, berichtet TechCrunch. Auffällig ist der Zeitpunkt: In derselben Nacht machte OpenCode das Modell GLM-5.3-Flash für Nutzer kostenlos.

Die Abwehr-Falle: Wenn die KI nicht helfen darf

Pikant ist die Verteidigungsgeschichte. Laut Raad versuchten die Angreifer mindestens 48 Stunden lang ununterbrochen, in die Systeme zu kommen. Bei der Analyse des Schadcodes stieg die KI-Unterstützung zeitweise aus: Die Modelle verweigerten die Arbeit, weil die zu untersuchenden Exploits ihre Sicherheitsfilter auslösten. Besserung brachte der Zugang zu OpenAIs Daybreak-Programm, das geprüften Nutzern Modelle für defensive Sicherheitsarbeit mit weniger Blockaden gibt. OpenCode ist mit diesem Problem nicht allein: Hugging Face beschrieb im Juli nach einem eigenen Vorfall ein „asymmetry problem“: Die Schutzmechanismen könnten einen Incident-Responder nicht von einem Angreifer unterscheiden.

Was du jetzt tun solltest

• OpenCode-Console-Nutzer: Mail prüfen und alle hinterlegten API-Schlüssel bei OpenAI, Anthropic und Google widerrufen und neu erzeugen, auch vorsorglich.
• Ausgaben-Alarmschwellen bei jedem Anbieter setzen. Sie waren es, die viele Betroffene überhaupt erst geweckt haben.
• Grundsätzlich: Keine Haupt-Schlüssel in Online-Arbeitsumgebungen hinterlegen, sondern begrenzte, einzeln sperrbare Unterschlüssel mit Budget.
• Nutzungs-Dashboards der Konten auf ungewöhnliche Peaks seit dem 17. Oktober prüfen.