OpenClaw遭钓鱼攻击：$CLAW代币骗局引安全警报

核心提要：OpenClaw项目遭遇精心策划的钓鱼攻击，犯罪分子通过伪造GitHub议题与恶意JavaScript代码窃取钱包权限。平台已实施严格禁令，建议用户立即屏蔽相关域名并撤销授权。

OpenClaw项目遭针对性钓鱼攻击，欺诈性$CLAW赠品诱骗钱包授权

网络犯罪分子正利用伪造的$CLAW代币赠品活动，针对OpenClaw项目的贡献者展开定向攻击。其部署的恶意JavaScript脚本不仅会耗尽连接钱包中的资产，还具备清除浏览器本地数据的能力，以抹除数字痕迹。攻击手段包括伪造的GitHub议题、假冒代码仓库及对开发者的个性化提及，制造高度可信的假象。

攻击者借力开源生态构建信任陷阱

随着OpenClaw在开发者社区中影响力上升，其GitHub基础设施成为威胁行为者重点目标。攻击者创建虚假账户，提交诱导性议题，并直接点名开发者，以营造真实互动氛围。这些伪装站点声称提供价值5,000美元的$CLAW代币奖励，实则将用户引导至仿冒的官方页面，诱导其授权钱包连接，从而实现资金盗取。

该平台近期已由个人主导转向基金会治理模式，支持持久运行的AI代理执行自动化任务并与通信系统交互。这一转型虽提升了项目可信度，但也吸引了恶意利用者。攻击者通过分析用户的星标行为与议题参与记录，精准识别潜在目标，并借助被入侵或伪造的账号建立欺骗性代码库，增强攻击的隐蔽性。

嵌入于如"eleven.js"等文件中的恶意代码包含专门设计的钱包窃取模块，同时集成数据销毁功能，可彻底清除本地存储内容，阻碍事后调查。此外，系统还能追踪用户操作状态（如PromptTx、Approved、Declined），并将情报回传至攻击者控制的服务器。目前已有至少一个关联钱包地址被确认，但尚未发现已核实的资金损失。

平台紧急封禁加密讨论，强化防御机制

为遏制诈骗扩散，OpenClaw创始人Peter Steinberger已在Discord社区全面禁止所有涉及加密货币的交流。任何提及代币的成员将面临即时踢出或权限封锁，此举旨在切断攻击者利用项目声誉进行传播的路径。

此次攻击事件紧随Steinberger被公开任命负责个人AI代理开发项目之后，标志着项目公众关注度迅速攀升，也使其成为品牌滥用的理想靶点。安全专家提醒，开发者应对任何未经请求的代币分发声明保持高度警惕。

监管机构呼吁立即屏蔽token-claw[.]xyz等可疑域名，防止进一步感染。所有近期授权过钱包连接的用户应尽快撤销全部权限，以防范潜在资产流失。尽管OpenClaw发展势头强劲，但其成功也带来了日益严峻的安全挑战。