OpenClaw热潮背后：开发者遭仿冒空投骗局围猎

近期安全机构监测到针对OpenClaw生态的新型网络钓鱼活动。攻击者通过伪造GitHub账户，在受控仓库中发布议题帖，标记大量开发者，并声称其已被选为价值五千美元的CLAW代币持有者，诱导访问与openclaw.ai极为相似的仿冒网站。

利用热点事件实施精准诱骗

该攻击行为出现在OpenAI宣布收购OpenClaw项目后不久。随着原项目负责人将主导个人智能代理业务，且项目转型为基金会管理的开源计划，其开发者群体成为高价值目标。攻击者在议题中使用“感谢贡献”等话术，结合星标筛选机制锁定曾关注该项目的用户，提升欺骗成功率。

恶意代码深度隐藏，具备反取证能力

分析显示，攻击所用脚本嵌入名为“eleven.js”的高度混淆文件中。解码后发现其内置清除功能，可在检测到异常行为时自动抹除本地存储数据，干扰安全调查。该程序通过模拟PromptTx、Approved、Declined等操作指令，实时捕获用户钱包地址、交易金额及身份信息，并回传至远程服务器。

资金流向追踪与风险预警

研究人员已定位到用于接收赃款的加密钱包地址。该账户于上周创建，数小时内即被注销，目前尚未确认实际损失发生。但鉴于攻击频率和手法成熟度，潜在风险仍不容忽视。

项目热度激增引燃安全危机

作为支持自托管运行的持久化AI代理框架，OpenClaw允许用户部署能自主执行任务的机器人。自被收购以来，其在GitHub上获得超32万星标，迅速吸引大量关注。然而，随之而来的也包括高频次的诈骗信息，创始人透露社区每日收到数十条虚假代币发放通知，最终迫使平台全面封禁相关推广内容。

鉴于OpenClaw具备本地记忆、定时唤醒与多系统联动特性，远超传统聊天型AI工具，安全团队建议立即屏蔽所有非官方域名，避免向未验证网站授权钱包连接，并对来自陌生账户的空投通知保持高度警觉。同时提醒近期已连接钱包的用户尽快撤销权限，防止资产暴露。