Хакери зламали акаунти платних користувачів Claude і вкрали їхні токени

Користувачі платного тарифу Claude Max помітили підозрілу активність у своїх акаунтах: токени витрачалися самі по собі, навіть коли люди не користувалися сервісом. Першим про проблему розповів незалежний консультант із питань штучного інтелекту Грант де Свардт.

Четвертого серпня де Свардт виявив, що його ліміт токенів у тарифі Claude Max 20x зростає без жодних дій з його боку. Відключення всіх підключених функцій і зупинка запланованих завдань не допомогли — витрати продовжили збільшуватися з 45% до 55%.

Anthrop­ic, компанія-розробник Claude, підтвердила, що з акаунтом відбувалося «щось підозріле». Компанія заблокувала платний обліковий запис, завершила всі активні сеанси й скасувала токени Claude Code, створені без дозволу власника. За залишок підписки вартістю 200 доларів на місяць де Свардт отримав часткове відшкодування в розмірі 44,49 фунта стерлінгів.

Аналогічні випадки почали описувати й інші користувачі. Деякі повідомляли, що їхній ліміт за лічені хвилини або дні самостійно зростав із нуля до 100% — тобто весь місячний ресурс витрачався без їхнього відома.

Пізніше Anthrop­ic пояснила механізм атаки: зловмисники отримали доступ до ключів сеансів Claude. Саме це дозволяло їм діяти від імені законних власників акаунтів і безперешкодно використовувати їхні оплачені ліміти.