Tras el aviso de OpenCode del 17 de octubre de 2026, que NeoTeo cubrió en su información sobre la alerta y los intentos de acceso comunicados por Dax Raad, usuarios reportaron consumos no autorizados en cuentas de proveedores. OpenCode situó en el 1,4 % la proporción afectada de usuarios de OpenCode Console que tenían proveedores externos vinculados.
Qué credenciales estaban implicadas
OpenCode dijo que el acceso no autorizado afectó a un sistema heredado que la empresa estaba desmantelando. También afirmó que había notificado por correo a los usuarios afectados.
Dax Raad, cofundador de OpenCode, distinguió el servicio alojado de la aplicación local: dijo que las claves utilizadas únicamente en la aplicación local no llegaban a los servidores de OpenCode y que el incidente concernía a las credenciales guardadas en Console.
La documentación de OpenCode Console explica que el servicio guarda las credenciales conectadas y envía las solicitudes a los proveedores mediante una pasarela. El proveedor externo factura los tokens consumidos. Deshabilitar o quitar una integración de Console y rotar la clave del proveedor son operaciones distintas; retirar la integración no revoca por sí sola esa clave.
Los importes que comunicaron los usuarios
En los testimonios recogidos por Infobae, Colin Parsons reportó cargos de 281 dólares estadounidenses en OpenAI y 168 dólares en Anthropic. Preston Zeller estimó sus pérdidas en 1.700 dólares. Otro usuario comunicó más de 700 dólares de consumo en OpenAI antes de desconectar una clave. Son reportes y estimaciones individuales, no un total auditado del incidente.
Infobae también informó de respuestas distintas por parte de los proveedores. Anthropic revocó las claves que consideró comprometidas; OpenAI colaboró con OpenCode para restablecer el acceso de usuarios y reembolsar créditos consumidos; Google suspendió proyectos en los que identificó un uso indebido.
La explicación que dio OpenCode
OpenCode describió el incidente como un ataque de destilación a gran escala. Infobae informó de que especialistas en seguridad sin identificar cuestionaron que esa explicación estuviera demostrada.
