Ele dormiu. Quando abriu os olhos de manhã, havia quatrocentos dólares a mais na conta.
Não digitou uma linha de código. Nem ligou o computador. Aqueles quatrocentos dólares foram gastos enquanto ele dormia, por alguém que usou a conta dele.
Naquela noite, já tarde, em dezessete de outubro, uma empresa de ferramentas de programação de código aberto começou a enviar e-mails para quem já as tinha usado. O assunto era curto. Pedia ação imediata. Dizia que as chaves de serviços de terceiros talvez tivessem sido expostas.
O segundo e-mail chegou de madrugada e dizia quais eram os serviços: OpenAI, Anthropic e Google.
As pessoas afetadas representavam um vírgula quatro por cento das contas do painel online da empresa. O número não parece grande. Mas, para quem foi atingido, era tudo.
O problema estava num lugar: os invasores acessaram um sistema antigo que estava sendo desativado. Os primeiros indícios remontam à noite do dia dezesseis, e essas pessoas só receberam o primeiro e-mail vinte e duas horas depois. Vinte e duas horas dão para fazer quantas chamadas? Para gastar todo o limite? Para que alguém conclua tudo antes de você abrir os olhos?
Onde estava o problema? Num canto que todos achavam que já tinha sido desligado. Por quê? Porque não constava na lista de ninguém e, quando algo dava errado, ninguém pensava nele de imediato.
Muita gente acha que as chaves são adivinhadas ou descobertas na força bruta. Não é assim. Na maioria esmagadora dos casos, nem é preciso quebrar nada para obter as chaves. Elas ficam num lugar para o qual ninguém mais olha, mas a porta continua aberta. Você tira as chaves do sistema principal, marca o sistema como prestes a ser desativado e depois esquece que ele ainda está funcionando.
A empresa não deu uma resposta definitiva sobre quem deixou esse sistema antigo abandonado por tanto tempo sem que ninguém percebesse.
Um desenvolvedor contou que primeiro recebeu um alerta de limite da Anthropic e só depois uma notificação da empresa da ferramenta. A ordem foi inversa. Quem cobrava percebeu antes de quem pagava. A conta de Google Cloud de alguém foi usada até acumular duzentos euros, e o projeto foi suspenso por abuso. Outra pessoa disse que o limite mensal de vinte dólares tinha acabado.
Sobre a possibilidade de reembolso, a empresa só disse que está conversando com as três. Não soa exatamente como uma promessa. Também não está claro se os dados foram usados para treinar outros modelos. Eles chamam isso de ataque de destilação em larga escala. Só a investigação dirá se essa descrição procede.
A forma desse problema é bem familiar no mundo cripto.
Na sua carteira, há um monte de autorizações. Em dois mil e vinte e um, algum site tinha aquela autorização ilimitada. Na época, era para tentar entrar numa lista de permissões. Você clicou, achou até que tinha sido rápido, e no dia seguinte já tinha esquecido o nome do site. Mas o endereço do contrato continuou ali, vinculado à sua carteira, esperando alguém bater à porta. Naquele momento, nem passou pela sua cabeça revogar a autorização.
A equipe do projeto já sumiu. A autorização continua lá. Você não se lembra. A blockchain, sim.
É a mesma coisa que guardar uma chave num painel administrativo que já foi desativado.
No ano passado, trocaram uma versão de um componente de conexão web muito usado. Em poucas horas, as carteiras de várias pessoas foram esvaziadas, antes mesmo de dar tempo de denunciar. Ninguém o quebrou. Só trocaram uma versão. Você nem perceberia. Na hora de assinar, a interface ainda dizia exatamente o que dizia antes.
Venho pensando nisso há bastante tempo. A segurança não deveria ser avaliada pelo que é novo ou velho. As coisas novas têm gente de olho o tempo todo; nas antigas, ninguém presta atenção. No fundo, é só isso. Os sistemas no meio do processo de desativação são os mais perigosos: não estão mais na lista de manutenção, mas também não morreram de vez. Todo mundo acha que vão desaparecer sozinhos.
E então, o que fazer? Aqui vai algo concreto. Abra sua carteira e vá até a página mais antiga da lista de autorizações. Se encontrar alguma que não reconhece, revogue-a. Se você se cadastrou numa corretora há três anos e nem lembra mais a senha, entre lá e apague de vez as chaves de API, especialmente as que permitem sacar fundos. Anote a frase-semente à mão; não tire foto para guardar na galeria do celular.
Não leva nem dez minutos.
Dez minutos para fechar uma porta de entrada que você provavelmente já esqueceu que existia.
Vale muito a pena.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #cripto