Хакеры крадут токены Claude у подписчиков

4 августа Грант Де Свардт, независимый консультант по ИИ из Восточного Суссекса, Великобритания, заметил нечто странное, происходившее с его аккаунтом Claude Max 20x. В тот день он не работал, однако расход токенов рос.

На следующий день он отключил всё, что подключил к Claude, и не работал с ним. Расход токенов снова увеличился. «В течение наиболее чётко контролируемого интервала он вырос с 45% до 55%, хотя я не выполнял никакой работы, запланированные задачи Cowork были приостановлены или завершены, выполнение через Dispatch/облако было отключено, и при этом не было соответствующей активной локальной задачи Claude Code», — рассказал Де Свардт TechCrunch.

Что расходовало его лимит токенов? Он понятия не имел, поэтому связался с Anthropic и попросил предоставить подробный список. Anthropic не предоставила его, но согласилась, что что-то не так. Компания приостановила его платный аккаунт, аннулировала все его сессии и серверные токены Claude Code, а также вернула ему £44.49 за оставшийся срок подписки стоимостью 200 долларов в месяц.

Приостановка серьёзно нарушила работу его бизнеса, рассказал он TechCrunch. Его работа заключается в том, чтобы помогать малому и среднему бизнесу настраивать агентов — своего рода наёмный инженер, работающий непосредственно на месте, — для таких задач, как автоматическая загрузка данных из заказов на поставку, полученных по электронной почте, в бухгалтерское программное обеспечение.

Как индивидуальный предприниматель, он также полагается на агентов во всех сферах своего бизнеса: для ежедневных административных задач, дизайна сайтов и программирования. «В наши дни буквально всё проходит через ИИ», — сказал он.

После расследования Anthropic сообщила Де Свардту, что обнаружила причину: скомпрометированный ключ сессии Claude использовался для создания несанкционированных токенов OAuth Claude Code. Компания сообщила ему, что аккаунт «по всей видимости, использовался похожим на несанкционированный сторонним сервисом для обработки активности других людей, однако установить, как этот сервис получил доступ, не удалось», — рассказал он TechCrunch. «Они говорят, что имеющиеся свидетельства согласуются либо с тем, что учётные данные/данные сессии были похищены без моего ведома, либо с тем, что аккаунт был подключён к внешнему сервису».

Иными словами, хакер смог получить доступ к аккаунту Де Свардта и тайно похищал его токены. Поскольку служба поддержки аккаунтов отслеживает общее использование, но не предоставляет детализацию даже по запросу, такая кража могла продолжаться месяцами и оставаться незамеченной.

Он опубликовал свой опыт на Reddit, и после 80 комментариев выяснилось, что он не один. Один человек заявил, что его аккаунт «был автоматически переведён на более дорогой тариф без моего согласия, с моей кредитной карты списали деньги, а показатель использования автоматически вырос с 0% до 100%, хотя я даже не прикасался к нему». У другого показатель использования вырос с 0 до 49% за 12 минут, хотя он использовал сервис лишь для пары запросов и веб-поиска.

Один пользователь Claude сообщил, что его аккаунт три дня подряд ежедневно расходовал весь максимальный объём токенов, хотя сам он вообще им не пользовался; после этого пользователь создал сообщение на GitHub. Как и в случае с публикацией на Reddit, другие пользователи также поделились там похожим опытом.

Двое из них опубликовали электронные письма от Anthropic, в которых компания — к её чести — сообщила им, что обнаружила кражу их токенов, и предупредила их об этом.

«Недавно мы узнали о злоумышленнике, который использует распространённое вредоносное ПО для кражи сессий входа в Claude с компьютеров людей, а затем использует эти сессии для доступа к аккаунтам Claude и расходования их лимитов», — говорилось в письме. Инфостилеры — это разновидность вредоносного ПО, которое устанавливается на компьютере пользователя и крадёт сохранённые пароли, данные сессий и учётные данные для входа.

Обнаружив подозрительную активность, Anthropic вышла из аккаунтов пользователей, аннулировала действующие авторизации, выплатила некоторые компенсации и предупредила их о возможном наличии вредоносного ПО.

Компания также заявила, что вредоносное ПО не было получено в результате использования самого Claude. Такое ПО можно случайно загрузить из множества источников в интернете — например, скачав заражённую программу или нажав на заражённую рекламу.

Anthropic не отправила Де Свардту такое письмо. Он настаивает, что не обнаружил никаких свидетельств взлома своего компьютера, и говорит, что до сих пор не может установить, как хакеры получили доступ.

Аккаунт Де Свардта в Claude восстановили примерно через две недели. Однако сложность быстрого получения помощи в этой ситуации, а также отсутствие детализации использования разочаровали его в Claude. Он отменил подписку и перешёл на Cursor, который позволяет использовать несколько моделей, включая более доступные варианты с открытым исходным кодом.

По его опыту, эти другие модели работают не хуже Claude. «Они не настолько отличаются или превосходят его», — сказал он, добавив, что не видит причин возвращаться «до тех пор, пока [Anthropic] каким-либо образом действительно не решит эту проблему».

Он говорит, что Anthropic по-прежнему не предоставляет инструментов, позволяющих пользователям видеть, на что расходуются их токены. «Я не думаю, что у этих людей вообще есть способ защитить себя».

Когда Anthropic попросили рассказать, как пользователи могут выявить неправомерное использование, компания отказалась от комментариев.