Hackers desviam tokens do Claude por meio de malware e falha de visibilidade

No dia 4 de agosto, o consultor independente de inteligência artificial Grant De Swardt, baseado em East Sussex, no Reino Unido, detectou um consumo anômalo de processamento em sua assinatura corporativa do Claude Max 20x, serviço mantido pela Anthropic com custo fixo de US$ 200 mensais. Mesmo sem executar fluxos de trabalho na plataforma naquela data, o profissional observou que o medidor de tokens continuava subindo continuamente no painel de controle.

Para isolar a causa técnica, Grant De Swardt desativou todas as integrações de software acopladas à infraestrutura da Anthropic no dia seguinte e interrompeu qualquer requisição ativa. Sob monitoramento controlado, o consumo de recursos computacionais saltou de 45% para 55% sem nenhuma tarefa agendada no Cowork, com a execução em nuvem via Dispatch desligada e na ausência completa de instâncias locais do Claude Code em execução.

Diante do consumo fantasma em seu plano de US$ 200 por mês, o consultor solicitou ao suporte técnico da Anthropic uma discriminação detalhada e auditável de consumo por IP e horário, mas a desenvolvedora admitiu a anomalia sem fornecer a telemetria detalhada. Como medida de contenção imediata, a fornecedora suspendeu a conta de Grant De Swardt, revogou sessões ativas e emitiu um reembolso proporcional de £ 44,49 pelo período não utilizado da assinatura.

O caso de Grant De Swardt

A suspensão abrupta imposta pela equipe de segurança da Anthropic paralisou a operação profissional de Grant De Swardt em East Sussex, cuja consultoria constrói agentes autônomos para pequenas e médias empresas. O fluxo de trabalho de seus clientes depende de rotinas automatizadas que leem faturas comerciais em caixas de e-mail e injetam os dados financeiros diretamente em sistemas contábeis.

Por operar como profissional autônomo sem equipe técnica de apoio, o consultor utilizava o modelo Claude para praticamente todos os pilares da sua empresa, desde rotinas administrativas diárias até programação de scripts e manutenção visual de sites. Nas palavras concedidas ao TechCrunch, Grant De Swardt sintetizou a gravidade da interrupção:

Like everything is just running through AI these days.

A investigação preliminar conduzida pelos engenheiros da Anthropic apontou que uma chave de sessão web legítima de Grant De Swardt havia sido comprometida e reaproveitada externamente para emitir novos tokens OAuth do utilitário Claude Code. Esse mecanismo de autenticação delegada permitiu que os atacantes operassem requisições em larga escala sob a cota paga da vítima sem acionar imediatamente alertas de senha incorreta.

A mecânica dos infostealers

Em comunicações oficiais enviadas a outros clientes afetados, a Anthropic detalhou que grupos cibercriminosos vêm empregando malwares do tipo infostealer para roubar cookies de navegação e arquivos de sessão persistente salvos em computadores locais. Diferente de ataques de força bruta contra senhas, essa técnica extrai diretamente os identificadores de autorização já validados nos navegadores, viabilizando o sequestro de contas sem a necessidade de reautenticação em duas etapas.

A desenvolvedora do Claude destacou categoricamente que o vetor de infecção não se originou de vulnerabilidades em seu próprio código de back-end ou front-end. Segundo a Anthropic, a contaminação por infostealer ocorre tipicamente por downloads de binários adulterados em redes de terceiros, instaladores piratas ou campanhas de anúncios maliciosos em mecanismos de busca convencionais.

De acordo com o relato do consultor de East Sussex, a equipe de suporte da Anthropic comunicou que a conta parecia ter sido redirecionada para alimentar um serviço de terceiros não autorizado, o qual terceirizava capacidade computacional para outros usuários sem o consentimento do titular. A empresa de inteligência artificial admitiu textualmente que as evidências técnicas eram consistentes tanto com o furto furtivo de dados de sessão quanto com a vinculação indevida da conta a pontes externas de processamento.

They say the evidence is consistent either with credentials/session data being taken without my knowledge, or with the account having been connected to an outside service.

Reclamações na comunidade

Ao compartilhar o incidente na plataforma Reddit, Grant De Swardt reuniu mais de 80 comentários de desenvolvedores que enfrentavam sintomas idênticos de evasão de créditos no ecossistema da Anthropic. Um dos usuários relatou que sua assinatura sofreu um upgrade tarifário automático sem autorização prévia, com cobrança no cartão de crédito cadastrado e salto de consumo de 0% para 100% de forma instantânea e sem intervenção manual.

Em outro caso documentado no mesmo tópico do fórum, uma conta registrou consumo abrupto de 0% para 49% da cota disponível em apenas 12 minutos de intervalo. A atividade legítima do proprietário nesse período havia se limitado ao envio de dois prompts de texto curtos e uma única consulta de navegação na web pela interface padrão do Claude.

A extensão da anomalia também foi registrada em repositórios do GitHub, onde um assinante documentou que sua conta esgotou a totalidade dos tokens diários permitidos durante três dias consecutivos sem que houvesse qualquer linha de código ou requisição submetida localmente. Esse usuário abriu um tíquete público de rastreamento no repositório de ferramentas da Anthropic para alertar outros programadores que utilizavam ambientes automatizados.

A resposta da Anthropic aos casos notificados via GitHub envolveu o envio de avisos formais por correio eletrônico, confirmando a ação de agentes maliciosos que exploram sessões ativas roubadas de computadores pessoais para drenar cotas computacionais de modelos avançados:

We have recently become aware of a bad actor that is using common infostealer malware to steal Claude login sessions from people’s computers, then using those login sessions to access Claude accounts and consume their usage.

Falta de visibilidade

Apesar da ação corretiva nos casos identificados, Grant De Swardt ressaltou que não recebeu essa notificação preventiva da Anthropic e afirmou não ter encontrado vestígios de infecção por software malicioso em seu equipamento de trabalho. Para o consultor, a ausência de um painel analítico com discriminação detalhada de requisições, registros de conexão e endereços IP impede que os assinantes realizem auditorias independentes sobre onde seus tokens estão sendo gastos.

Como o console administrativo da Anthropic consolida o uso apenas em porcentagens agregadas ou métricas brutas de faturamento — omitindo registros de chamadas por chave de OAuth —, abusos perpetrados por invasores podem passar despercebidos durante semanas em assinaturas de alto volume. Ao ser questionada pelo TechCrunch sobre métodos ou ferramentas para que assinantes identifiquem apropriação indébita de consumo em tempo real, a Anthropic recusou-se a comentar.

A conta corporativa de Grant De Swardt permaneceu inacessível por cerca de duas semanas até que a Anthropic autorizasse a reintegração cadastral do plano. A demora no atendimento e a indisponibilidade de ferramentas de proteção interna levaram o consultor a encerrar em definitivo a sua assinatura de US$ 200 mensais no serviço:

I don’t think there’s any way that these people can protect themselves.

Migração para o Cursor

Após rescindir o contrato com a Anthropic, Grant De Swardt transferiu suas tarefas de desenvolvimento para o editor Cursor, plataforma que possibilita alternar requisições entre diferentes modelos de linguagem do mercado e integrar modelos de código aberto financeiramente mais vantajosos. Na avaliação comparativa do profissional, os modelos concorrentes integrados ao ambiente executam tarefas de automação com eficácia técnica equivalente à da família de modelos proprietários da antiga fornecedora.

Para fundamentar sua decisão comercial de não retornar à plataforma do Claude sem mudanças estruturais de segurança na gestão de tokens, Grant De Swardt declarou ao TechCrunch que não vê justificativa técnica para tolerar riscos operacionais sem a devida transparência:

It’s not that much different or better.

A dependência de ferramentas de inteligência artificial em estruturas enxutas de engenharia de software expõe fragilidades quando os provedores não entregam visibilidade transacional equivalente à de provedores de computação em nuvem consolidados. O reembolso parcial de £ 44,49 concedido pela Anthropic solucionou a pendência contábil pontual, mas o caso expôs brechas graves no gerenciamento de tokens e na segurança de credenciais em plataformas de inteligência artificial generativa.