OpenCode erleidet Sicherheitsleck durch massiven Distillation-Angriff

OpenCode Hacked: User credentials leaked

▲ 783pranshuchittora144 HN-Diskussion

OpenCode meldet einen Sicherheitsvorfall: Ein groß angelegter Distillation-Angriff hat die Zugangsdaten von 1,4 Prozent der OpenCode-Console-Nutzer kompromittiert. Betroffene wurden per E-Mail informiert. Der Vorfall dauert noch an, Details will das Unternehmen deshalb nicht nennen. Zur Eindämmung arbeitet OpenCode nach eigenen Angaben mit Anthropic, OpenAI und Google zusammen.

Wir hatten letzte Nacht einen Sicherheitsvorfall im Zusammenhang mit einem groß angelegten Distillation-Angriff, der 1,4 % der OpenCode-Console-Nutzer betroffen hat.
Original lesen →HN-DiskussionRSS

HN-Diskussion

144
  1. redsymbol

    Um etwas klarzustellen, was das OpenCode-Team schlecht klargestellt hat:

    Das Leck betraf etwas namens 'OpenCode Console', das vom OpenCode-Coding-Agenten zu unterscheiden und getrennt ist. Wenn du nur den Coding-Agenten benutzt, bist du nicht betroffen. 'OpenCode Console' ist ein Dienst, der OpenRouter ähnelt, aber viel weniger verbreitet ist.

    Der Name 'OpenCode Console' ist super verwirrend, weil man denken könnte, er bedeute den CLI-Coding-Agenten. Das tut er nicht. 'OpenCode Console' hat nichts mit dem CLI/TUI-Coding-Agenten zu tun, noch mit der Desktop-App-Version.

    Die Situation wird dadurch verschlimmert, dass 'OpenCode Console' kaum Online-Dokumentation hat und die offizielle Leck-Ankündigung die Unterscheidung überhaupt nicht klar macht. Das OpenCode-Team hat bei der Kommunikation einen miserablen Job gemacht, und das ist ihre Schuld.

    Heute ist ein schlechter Tag für Leute, die 'OpenCode Console' benutzen. Aber die meisten Leute, wahrscheinlich die überwiegende Mehrheit der OpenCode-Nutzer, die das hier lesen, benutzen 'OpenCode Console' nicht.

  2. pranshuchittora

    Ich bin der Autor dieses Beitrags. Es sieht so aus, als wären OpenCode-Fans / das Team nicht glücklich darüber, dass dieser Beitrag auf die erste Seite von HN kommt. Er wurde bereits von vielen geflaggt.

    Ich bitte nie um Upvotes, aber es wäre großartig, wenn ihr ihn upvoten könntet.

    Danke!

  3. Ciantic

    Ich denke, jedes API-Key-System sollte einen Endpunkt "invalidate_api_key" haben. So könnten Whitehat-Hacker oder die Partei, die sie gespeichert hat, alle Keys ungültig machen, falls sie leaken. Jetzt ist es ein Wettlauf gegen die Zeit, und jeder hat eine E-Mail bekommen, und jeder muss selbst handeln.

  4. computerex

    Warum sind meine API-Keys im Workspace exponiert? Schickt OpenCode meine API-Keys an ihre Backend-Server??? War das ein Supply-Chain-Angriff, der das opencode-Programm selbst infiziert hat? Was ist los?

  5. djchen

    Ist mein Verständnis korrekt, dass dies nur einige OpenCode Zen-Nutzer betraf, die ihre (BYOK) API-Keys von Anthropic/Google/OpenAI gespeichert hatten?

    Im Wesentlichen nutzten sie OpenCode Zen ähnlich wie OpenRouter, wo man BYOK machen oder ihre verwenden und nach Token-Raten abgerechnet werden kann.

  6. jchw

    Ich benutze OpenCode nicht, aber ich würde gerne wissen, wen das betrifft. Sicherlich wären Leute, die OpenCode nur lokal mit ihren eigenen Anmeldeinformationen nutzen, nicht betroffen, oder? Das klingt nach etwas, bei dem man einen gehosteten Dienst hat und seine Keys dort einfügt. Ich sage nicht, dass das nicht schlimm ist, aber es ist nicht klar und sie teilen keine Informationen.

  7. rozenmd

    @dang dieser Titel muss aktualisiert werden: "OpenCode Console hacked: User credentials leaked"

    Die opencode CLI ist nicht betroffen.

  8. oldfuture

    https://news.ycombinator.com/item?id=50108261

    darum hat Virustotal es also geflaggt

Mehr von diesem Tag

2026-10-17