OpenClaw热度攀升引燃新型网络钓鱼危机

近期安全机构监测到针对OpenClaw生态的系列钓鱼活动，攻击者利用项目高关注度，在GitHub上伪装官方账号发布议题，声称部分开发者已被选中领取价值五千美元的CLAW代币，诱导其访问仿冒官网。

借势收购热点，精准锁定开发者群体

此次攻击发生在OpenAI宣布收购OpenClaw项目后不久，原项目负责人将主导新的人工智能代理业务。随着项目转型为开源基金会运营，其在GitHub上的星标数突破32万，成为黑客眼中的高价值目标。攻击者通过分析用户星标行为，筛选出活跃贡献者，定向发送带有诱导性信息的议题。

隐蔽代码嵌入与反取证设计

恶意网站内置名为“eleven.js”的深度混淆脚本，经逆向分析发现其具备自动清除浏览器本地存储数据的能力，以规避安全追踪。该程序通过预设指令如PromptTx、Approved和Declined监控用户操作，将钱包地址、交易金额等敏感信息编码回传至远程服务器。

高危行为频发，社区紧急封禁推广内容

由于项目本身具备持久运行、自主执行任务和本地记忆功能，其生态对攻击者更具吸引力。创始人透露，社区曾每半小时遭遇一次代币空投诈骗信息，最终迫使平台全面禁止相关推广。目前已有赃款接收地址被识别，但账户在创建后数小时内即被删除，暂无损失确认。

安全团队呼吁所有用户立即审查并撤销与非可信网站的连接授权，避免在未验证的页面中接入钱包，并警惕来自陌生账户的空投通知。同时建议在企业及个人环境中屏蔽与openclaw.ai高度相似的仿冒域名，防范潜在风险。