Foresight 据 GoPlus 监测，曾一度登顶 ClawHub 下载榜首的 Skill「What Would Elon Do」实为木马程序。攻击者通过机器人刷量、操纵排名等手段将其推上热门，诱导大量用户安装。
该恶意 Skill 安装后会窃取用户的 SSH 密钥、加密钱包私钥及浏览器 Cookie，并向攻击者服务器建立反向 Shell，已导致用户实际资产损失。此次事件暴露了 Skill 生态系统中一个严重的新型供应链攻击途径。GoPlus 提醒用户，停止在未受保护的情况下运行 OpenClaw。
另据 chiefofautism 披露，整个 ClawHub 市场共发现 1184 个恶意 Skill，其中单一攻击者独自上传了 677 个恶意包。
来源链接