O diretor de segurança da informação da Slow Mist Tech, 23pds, emitiu um aviso público alertando que, devido ao ClawHub depender do login com um clique via GitHub, os certificados de desenvolvedor roubados por vírus worms podem ser utilizados para se passar por desenvolvedores e publicar Skills maliciosos, realizando ataques na cadeia de suprimentos. Ao mesmo tempo, o GoPlus realizou uma varredura completa de segurança nas 100 Skills mais baixadas do ClawHub, mostrando que 21% apresentam alto risco e 17% requerem advertência.
Análise completa do caminho de ataque: da credencial do GitHub à invasão do sistema
A Slow Mist detalhou claramente nesta publicação toda a rota potencial de ataque, ajudando desenvolvedores e usuários a entenderem o mecanismo real da ameaça:
Roubo de credenciais: vírus worms como Sha1-Hulud ou ataques de phishing roubam as credenciais de login do GitHub dos desenvolvedores.
Obtenção de permissões no GitHub: o atacante usa as credenciais roubadas para acessar a conta do GitHub da vítima.
Fingir ser o desenvolvedor ao entrar no ClawHub: como o ClawHub usa autorização com um clique via GitHub, o atacante pode acessar a plataforma como um desenvolvedor legítimo.
Publicar Skills maliciosos: sob o nome do desenvolvedor comprometido, publica Skills maliciosos com backdoor, difíceis de distinguir de Skills legítimos.
Instalação e execução pelo usuário: usuários sem conhecimento baixam e executam esses Skills, ativando códigos maliciosos.
Invasão do sistema: o atacante obtém acesso ao dispositivo do usuário, podendo causar roubo de dados, controle remoto e outros danos graves.
A periculosidade dessa cadeia de ataque reside na alta furtividade de cada etapa, tornando quase impossível para o usuário identificar visualmente se um Skill foi adulterado maliciosamente.
Resultados do escaneamento do GoPlus: distribuição de segurança entre as 100 principais Skills
Em 12 de março, o GoPlus publicou um relatório de varredura de segurança nas 100 Skills mais baixadas do ClawHub, fornecendo dados mais sistemáticos de risco:
21% bloqueados: essas Skills apresentam operações de alto risco, incluindo penetração de rede direta, chamadas a APIs sensíveis e envio automático de mensagens.
17% com advertência: apresentam riscos potenciais, recomendando cautela na execução por usuários preocupados com segurança.
62% aprovadas: as Skills restantes não apresentaram problemas evidentes na análise atual.
O GoPlus recomenda que, para Skills com operações de alto risco, seja obrigatória a implementação de um mecanismo de “Humano no Loop (HITL)”, permitindo que a revisão manual intervenha antes da execução de operações críticas, e não apenas como medida corretiva posterior.
Controvérsia do SkillHub da Tencent: coleta em larga escala levanta questões de direitos autorais e suporte
Enquanto o alerta de segurança aumenta, o ecossistema do ClawHub também gerou outra discussão devido às ações da Tencent. A Tencent lançou uma comunidade SkillHub baseada na ecologia de código aberto oficial do OpenClaw, posicionada como uma plataforma de distribuição de Skills local para desenvolvedores na China. No entanto, Peter Steinberger, fundador do OpenClaw, criticou a iniciativa após tomar conhecimento, afirmando ter recebido e-mails de reclamação alegando que a Tencent coletou todos os Skills do ClawHub e os integrou à sua plataforma, com uma velocidade tão rápida que acionou os limites de taxa oficiais. Steinberger afirmou: “Eles copiaram, mas não apoiaram esse projeto.”
A Tencent respondeu explicando que o SkillHub opera como um espelho, com a origem original marcada como ClawHub, e que o objetivo da plataforma é fornecer uma experiência de acesso mais estável e rápida para os usuários na China. Nos primeiros sete dias de operação, a plataforma processou cerca de 180 GB de tráfego de downloads (870 mil downloads), mas os dados realmente obtidos da fonte oficial foram aproximadamente 1 GB. A Tencent também destacou que vários membros de sua equipe contribuíram com código para os projetos de código aberto relacionados, apoiando o desenvolvimento do ecossistema.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
A bolsa de cripto russa Grinex encerra operações após $13M ataque informático, pondo em risco a rede de evasão a sanções
A bolsa de criptomoedas russa Grinex cessou as operações após um ciberataque que causou perdas superiores a $13 milhões. O encerramento afecta a capacidade das empresas russas de converter rublos a nível internacional e coloca desafios ao sistema de finanças paralelas do país.
GateNews1h atrás
Hack ao Kelp DAO Atribuído ao Grupo Lazarus; Sequestro de Domínio do eth.limo via Engenharia Social
A LayerZero comunicou que o exploit do Kelp DAO, atribuído ao grupo Lazarus da Coreia do Norte, levou a uma perda de $292 milhões em tokens rsETH devido a vulnerabilidades na sua rede descentralizada de verificadores. Além disso, o eth.limo enfrentou um sequestro de domínio por meio de um ataque de engenharia social, mas o DNSSEC mitigou danos graves.
GateNews5h atrás
Hack DeFi provoca $9 mil milhões em saídas de fundos do Aave, à medida que tokens roubados são usados como colateral
Uma recente falha de segurança (hack) que drenou quase $300 milhões de um projecto cripto levou a uma crise de liquidez no Aave, fazendo com que os utilizadores retirassem cerca de $9 mil milhões. As preocupações com a qualidade da garantia (colateral) levaram a levantamentos em massa, evidenciando riscos no crédito DeFi (financiamento descentralizado).
GateNews6h atrás
Ataque de Phishing ao Ethereum Drena $585K De Quatro Utilizadores, Uma Única Vítima Perde $221K WBTC
Um ataque coordenado de phishing ao Ethereum drenou $585,000 de quatro vítimas, explorando permissões do utilizador através de uma ligação enganadora. Este incidente evidencia a perda rápida de fundos por engenharia social, mesmo quando se faz passar por algo legítimo.
GateNews8h atrás
Atenção ao conteúdo da assinatura! A Vercel foi alvo de um ataque de resgate que exigia 2 milhões de dólares, o frontend de um protocolo cripto emite um alerta.
A plataforma de desenvolvimento na nuvem Vercel foi alvo de uma intrusão por parte de hackers a 19 de Abril, tendo os atacantes obtido permissões de acesso através de uma ferramenta de IA de terceiros utilizada por funcionários, e exigindo um resgate de 2 milhões de dólares. Embora os dados sensíveis não tenham sido acedidos, outros dados poderão já ter sido aproveitados. O incidente suscitou preocupações de segurança na comunidade cripto; a Vercel está atualmente a investigar e recomenda aos utilizadores que mudem as chaves.
ChainNewsAbmedia9h atrás
KelpDAO perde $290M no ataque ao LayerZero na camada Lazarus Group
A KelpDAO enfrentou uma perda de $290 milhões devido a uma violação de segurança sofisticada associada ao Grupo Lazarus. O ataque explorou fraquezas de configuração no seu sistema de verificação e evidenciou os riscos de depender de uma configuração de verificação de ponto único. Especialistas da indústria sublinham a necessidade de melhorar as configurações de segurança e a verificação multi-camada para prevenir incidentes futuros.
CryptoFrontier10h atrás
