OpenCode sufre una brecha de seguridad por un ataque de destilación a gran escala
OpenCode Hacked: User credentials leaked
OpenCode confirmó una brecha de seguridad ocurrida la noche anterior, vinculada a un ataque de destilación a gran escala que afectó al 1,4% de los usuarios de OpenCode Console. La empresa notificó a todos los afectados por correo electrónico esa misma mañana. El incidente sigue en curso, por lo que no pueden compartir más detalles, pero aseguran que colaboran con Anthropic, OpenAI y Google para remediarlo.
Tuvimos una brecha de seguridad anoche relacionada con un ataque de destilación a gran escala que afectó al 1,4% de los usuarios de OpenCode Console.
- redsymbol
Para aclarar algo que el equipo de OpenCode ha hecho un mal trabajo aclarando:
La filtración fue de algo llamado 'OpenCode Console', que es distinto y separado del agente de programación OpenCode. Si solo usas el agente de programación, no te ves afectado. 'OpenCode Console' es un servicio similar a OpenRouter, pero mucho menos usado.
El nombre 'OpenCode Console' es súper confuso, porque uno podría pensar que significa el agente de programación CLI. No lo es. 'OpenCode Console' no tiene nada que ver con el agente de programación CLI/TUI, ni con la versión de app de escritorio.
La situación empeora por el hecho de que 'OpenCode Console' apenas tiene documentación en línea, y el anuncio oficial de la filtración no deja clara la distinción en absoluto. El equipo de OpenCode hizo un trabajo terrible comunicando esto, y eso es culpa de ellos.
Hoy es un mal día para la gente que usa 'OpenCode Console'. Pero la mayoría de la gente, probablemente la gran mayoría de los usuarios de OpenCode que están leyendo esto, no usa 'OpenCode Console'.
- pranshuchittora
Soy el autor de este post. Parece que a los fans / al equipo de OpenCode no les gusta que este post llegue a la primera página de HN. Ya ha sido marcado por muchos.
Nunca pido upvotes, pero sería genial si pudieras votarlo.
¡Gracias!
- Ciantic
Creo que todo sistema de claves API debería tener el endpoint "invalidate_api_key" de esta manera los hackers de sombrero blanco o la parte que las almacenó podría invalidar todas las claves en caso de que se filtren. Ahora es una carrera contra el tiempo, y todos recibieron el correo, y cada uno debe actuar por su cuenta.
- computerex
¿Por qué están expuestas mis claves API en el workspace? ¿¿¿OpenCode envía mis claves API a sus servidores backend??? ¿Fue este un ataque de cadena de suministro que infectó el propio programa opencode? ¿Qué está pasando?
- djchen
¿Es correcto mi entendimiento de que esto solo afectó a algunos usuarios de OpenCode Zen que almacenaron sus claves API (BYOK) de Anthropic/Google/OpenAI?
En esencia usaron OpenCode Zen de manera similar a OpenRouter, donde puedes traer tu propia clave (BYOK) o usar las suyas y se te cobra por tarifas de tokens.
- jchw
No uso OpenCode pero me gustaría saber a quién afecta esto. Seguramente la gente que solo usa OpenCode localmente con sus propias credenciales no se vería afectada, ¿verdad? Esto suena a algo donde tienes un servicio alojado y pones tus claves en él. No digo que esto no sea malo, pero no está claro y no están compartiendo ninguna información.
- rozenmd
@dang este título necesita actualizarse: "OpenCode Console hacked: User credentials leaked"
El CLI de opencode no tiene impacto.
- oldfuture
https://news.ycombinator.com/item?id=50108261
por eso VirusTotal lo estaba marcando entonces