Hackers estão roubando tokens do Claude de assinantes

Em 4 de agosto, Grant De Swardt, um consultor independente de IA em East Sussex, no Reino Unido, percebeu algo estranho acontecendo com sua conta Claude Max 20x. Ele não havia trabalhado naquele dia, mas o uso de tokens não parava de subir.

No dia seguinte, ele desativou tudo o que havia conectado ao Claude e não trabalhou com a ferramenta. O consumo de tokens aumentou novamente. “No intervalo controlado mais claro, subiu de 45% para 55% enquanto eu não realizava nenhum trabalho, as tarefas agendadas do Cowork estavam pausadas ou concluídas, a execução via Dispatch/nuvem estava desativada e não havia nenhuma tarefa correspondente do Claude Code local ativa”, disse De Swardt ao TechCrunch.

O que estava consumindo sua franquia de tokens? Ele não fazia ideia, então entrou em contato com a Anthropic e pediu uma lista detalhada. A Anthropic não forneceu uma lista, mas concordou que algo estava errado. A empresa suspendeu sua conta paga, invalidou todas as suas sessões e tokens do Claude Code no lado do servidor, e emitiu um reembolso parcial de £ 44,49 pelo tempo restante de sua assinatura de US$ 200 por mês.

A suspensão causou estragos em seu negócio, disse ele ao TechCrunch. O trabalho dele é ajudar pequenas e médias empresas a configurar agentes — uma espécie de engenheiro avançado sob demanda — para tarefas como carregar automaticamente dados de pedidos de compra de e-mails para o software de contabilidade.

Como autônomo, ele também depende de agentes em todo o seu negócio: tarefas administrativas diárias, design de sites, programação. “É como se tudo estivesse rodando através de IA hoje em dia”, afirmou.

Após investigar, a Anthropic disse a De Swardt que encontrou o culpado: uma chave de sessão do Claude comprometida foi usada para gerar tokens OAuth do Claude Code não autorizados. A empresa lhe disse que a conta “parecia ter sido usada por um serviço de terceiros de aparência não autorizada para gerenciar atividades de outras pessoas, mas eles não puderam determinar como o acesso foi obtido”, contou De Swardt ao TechCrunch. “Eles dizem que a evidência é consistente tanto com credenciais/dados de sessão sendo obtidos sem o meu conhecimento quanto com a conta ter sido conectada a um serviço externo.”

Em outras palavras, um hacker conseguiu acesso à conta de De Swardt e estava desviando furtivamente seus tokens. Como o suporte de contas monitora o uso total, mas não o uso detalhado, mesmo mediante solicitação, esse tipo de roubo poderia ter passado mesesundetectado.

Ele publicou sua experiência no Reddit e, após 80 comentários, descobriu que não estava sozinho. Uma pessoa afirmou que sua conta “foi atualizada automaticamente sem o meu consentimento, meu cartão de crédito foi cobrado e o uso disparou de 0% para 100% automaticamente, sem que eu sequer tocasse nela”. Outra viu o uso saltar de 0 a 49% em 12 minutos, sendo que tudo o que havia feito era usar um par de prompts e uma busca na web.

Um usuário do Claude disse que sua conta esgotava o limite máximo de tokens todos os dias durante três dias sem que ele a usasse absolutamente nada; essa pessoa então criou um relato no GitHub sobre o assunto. Assim como na postagem do Reddit, outros usuários compartilharam experiências semelhantes por lá também.

Dois deles publicaram e-mails da Anthropic onde a empresa — para seu mérito — havia identificado e avisado que seus tokens estavam sendo roubados.

“Recentemente tomamos conhecimento de um agente mal-intencionado que está usando malware comum do tipo infostealer para roubar sessões de login do Claude dos computadores das pessoas, usando essas sessões de login para acessar as contas do Claude e consumir seu uso”, dizia o e-mail. Infostealers são um tipo de malware que se instala no computador do usuário e rouba senhas salvas, dados de sessão e credenciais de login.

Quando a Anthropic detectou atividade suspeita, desconectou os usuários, invalidou as autorizações existentes, emitiu alguns reembolsos e os alertou de que poderiam estar com malware.

A empresa também afirmou que o malware não veio do uso do Claude em si. Esse tipo de malware pode ser adquirido de várias fontes online, desde o download de software infectado até o clique em anúncios infectados.

A Anthropic não enviou a De Swardt um desses e-mails. Ele insiste que não encontrou nenhuma evidência de que seu computador tenha sido comprometido e diz que ainda não tem como determinar como os hackers obtiveram acesso.

A conta do Claude de De Swardt foi reativada após cerca de duas semanas. Mas a dificuldade de obter ajuda rápida para o problema, somada à falta de um detalhamento de uso, o deixou desiludido com o Claude. Ele cancelou sua assinatura em favor do Cursor e de sua capacidade de usar múltiplos modelos, incluindo opções de código aberto mais acessíveis.

Em sua experiência, esses outros modelos funcionam tão bem quanto o Claude. “Não é tão diferente ou melhor assim”, disse ele, acrescentando que não consegue se ver voltando “sem que [a Anthropic] realmente tenha resolvido o problema de alguma forma.”

Ele diz que a Anthropic ainda carece de ferramentas que permitam aos usuários ver o que está consumindo seus tokens. “Eu acho que não há nenhuma maneira dessas pessoas se protegerem.”

Quando solicitada a fornecer informações sobre como os usuários podem identificar o uso indevido, a Anthropic recusou-se a comentar.