Após a OpenCode informar, em 17 de outubro de 2026, que 1,4% dos usuários do OpenCode Console foram afetados por um acesso não autorizado a um sistema legado, usuários relataram uso em contas de provedores externos. Preston Zeller estimou perdas de US$ 1.700, um relato individual, não um total do incidente.
O aviso inicial da OpenCode e os relatos de tentativas de acesso foram tratados pela NeoTeo em cobertura anterior. Este acompanhamento reúne os valores relatados por usuários e as respostas atribuídas aos provedores.
O que a OpenCode informou sobre o alcance
A OpenCode disse que os usuários afetados tinham provedores externos vinculados ao OpenCode Console e que foram avisados por email. Dax Raad, cofundador da empresa, distinguiu as credenciais salvas nesse serviço hospedado das chaves usadas somente no aplicativo local. Segundo Raad, as chaves usadas localmente não chegavam aos servidores da OpenCode.
O Console armazena as credenciais dos provedores conectados e encaminha solicitações por um gateway. O provedor externo cobra pelo uso de tokens. A documentação oficial de provedores do OpenCode também distingue remover ou desativar uma conexão no Console de trocar a credencial: remover a integração não revoga, por si só, a chave no serviço que a emitiu.
Os valores relatados por usuários
Colin Parsons relatou US$ 281 em cobranças na OpenAI e US$ 168 na Anthropic. Outro usuário informou mais de US$ 700 em uso na OpenAI antes de desconectar uma chave. Preston Zeller estimou perdas de US$ 1.700. São relatos individuais, não um total auditado nem um limite máximo confirmado para o incidente.
As respostas dos provedores e a explicação da OpenCode
A Anthropic revogou chaves que considerou comprometidas. A OpenAI trabalhou com a OpenCode para restaurar o acesso de usuários e reembolsar créditos consumidos. O Google suspendeu projetos que identificou como uso indevido de seus serviços.
A OpenCode classificou o episódio como um ataque de destilação em larga escala.
