Anthropic lekte op 31 maart 2026 voor de tweede keer in dertien maanden de volledige broncode van Claude Code. Dit keer grepen criminelen hun kans direct.
Binnen uren stonden er vergiftigde GitHub-repositories online die de gelekte code gebruiken om ontwikkelaars te infecteren met twee gevaarlijke soorten malware. Het lek is niet het begin van een verhaal, het is het voorlopige dieptepunt van een patroon.
Wat ging er precies mis bij Anthropic?
Op 31 maart 2026 verscheen de volledige broncode van Claude Code op het openbare internet. Anthropic had per ongeluk een 59,8 MB groot JavaScript source map-bestand meegeleverd in versie 2.1.88 van het publieke npm-pakket @anthropic-ai/claude-code.
Zo'n source map-bestand is een debugginghulpmiddel dat minified productiecode terugkoppelt naar de originele, leesbare broncode. Niemand hoefde iets te hacken. Het bestand stond er gewoon.
Het resultaat: 513.000 regels onversleutelde TypeScript verdeeld over 1.906 bestanden, inclusief de volledige orchestratielogica, interne beveiligingssystemen en tientallen niet-gepubliceerde functies.
VentureBeat beschrijft hoe de code binnen uren door duizenden ontwikkelaars werd gespiegeld en geanalyseerd, terwijl Anthropic's DMCA-verzoeken de snelheid van de verspreiding niet konden bijhouden. De code staat anno april 2026 nog steeds op tientallen actieve mirrors.
Anthropic en wat er die week nog meer misging
Het lek van 31 maart was niet het eerste incident van die week. Vijf dagen eerder, op 26 maart, liet een verkeerde CMS-configuratie bij Anthropic circa 3.000 interne bestanden uitlekken met details over het nog niet aangekondigde model "Claude Mythos". Ook dat werd toegeschreven aan menselijke fouten in het releaseproces.
Bovendien vond op exact dezelfde dag als het broncode-lek een afzonderlijke supply chain-aanval plaats. Tussen 00:21 en 03:29 UTC op 31 maart circuleerde een gemanipuleerde versie van het populaire npm-pakket axios met daarin een Remote Access Trojan.
The Hacker News documenteerde hoe ontwikkelaars die Claude Code op dat moment installeerden of updaten via npm, mogelijk tegelijkertijd deze trojan binnenhaaldeen. Wie dat tijdvenster trof, heeft twee acute problemen: de blootstelling via axios én de malwarecampagne die het broncode-lek als lokaas gebruikt.
De valstrik: vergiftigde GitHub-repositories
Terwijl Anthropic nog bezig was de schade te beperken, handelden criminelen al. Het ThreatLabz-team van Zscaler trof op GitHub repositories aan met namen als "Claude Code leak". Ze beloofden een herbouwde versie waarbij alle betaalde bedrijfsfuncties zouden zijn "ontgrendeld" en berichtlimieten weggevallen. Het bijbehorende ZIP-archief, genaamd "Claude Code - Leaked Source Code (.7z)", bevatte een Rust-gebaseerde dropper: ClaudeCode_x64.exe.
Uit de ThreatLabz-analyse van Zscaler blijkt dat de repositories actief werden geoptimaliseerd voor zoekmachines en hoog verschenen bij zoekopdrachten als "leaked Claude Code" in Google. De drempel voor nieuwsgierige ontwikkelaars was daardoor opvallend laag. Zscaler observeerde ook dat het kwaadaardige archief in korte tijdspannes meerdere keren werd bijgewerkt, wat erop wijst dat de aanvallers actief experimenteren met nieuwe payloads.
Vidar en GhostSocks: wat deze malware werkelijk doet
De dropper installeert twee payloads: Vidar v18.7 en GhostSocks. Vidar is een zogenoemde infostealer die razendsnel inloggegevens, cryptowallets, browsergeschiedenissen en sessietokens buitmaakt. GhostSocks is een SOCKS5-proxy die het geïnfecteerde systeem omvormt tot doorgeefluik voor het netwerkverkeer van de aanvaller, zodat die zijn sporen wist via jouw verbinding.
Die combinatie is bewust. Vidar levert directe toegang tot accounts en financiële systemen. GhostSocks maakt forensisch onderzoek achteraf een stuk complexer, en kan jouw systeem ook betrekken bij aanvallen op derden. Samen zorgen ze ervoor dat de schade groot is én lang onzichtbaar blijft. BleepingComputer bevestigt dat minstens twee van de kwaadaardige repositories nog steeds actief waren ten tijde van publicatie, ondanks meldingen bij GitHub.
Anthropic en veiligheid: dit is de tweede keer
Dit is precies waar het patroon pijnlijk zichtbaar wordt. Het lek van 31 maart 2026 is niet de eerste keer dat Anthropic op deze manier de fout in ging. In februari 2025, dertien maanden eerder, vond een vrijwel identiek source map-lek plaats bij een eerdere versie van Claude Code. Dezelfde oorzaak: een source map-bestand dat per ongeluk werd meegeleverd in het npm-pakket.
Anthropic bevestigde de fout aan VentureBeat met de verklaring dat het ging om "a release packaging issue caused by human error, not a security breach" en dat maatregelen worden uitgerold om herhaling te voorkomen. Die belofte had het bedrijf in 2025 ook al gedaan.
Het wrange detail: Claude Code wordt intern bij Anthropic zelf intensief ingezet voor het schrijven van code. Boris Cherny, hoofd van Claude Code, schreef in december 2025 dat 100% van zijn bijdragen aan het project in de voorgaande dertig dagen waren geschreven door Claude Code zelf. De vraag dringt zich op: heeft het AI-tool meegewerkt aan de release die vervolgens zijn eigen broncode lekte?
Een vergelijkbare dynamiek zagen we eerder in de AI-sector, maar dan met andere tools als lokaas. Securitybedrijf Huntress waarschuwde in februari 2026 al voor een identieke aanvalscampagne waarbij nep-installatiepakketten voor het AI-platform OpenClaw via GitHub werden verspreid. De aanvallers gebruikten exact dezelfde techniek: Rust-gebaseerde dropper, Vidar als infostealer, GhostSocks als proxy. Dezelfde actoren, dezelfde methode, nu met een nieuwe naam als lokaas.
Wat kun jij als ontwikkelaar of IT-verantwoordelijke nu doen?
De schade is al aangericht voor wie op het verkeerde moment klikte, maar de aanvalscampagne loopt nog. Dit zijn de concrete stappen die je nu neemt:
- Download of kloon geen GitHub-repositories die zichzelf aanbieden als de "Claude Code leak", hoe legitiem ze ook eruitzien.
- Heb je Claude Code via npm geïnstalleerd of geüpdatet op 31 maart 2026 tussen 00:21 en 03:29 UTC? Controleer direct je lockfiles op axios versie 1.14.1 of 0.30.4 en het pakket
plain-crypto-js, downgrade naar een veilige versie en roteer alle secrets. - Wacht met het installeren van nieuwe of onbekende npm-pakketten totdat ze breed zijn gevalideerd. Aanvallers reserveren al typosquatting-namen die lijken op interne Claude Code-afhankelijkheden.
- Monitor ontwikkelomgevingen op afwijkend netwerkverkeer of ongewone lokale processen, GhostSocks is ontworpen om onopgemerkt te blijven.
- Installeer Claude Code voortaan via de officiële native installer van Anthropic, niet via npm.
Vidar kan binnen enkele minuten toegang geven tot bedrijfsaccounts, sessietokens en financiële systemen. Dat rechtvaardigt directe actie, geen afwachtende houding.
Conclusie
Twee lekken in dertien maanden, een CMS-incident vijf dagen eerder, een gelijktijdige supply chain-aanval en een actieve malwarecampagne bovenop. Anthropic beloofde na 2025 dat het niet opnieuw zou gebeuren. De vraag die de sector nu stelt: hoeveel beloftes zijn er nodig voordat de processen echt veranderen?
