OpenCode 于当地时间 10 月 17 日对外确认，前一晚发生了一起与大规模“蒸馏攻击”相关的安全事件，波及范围约为其 Console 用户的 1.4%。公司表示，已在 17 日上午通过电子邮件逐一通知受影响用户，未收到邮件者即不在本次事件影响范围内；受影响对象仅限于关联了外部服务提供商的部分用户。

据公开信息，攻击者未经授权访问了 OpenCode 一个正处于停用流程中的旧系统。该公司提示，用户工作区中保存的 API 密钥——包括 OpenAI、Anthropic 等厂商的密钥——可能已经泄露。密钥一旦被他人掌握，便可冒用账户持有者身份发起请求，进而产生相应费用。OpenCode 称事件仍在处置中，暂无法披露更多细节，目前正与 Anthropic、OpenAI 和谷歌合作推进补救措施。

用户侧的实际损失已在讨论中浮现。有用户表示，其 Anthropic 账户出现 400 美元（约合 2679 元人民币）的未经授权扣费；另一名用户称谷歌服务费用达到约 200 欧元（约合 1505 元人民币），相关项目还因“过度滥用”被暂停。还有用户提到，在收到 OpenCode 的安全通知之前，就已先收到来自 OpenAI 和 Anthropic 的相关提示。

对依赖第三方 API 的开发者而言，此次事件的核心风险在于密钥托管环节：旧系统虽已进入停用流程，但其中的凭据仍可能被利用。在官方给出进一步说明前，受影响用户应尽快轮换相关密钥并核查账单异常，未受影响的用户也需关注后续进展。