OpenClaw Developers Targeted by Sophisticated GitHub Phishing Campaign

Key Takeaways

• OpenClaw 开发者正成为网络钓鱼攻击的目标，攻击者利用虚假 GitHub 账号进行诱骗。
• 攻击者声称提供 5,000 美元的 CLAW 代币，诱导开发者访问克隆的钓鱼网站。
• 该钓鱼网站包含一个恶意“连接钱包”按钮，旨在窃取加密资产。
• 攻击者使用高度混淆的 JavaScript 文件来隐藏恶意代码并阻碍分析。
• 目前尚未确认有受害者，但攻击者的 GitHub 账号已被迅速删除。

WEEX 加密新闻，2026 年 3 月 19 日

OpenClaw 开发者面临 GitHub 网络钓鱼攻击：深度分析

OpenClaw 社区作为 AI 智能体领域的重要参与者，目前正遭受针对其开发者的精密网络钓鱼攻击。此次攻击旨在窃取加密货币钱包，攻击者巧妙利用 GitHub 平台，以虚假空投奖励为诱饵诱骗受害者。

攻击机制揭秘

据报道，攻击者伪造了多个 GitHub 账号，并在其控制的存储库中发布问题（Issues）。通过标记多名开发者，他们扩大了攻击范围，增加了诈骗的影响力。这些网络犯罪分子冒充 OpenClaw 代表，以 5,000 美元 CLAW 代币奖励为诱饵，将毫无戒心的开发者引向与合法域名 openclaw.ai 高度相似的伪造网站。

该模拟网站诱导用户连接加密钱包以领取所谓的奖励。一旦开发者连接钱包，恶意网站便会立即窃取其资产。危险隐藏在高度混淆的 JavaScript 文件中，该文件不仅掩盖了攻击行为，还会清除浏览器存储记录，从而增加取证难度。

恶意代码的隐藏架构

此次网络钓鱼行动的复杂设置旨在实现隐蔽与高效。其核心策略是嵌入在 JavaScript 文件中的“核弹”功能。该功能旨在擦除本地浏览器存储数据，这一举措极大地阻碍了后续的取证分析，并增加了追踪攻击者活动的难度。

此外，该恶意脚本会对钱包地址和交易金额等敏感信息进行编码，然后将其秘密发送至命令与控制（C2）服务器。这种巧妙的编码方式确保了被盗加密货币的踪迹降至最低，进一步增强了诈骗的隐蔽性。

防护措施与社区响应

此次攻击活动的狡猾之处已引起广泛关注。安全平台 OX Security 一直在识别和披露这些战术。虽然攻击者账号被迅速删除给追踪工作带来挑战，但安全专业人员和平台的积极应对旨在降低风险。GitHub 用户及与 OpenClaw 相关的开发者被敦促提高警惕。

OpenClaw 社区内开源倡导者的官方回应，重申了在 AI 驱动项目领域日益常见的警告。项目创始人多次提醒社区，不要参与任何声称与 OpenClaw 相关的未经请求的加密货币优惠活动，并强调该项目始终保持非商业性质。

更广泛的影响与风险因素

虽然这看起来是一场针对热门平台开发者的利基攻击，但其影响暗示了开源社区中更广泛的系统性漏洞。像 OpenClaw 这样取得病毒式成功的项目，往往会吸引恶意行为者的关注，他们试图利用缺乏防范意识的用户。

利用 GitHub 和 Google Share 等看似合法的平台，反映了一种令人担忧的趋势：即利用受信任的网络来绕过传统安全措施。SPF、DKIM 和 DMARC 等对标准电子邮件钓鱼有效的措施，在应对此类基于平台的入侵时往往失效。这要求不仅是终端用户，连平台提供商本身也需要重新评估安全协议。

在当前环境下，加密货币爱好者和开发者必须以稳健的安全思维应对这些挑战，并认识到警惕性和安全意识是抵御日益复杂的网络威胁的第一道防线。

鼓励负责任的行为

对于 OpenClaw 及更广泛的 GitHub 社区开发者而言，采取安全实践至关重要，包括对未经请求的通信保持怀疑态度，尤其是那些承诺提供经济奖励的通信。在 GitHub 生态系统中嵌入针对此类钓鱼攻击的切实保障措施之前，用户的警惕性仍然是最可靠的保护形式。

对于参与加密货币领域的人士，使用像 WEEX 这样提供安全且用户友好体验的平台，可以有效降低与网络钓鱼攻击相关的风险。[立即注册 WEEX，开启安全交易体验。](https://www.weex.com/register?vipCode=vrmi)

常见问题解答

针对 OpenClaw 开发者的 GitHub 网络钓鱼攻击性质是什么？

该攻击通过虚假的 CLAW 代币空投承诺诱骗开发者，将其重定向至窃取加密钱包详细信息的虚假网站。

攻击者使用什么方法来增加可信度？

攻击者创建虚假 GitHub 账号，并通过伪造的问题（Issues）与开发者互动，使诈骗看起来合法。

钓鱼网站如何保护被盗信息？

它使用高度混淆的 JavaScript 对钱包地址和交易详细信息进行编码，并将其传输到命令服务器。

开发者如何避免成为此类诈骗的受害者？

开发者应核实任何奖励声明的真实性，并避免将钱包连接到可疑网站。

如果 OpenClaw 贡献者怀疑遭遇网络钓鱼，应该怎么做？

他们应向 GitHub 举报该网络钓鱼尝试，并避免与可疑或未经请求的通信进行互动。