OpenCode informó que piratas informáticos accedieron a un sistema antiguo conectado a su servicio alojado Console, lo que pudo haber expuesto las claves de proveedores de IA del 1,4 % de los usuarios de Console y derivado en cargos no autorizados, ante lo cual ya se están tramitando reembolsos.
OpenCode señaló que los usuarios afectados habían vinculado proveedores externos de IA y guardado sus claves API en espacios de trabajo de Console. La compañía les notificó por correo electrónico y aclaró que quienes no recibieron dicho aviso no sufrieron consecuencias.
OpenCode describió el incidente como parte de un «ataque de destilación» a gran escala, pero no ha explicado públicamente cómo ingresaron los atacantes al sistema ni ha demostrado de qué manera la brecha de seguridad facilitó la destilación de modelos.
Diversos usuarios reportaron cobros inesperados en servicios de IA como OpenAI, Anthropic y Google. Algunos montos alcanzaron cientos de dólares y unos pocos casos llegaron a superar los 1000 dólares.
Anthropic y Google bloquearon las claves que consideraron expuestas. Por su parte, OpenAI colaboró con OpenCode para restablecer el acceso de los usuarios afectados y reintegrar los créditos utilizados durante el ataque.
OpenCode aseguró que los reembolsos están en curso. La empresa hizo hincapié en que la filtración involucró a Console, y no a su aplicación de programación de código abierto ni a su herramienta para ejecutar comandos en la terminal. Asimismo, se instó a los usuarios afectados a deshabilitar sus claves y solicitar unas nuevas a sus respectivos proveedores de IA.
También se les recomendó revisar sus cuentas para identificar cualquier actividad que no reconocieran.