GoPlus：曾一度登頂 ClawHub 下載榜首的 Skill 實為木馬程式，已有用戶遭資產損失

Foresight News 消息，據 GoPlus 監測，曾一度登頂 ClawHub 下載榜首的 Skill「What Would Elon Do」實為木馬程式。攻擊者通過機器人刷量、操縱排名等手段將其推上熱門，誘導大量用戶安裝。

該惡意 Skill 安裝後會竊取用戶的 SSH 金鑰、加密錢包私鑰及瀏覽器 Cookie，並向攻擊者伺服器建立反向 Shell，已導致用戶實際資產損失。此次事件暴露了 Skill 生態系統中一個嚴重的新型供應鏈攻擊途徑。GoPlus 提醒用戶，停止在未受保護的情況下運行 OpenClaw。

另據 chiefofautism 披露，整個 ClawHub 市場共發現 1184 個惡意 Skill，其中單一攻擊者獨自上傳了 677 個惡意包。