Хакеры воруют токены у подписчиков Claude через инфостилеры

Независимый ИИ-консультант из Восточного Суссекса Грант Де Свардт заметил неладное 4 августа: его аккаунт Claude Max 20x расходовал токены, хотя сам он в этот день не работал. На следующие сутки он отключил всё, что было подключено к сервису, приостановил или завершил запланированные задачи, выключил облачное исполнение — и всё равно потребление выросло с 45% до 55% без единой активной задачи.

Не понимая, что съедает лимит, он запросил у Anthropic детальную разбивку. Компания её не предоставила, но согласилась, что что-то не так: приостановила платный аккаунт, аннулировала все сессии и серверные токены Claude Code и вернула часть денег — £44.49 за остаток месяца при подписке в $200.

Скомпрометированная сессия

После расследования Anthropic сообщила, что причиной стал похищенный ключ сессии, с помощью которого злоумышленник выпускал несанкционированные OAuth-токены Claude Code. По словам Де Свардта, аккаунт «выглядел так, будто им пользовался сторонний сервис, обслуживающий чужую активность», но как именно был получен доступ, установить не удалось.

Суть проблемы в том, что поддержка отслеживает лишь суммарный расход токенов, но не разбивку по операциям — даже по запросу. Поэтому подобная кража могла оставаться незамеченной месяцами.

Пострадавший не один

Де Свардт описал случай на Reddit и под 80 комментариями обнаружил, что не одинок. Один пользователь рассказал, что его тариф «автоматически повысили без согласия», списали деньги с карты, а расход подскочил с 0% до 100%. У другого лимит вырос с 0 до 49% за 12 минут, хотя он лишь отправил пару запросов. Ещё один сообщил на GitHub, что аккаунт трое суток подряд полностью выжигал дневной лимит без его участия.

Двое приложили письма от Anthropic, где компания сама предупредила о краже. «Нам стало известно о злоумышленнике, который использует распространённое вредоносное ПО-инфостилер, чтобы красть сессии входа Claude с компьютеров людей», — говорилось в письме. При подозрительной активности Anthropic разлогинивала пользователей, отзывала авторизации, частично возвращала деньги и предупреждала о возможном заражении. Компания подчёркивает, что вредонос попадает не через сам Claude, а из сторонних источников — заражённого софта или рекламы.

Де Свардту такого письма не прислали. Он утверждает, что следов компрометации на своём компьютере не нашёл, а способа выяснить, как получили доступ, у него нет. Аккаунт восстановили примерно через две недели, но история и отсутствие детализации расхода охладили его к сервису: он перешёл на Cursor, где можно использовать разные модели, включая более дешёвые открытые. По его словам, они работают не хуже.

На просьбу TechCrunch объяснить, как пользователям выявлять злоупотребления, Anthropic отвечать отказалась.

Источник: TechCrunch