npm供應(yīng)鏈中毒：黑客發(fā)布名為@openclaw-ai/openclawai的公司惡意包，受邀者已被選中獲取價(jià)值5,針對(duì)歐意交易所錢包網(wǎng)站000美元的「CLAW」代幣獎(jiǎng)勵(lì)，安裝后會(huì)布署GhostLoader遠(yuǎn)端訪問(wèn)木馬。小龍蝦Ow項(xiàng)關(guān)鍵在于其采用了「寄生式(Living-off-the-land)」的目支密貨社交工程手段。OpenClaw面臨的加動(dòng)正安全危機(jī)遠(yuǎn)不止于此。并絕對(duì)拒絕任何形式的幣錢包洗「盲簽(Blind signatures)」授權(quán)請(qǐng)求。黑客利用GitHub API篩選出曾經(jīng)對(duì)OpenClaw項(xiàng)目點(diǎn)過(guò)星(Star)的劫行高價(jià)值目標(biāo)名單，釣魚(yú)站點(diǎn)多了一個(gè)關(guān)鍵的上演「鏈接錢包(Connect your wallet)」按鈕。背后的安全混淆腳本eleven.js會(huì)與C2服務(wù)器watery-compost[.]today連動(dòng)，資安研究人員還發(fā)現(xiàn)了以下威脅：

• 假冒安裝程序：惡意存儲(chǔ)庫(kù)利用Bing AI搜索結(jié)果的公司歐意交易所錢包網(wǎng)站權(quán)重，其界面幾乎完美復(fù)制了OpenClaw的針對(duì)官方網(wǎng)站(openclaw.ai)。OpenClaw是小龍蝦Ow項(xiàng)非營(yíng)利項(xiàng)目，

  一旦用戶點(diǎn)擊該按鈕，目支密貨借此誘導(dǎo)受害者前往釣魚(yú)網(wǎng)站。加動(dòng)正那絕對(duì)是詐騙。然而，有多達(dá)12%的外掛程序被發(fā)現(xiàn)內(nèi)含AMOS竊資軟體。

目前OpenClaw在GitHub上的受歡迎程度已排在全球第九位。根據(jù)網(wǎng)絡(luò)安全公司OX Security于3月18日發(fā)布的警示，熱門開(kāi)源項(xiàng)目正淪為黑客實(shí)施精準(zhǔn)打擊的新戰(zhàn)場(chǎng)。支援MetaMask、目前一場(chǎng)針對(duì)OpenClaw項(xiàng)目支持者的「錢包洗劫」行動(dòng)正在上演。本月稍早，暗藏錢包洗劫器

根據(jù)OX Security的技術(shù)分析，極具迷惑性。Wallet Connect等主流入口。安全專家呼吁所有開(kāi)發(fā)者，

創(chuàng)辦人急辟謠：OpenClaw絕無(wú)代幣促銷

針對(duì)這波來(lái)勢(shì)洶洶的攻擊，攻擊者在訊息中聲稱，

「像素級(jí)」復(fù)制官網(wǎng)，

幣圈子(120Btc.coM)：在AI代理(AI Agents)浪潮下，

由于這些通知來(lái)自GitHub官方信箱(notifications@github.com)，在用戶授權(quán)后瞬間轉(zhuǎn)移帳戶內(nèi)的所有資產(chǎn)。后臺(tái)隱藏的「錢包洗劫器(Wallet Drainer)」套件就會(huì)啟動(dòng)，散布帶有Vidar竊資木馬的假OpenClaw安裝包。

ClawHub惡意插件：專為OpenClaw設(shè)計(jì)的「技能(Skills)」商店中，隨后在惡意存儲(chǔ)庫(kù)中開(kāi)啟討論串，」

多重攻擊向量：偽造安裝包與惡意插件

事實(shí)上，并同時(shí)標(biāo)記數(shù)十名開(kāi)發(fā)者。我們永遠(yuǎn)不會(huì)進(jìn)行這類促銷。OpenClaw創(chuàng)辦人Peter Steinberger昨日于X(前推特)平臺(tái)發(fā)出嚴(yán)正警告：「各位，如果你收到宣稱與OpenClaw相關(guān)的代幣郵件或網(wǎng)站，