OpenCode 해킹: 사용자 인증 정보 유출

Hacker News 의견들 이 글의 작성자임. OpenCode 팬이나 팀은 글이 HN 첫 페이지에 올라온 게 달갑지 않은 듯하며, 이미 여러 차례 신고된 상태임. 평소 추천을 부탁하지 않지만, 이번에는 추천해 주면 좋겠음. “여러 사람이 신고했다”는 건 어떻게 확인했나요? 제목은 “OpenCode”가 아니라 OpenCode Console이어야 함. openchode 해킹 때문에 OpenAI 사용 가능량이 무서운 속도로 소진되거나 사라진다는 불평이 쏟아진 건가요? 솔직히 좀 웃기기도 함. 이곳 일부 직원이 온라인에서 글을 쓰고 행동하는 모습을 보면 그다지 안타깝지는 않음. 모든 API 키 시스템에 invalidate_api_key 엔드포인트가 있어야 한다고 봄. 그러면 키가 유출됐을 때 화이트햇 해커나 키를 보관하던 쪽에서 전부 무효화할 수 있음. 지금은 시간과의 싸움인데, 각자 이메일을 받고 직접 대응해야 함. 간접적이고 편법에 가깝지만 실제로 가능한 방법이 있음. GitHub 비밀정보 검사 제휴사의 키를 공개 저장소나 gist에 올리면 해당 업체로 전달되고, 대개 즉시 폐기됨. 누군가를 도우려면 키를 공개 gist에 올렸다가 약 15초 뒤 삭제하는 것만으로 충분함. https://docs.github.com/en/code-security/reference/secret-se...에 현재 제휴사 목록이 있음. https://news.ycombinator.com/item?id=50108261 VirusTotal이 탐지한 이유가 이거였나 봄. 침해된 건 호스팅 서비스뿐이고, 사용자가 자기 컴퓨터에서 실행하는 오픈소스 OpenCode 바이너리는 아닌 듯함. 따라서 그 탐지 결과를 설명해 주지는 못함. Anthropic·Google·OpenAI의 자체 API 키를 등록한 OpenCode Zen 사용자 일부만 영향을 받았다는 이해가 맞나요? 결국 OpenRouter처럼 자기 키를 가져오거나 서비스 측 키를 쓰면서 토큰 요금을 내는 방식으로 OpenCode Zen을 이용한 건가요? 지금까지 알려진 영향은 그게 전부임. 하지만 키가 노출된 경위를 모르므로, 왜 또는 어떻게 “키만” 영향을 받았다는 건지는 확실하지 않음. 왜 내 작업 공간의 API 키가 노출된 건가요? OpenCode가 내 API 키를 자기들 백엔드 서버로 보내나요? opencode 프로그램 자체가 감염된 공급망 공격이었나요? 대체 무슨 일이 벌어진 건가요?...