OpenCode confirma incidente e 1,4% dos usuários do Console são afetados

O que aconteceu

A OpenCode confirmou um incidente de segurança que expôs credenciais de usuários do OpenCode Console. Em publicação na conta @opencode do X, a empresa afirmou que a brecha ocorreu na noite anterior, atingiu 1,4% dos usuários do Console e que todos os afetados foram notificados por e-mail na manhã seguinte.

O texto atribui o episódio a um "ataque de destilação em larga escala". A empresa não informou quantas contas isso representa em números absolutos, que tipo de credencial vazou, por quanto tempo os dados ficaram acessíveis ou como o ataque foi detectado. Afirmou apenas que o incidente segue em andamento e que não poderia compartilhar mais detalhes naquele momento.

A OpenCode disse estar trabalhando com Anthropic, OpenAI e Google para remediar o problema. A discussão aberta no Hacker News sobre o caso, identificada pelo título "OpenCode Hacked: User credentials leaked", somava 74 pontos na primeira medição, em 17 de outubro de 2026.

Contexto

"Distillation attack" é o termo usado no comunicado. Na prática, descreve o uso massivo das respostas de um modelo de linguagem para treinar outro sistema, prática que provedores de IA tratam como violação de termos e tentam bloquear. O texto da OpenCode não explica a ligação entre esse tipo de ataque e o vazamento de credenciais de usuários do Console.

A presença de Anthropic e Google na lista de parceiros de remediação indica envolvimento de fornecedores externos de modelos. O comunicado não detalha o papel de cada uma. A OpenAI aparece na mesma relação, também sem descrição de função.

Por que importa

Credenciais são o ativo mais sensível de um serviço usado por desenvolvedores. Com login e token em mãos, um invasor pode consultar dados, consumir créditos e executar ações em nome da conta, dependendo do escopo da chave.

A OpenCode não divulgou o total de usuários do Console. Sem esse número, o percentual informado não permite calcular quantas pessoas foram atingidas. O dado funciona como recorte relativo, não como medida do tamanho do problema.

Para quem recebeu o aviso, a providência básica é trocar a senha e revogar chaves de API ligadas à conta. A empresa não informou se recomenda o procedimento nem se vai exigir a redefinição de credenciais.

Impacto

O caso atinge um público técnico que usa o OpenCode para programar com apoio de modelos de linguagem. Credenciais vazadas nesse ambiente podem dar acesso a código, a chaves de outros serviços e a histórico de uso. O comunicado não confirma nenhum desses pontos, mas o tipo de conta envolvida explica a preocupação.

Times que mantêm projetos na plataforma devem revisar permissões e logs de acesso nos próximos dias. A OpenCode afirmou que o incidente continua ativo, o que significa que o diagnóstico pode mudar com novas informações.

O que muda

A OpenCode passa a dever uma explicação técnica sobre o vetor do ataque. Até agora, a empresa confirmou o alcance e o percentual de afetados, mas não disse o que exatamente vazou. A diferença entre credenciais de login, tokens de API e dados de conta importa para medir o risco real.

O episódio também pressiona serviços de ferramentas para desenvolvedores a detalhar como guardam chaves de terceiros. A arquitetura do OpenCode depende de modelos externos, e isso amplia o número de elos na cadeia de segurança que precisam ser auditados.

O que vem agora

A empresa prometeu compartilhar mais detalhes quando o incidente for encerrado, sem prazo definido. A remediação segue com os parceiros citados no comunicado.

Não há informação sobre notificação a autoridades, publicação de relatório técnico ou medida de compensação aos afetados. O post no X é a única fonte oficial sobre o caso até o momento.