Invasão no OpenCode expõe chaves de API de IA e usuários relatam contas de até US$ 1.700 em uma noite

Na manhã de sábado, 17 de outubro, desenvolvedores de vários países acordaram com alertas de gasto da OpenAI, da Anthropic e do Google — um deles, dos três ao mesmo tempo. Logo depois veio a explicação: o OpenCode, um agente de programação com IA de código aberto que vem ganhando espaço como alternativa ao Claude Code e ao Cursor, informou ter sofrido uma invasão na noite anterior.

O que aconteceu

O OpenCode funciona no terminal, num aplicativo de desktop ou dentro do editor de código, e trabalha com modelos de vários fornecedores. Parte dos usuários usa também o Console, a plataforma on-line do projeto, onde dá para cadastrar as chaves de API — as credenciais que liberam o uso pago dos modelos de cada fornecedor.

Segundo a empresa, os invasores alcançaram um sistema antigo ligado ao Console. A exposição mais antiga possível das chaves foi às 0h30 (UTC) de 17 de outubro — 21h30 de sexta-feira, no horário de Brasília. Foram afetados 1,4% dos usuários do Console, apenas os que tinham fornecedores externos vinculados. Os afetados receberam e-mail; quem não recebeu, segundo o projeto, não foi atingido. O aplicativo de código aberto e a ferramenta de linha de comando ficaram de fora: nesses casos, nas palavras do cofundador Dax Raad, as chaves “nunca chegam até nós”.

A conta chegou rápido

Enquanto a empresa investigava, usuários relatavam no Reddit e no X cobranças não reconhecidas de centenas de dólares por conta; alguns passaram de US$ 1.000, e um deles falou em cerca de US$ 1.700 em uma noite. A Anthropic e o Google bloquearam as chaves que acreditavam estar expostas; a OpenAI trabalhou com o OpenCode para restaurar acessos e devolver os créditos consumidos. O projeto diz que os reembolsos estão em andamento.

“Ataque de destilação”?

O comunicado oficial falou em uma invasão “relacionada a um ataque de destilação em larga escala”. Destilação é uma técnica legítima: treinar um modelo menor e mais barato com as respostas de um modelo mais poderoso. Vira ataque quando esse treinamento é feito com um volume enorme de consultas não autorizadas — e chaves roubadas são um jeito de pagar essa conta com o dinheiro dos outros.

Críticos acharam a explicação exagerada: para eles, o que se viu foi uma invasão comum seguida de uso indevido das chaves, e o uso para destilação não está demonstrado. O OpenCode não detalhou como os atacantes entraram nem como as chaves eram guardadas.

Há um capítulo curioso na resposta. Segundo Raad, os atacantes tentaram entrar sem parar durante pelo menos 48 horas, e a equipe manteve agentes de IA defensivos trabalhando dia e noite — até que os modelos começaram a recusar o serviço, porque o código malicioso analisado disparava as travas de segurança. A investigação só avançou depois que o projeto ganhou acesso ao programa Daybreak, da OpenAI, que oferece a usuários verificados modelos menos propensos a recusar trabalho de defesa. A Hugging Face já havia relatado o mesmo problema em julho: as travas não conseguem distinguir quem responde a um incidente de quem ataca.

Se você usa o OpenCode Console

• Revogue a chave no painel de cada fornecedor (OpenAI, Anthropic, Google) e gere outra. Apagar a chave dentro do OpenCode não basta: ela continua válida no fornecedor até ser revogada lá.
• Atualize todos os sistemas que usavam a chave antiga.
• Revise o consumo e a fatura de cada fornecedor a partir de 16 de outubro e conteste o que não reconhecer.

A lição que vale para todo mundo

Chave de API de IA é, na prática, um cartão de crédito sem limite plugado num serviço caro. Este blog já mostrou chaves de nuvem esquecidas em público ainda funcionando, ladrões de sessão usando os créditos de IA das vítimas e uma campanha no GitHub vasculhando históricos atrás de chaves. O caso OpenCode acrescenta um ponto: cada plataforma de terceiros onde a chave é cadastrada passa a ser mais um lugar de onde ela pode vazar.

Os fornecedores oferecem as defesas óbvias, e pouca gente as liga: limite de gasto por projeto, alerta de consumo, uma chave por aplicação (para revogar uma sem parar todas) e a pergunta, antes de colar a chave em qualquer ferramenta, se ela realmente precisa ficar guardada lá.

No sábado, quem tinha limite de gasto configurado perdeu, no máximo, o limite. Quem não tinha descobriu o tamanho da fatura pelo e-mail.

Fontes

• OpenCode — comunicado oficial no X (17/10/2026): x.com/opencode
• BleepingComputer — “OpenCode hack exposes API keys amid AI distillation attacks” (19/10/2026): bleepingcomputer.com

• TechCrunch — “Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts” (19/10/2026): techcrunch.com

• Foto de capa: código-fonte em um notebook — Marc Mueller, CC0 (Unsplash), via Wikimedia Commons

• Segunda imagem: desenvolvedores trabalhando em notebooks — Lbronn, CC BY-SA 4.0, via Wikimedia Commons