# OpenCode sızıntısı Console kullanıcılarının %1,4’ünün API anahtarlarını açığa çıkardı

> Saldırganlar OpenCode’un eski bir sistemine erişti; bunun ardından bazı kullanıcılar yapay zekâ hesaplarından izinsiz ücret alındığını bildirdi. Şirket, etkilenen kullanıcılara anahtarlarını yenilemeleri gerektiğini söylüyor.

Oossa · 2026-10-19 · https://oossa.com/tr/opencode-breach-exposed-api-keys-for-1-4-of-console-users

OpenCode, saldırganların eski bir sistemine girdiğini ve çevrimiçi platformu OpenCode Console kullanıcılarının %1,4’üne ait API anahtarlarını açığa çıkardığını söylüyor. Bazı kullanıcılar OpenAI, Anthropic ve Google AI hesaplarından izinsiz ücret alındığını bildirdi. Faturalar yüzlerce doları bulurken, birkaç vakada 1.000 doların üzerine çıktı.

Şirket, etkilenen herkese e-posta gönderdiğini ve anahtarlarını doğrudan her sağlayıcı üzerinden iptal edip yenilemelerini söylediğini belirtti. Anthropic ve Google, açığa çıkmış olabileceğini düşündükleri anahtarları devre dışı bıraktı. OpenAI ise saldırıda kullanılan krediler için erişimin yeniden sağlanması ve müşterilere para iadesi yapılması konusunda OpenCode’la birlikte çalıştı; OpenCode, iadelerin sürdüğünü söylüyor.

## İhlal yalnızca Console’u etkiledi

OpenCode’un kurucu ortağı Dax Raad, açık kaynaklı uygulamanın ve komut satırı aracının etkilenmediğini söyledi. Açığa çıkan anahtarlar, bazı kullanıcıların çalışma alanlarına kaydettiği Console’da bulunuyordu. OpenCode, saldırganların eski sisteme nasıl girdiğini, anahtarların nasıl saklandığını veya anahtarların ne ölçüde kullanıldığını açıklamadı. Şirket, olayla ilgili incelemenin sürdüğünü söylüyor.

OpenCode olayı, bir modelin çıktılarını başka bir modeli eğitmeye yardımcı olmak için kullanan süreç olan, geniş çaplı bir “damıtma saldırısı” diye tanımladı. Ancak bu sürecin nasıl yürütüldüğünü açıklamadı; bazı gözlemciler de ihlalle damıtma arasındaki bağlantının ortaya konup konmadığını sorguladı.

## Güvenlik filtreleri müdahaleyi zorlaştırdı

Raad, saldırganların OpenCode sistemlerine girmeyi denemeyi sürdürdüğünü ve ekibin şüpheli kodları incelemek için kullandığı modellerin, güvenlik filtreleri devreye girdiğinde isteklere yanıt vermeyi reddetmeye başladığını söyledi. Savunma amaçlı güvenlik çalışmalarını reddetme olasılığı daha düşük modelleri, doğrulanmış kullanıcılara sunan OpenAI Daybreak Blue programına erişimin soruşturmayı ilerlettiğini belirtti.

Bu olay, Hugging Face’in temmuz ayında yaşanan bir izinsiz erişimin ardından dile getirdiği bir sorunu hatırlatıyor: Güvenlik sistemleri, savunma ekiplerinin saldırganların kullandığı kötü amaçlı kodları incelemesini engelleyebilir. Bu, filtrelerin bu ihlale yol açtığını kanıtlamıyor; ancak model kısıtlamalarının olaya müdahaleyi nasıl zorlaştırabileceğini gösteriyor. OpenCode, saldırganların sisteme nasıl girdiğini veya ne ölçüde izinsiz kullanım olduğunu açıklamadı.

## Gerçekler

- OpenCode, ihlalin OpenCode Console kullanıcılarının %1,4’ünü etkilediğini söyledi.
- Şirket, etkilenen tüm kullanıcılara e-posta gönderdiğini belirtti; OpenCode’a göre e-posta almayanlar etkilenmedi.
- Anthropic ve Google açığa çıkmış olabileceğini düşündükleri anahtarları devre dışı bırakırken OpenAI, saldırıda kullanılan krediler için para iadesi yapılması konusunda OpenCode’la birlikte çalıştı.
- OpenCode, açık kaynaklı uygulamasının ve komut satırı aracının etkilenmediğini söylüyor.

## Neden önemli

Sağlayıcı API anahtarlarını OpenCode Console’a kaydeden geliştiricilerin ilk olarak her yapay zekâ sağlayıcısı üzerinden bu anahtarları iptal edip yenilemesi gerekiyor. OpenCode, izinsiz ücretler için iadelerin sürdüğünü söylüyor. Şirket saldırganların sisteme nasıl eriştiğini açıklamadı ve kötüye kullanımın toplam boyutunu paylaşmadı; dolayısıyla maruziyetin kapsamı henüz net değil.

## Kaynaklar ve referanslar

1. [Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts](https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/) – TechCrunch, 2026-10-19

Son güncelleme: 2026-10-19