OpenCode bị tấn công — chìa khóa API bị lộ, có người mất hơn 1.000 đô

Tin này không vui, nhất là với anh em đang dùng công cụ AI coding. OpenCode, agent lập trình mã nguồn mở, xác nhận hôm thứ Bảy rằng kẻ tấn công đã xâm nhập một hệ thống cũ của họ trong đêm, ảnh hưởng tới 1,4% người dùng OpenCode Console, nơi một số người lưu API key.

Thiệt hại thế nào

Một số người dùng báo bị tính phí hàng trăm đô, vài trường hợp vượt 1.000 đô trên tài khoản AI của mình. Anthropic và Google đã chặn các key bị lộ, còn OpenAI hỗ trợ khôi phục truy cập và hoàn lại credit API bị dùng trong vụ tấn công; OpenCode cho biết việc hoàn tiền đang diễn ra. Công ty đã gửi email cho người bị ảnh hưởng.

Đồng sáng lập Dax Raad nhấn mạnh đây là OpenCode Console chứ không phải bản OpenCode, vì các key đó không bao giờ về tới phía họ. Theo anh, kẻ tấn công đã cố đột nhập liên tục suốt 48 giờ. Công ty gọi đây là tấn công “distillation” quy mô lớn, nhưng bài báo lưu ý điều này chưa được chứng minh và OpenCode chưa nói rõ kẻ xấu vào bằng cách nào. Sự cố vẫn đang tiếp diễn.

Việc anh em nên làm

Nếu có key lưu ở OpenCode Console, hãy thu hồi và tạo key mới ngay ở từng nhà cung cấp, rồi kiểm tra hóa đơn. Cenix gửi lời chia buồn tới những bạn đã bị tính phí oan.

Anh em hay lưu API key ở đâu: trình quản lý bí mật hay file env? Chia sẻ cách của mình ở phần bình luận để mọi người cùng rút kinh nghiệm nhé.

Nguồn: TechCrunch

Nguồn: TechCrunch