OpenCode meldete am 17. Oktober 2026, dass bei einem unbefugten Zugriff in der vorangegangenen Nacht API-Schlüssel im gehosteten OpenCode Console möglicherweise offengelegt worden seien. Nach Unternehmensangaben waren 1,4 Prozent der Console-Nutzer betroffen, die externe Anbieter verknüpft hatten; OpenCode habe diese Nutzer per E-Mail informiert. Das Unternehmen beschrieb den Vorfall als mit einem groß angelegten Distillationsangriff verbunden. OpenCodes Mitteilung

OpenCode zufolge waren Nutzer ohne Benachrichtigung nicht betroffen. Wer eine E-Mail erhalten hat, sollte deshalb den verknüpften Anbieter-Schlüssel prüfen und direkt beim Anbieter widerrufen.

Console und lokale Zugangsdaten liegen an unterschiedlichen Stellen

Am 17. Oktober stellte Dax Raad, Mitgründer von OpenCode, klar, dass sich der Vorfall auf OpenCode Console bezog, nicht auf die OpenCode-Anwendung. Raads Klarstellung

Für lokal gespeicherte API-Schlüssel und OAuth-Tokens nennt die OpenCode-CLI-Dokumentation eine SQLite-Datenbank auf dem Server. Der übliche Pfad lautet ~/.local/share/opencode/opencode.db. XDG_DATA_HOME, der Release-Kanal und OPENCODE_DB können den Speicherort ändern. Unterstützte Zugangsdaten aus Umgebungsvariablen liest der Serverprozess aus; sie werden laut Dokumentation nicht als Konten gespeichert.

OpenCode Console leitet Anfragen über ein Gateway an den verknüpften Anbieter weiter und ergänzt sie dabei um dessen Zugangsdaten. Anfragen über Console zählen zum Console-Budget, während der Anbieter die verbrauchten Tokens abrechnet, erklärt die Console-Dokumentation. Ein möglicherweise kopierter Schlüssel könnte auch außerhalb des Gateways verwendet werden; ein Console-Budget würde diesen Verbrauch nicht erfassen, wie The Hacker News erläutert.

Schlüssel beim Anbieter widerrufen und Nutzung prüfen

Das Entfernen eines Schlüssels aus OpenCode Console widerruft ihn nicht beim Anbieter. Laut The Hacker News bleibt ein Anbieter-Schlüssel dort verwendbar, bis er widerrufen wird. OpenCode riet Betroffenen demnach, die Nutzung beim Anbieter mindestens ab dem 16. Oktober zu prüfen. The Hacker News

Für OpenAI empfiehlt das Help Center, einen möglicherweise kompromittierten API-Schlüssel im API-Dashboard zu löschen, die Nutzung zu prüfen und den Support zu kontaktieren. OpenAIs Anleitung zur Kontosicherheit

Wenn ein OpenAI-Konto deaktiviert ist

OpenAI nennt für einen Einspruch den Link in der Benachrichtigungs-E-Mail oder das offizielle Einspruchsformular. Wer keine Benachrichtigung erhalten hat und den Zugang verloren hat, soll den Chat im Help Center nutzen. OpenAI bittet dabei um Nutzer- und Organisationskennungen, den Nutzungskontext, den Zeitraum einer vermuteten Schlüsselkompromittierung und bereits unternommene Schritte. OpenAIs Anleitung zu deaktivierten Konten

Am 18. Oktober sagte Dax Raad, Angreifer hätten während der vorangegangenen 48 Stunden versucht, auf OpenCode-Systeme zuzugreifen; OpenCode härte seine Systeme. Raads Beitrag vom 18. Oktober