Токены Claude уводят через угнанные сессии

Лимиты подписчиков Claude Max выжигает кто-то посторонний, пишет TechCrunch. Независимый консультант Грант Де Свардт заметил 4 августа рост расхода на аккаунте, с которым не работал: «В самом чистом контролируемом интервале он увеличился с 45% до 55%, пока я не выполнял никакой работы».

Anthropic согласилась, что расход ненормальный, приостановила его подписку за 200 долларов в месяц и обнулила сессии и серверные токены Claude Code. Причиной компания назвала скомпрометированный ключ сессии, через который выпускали неавторизованные OAuth-токены.

Другим пострадавшим Anthropic писала, что злоумышленник обычным инфостилером крадёт сессии входа в Claude с компьютеров пользователей. Детализацию расхода поддержка не даёт даже по запросу. Аккаунт Де Свардта восстановили примерно через две недели, он отменил подписку и перешёл на Cursor.