OpenClaw thị trường kỹ năng bị tiết lộ chứa hơn 1.000 plugin độc hại, chuyên trộm chìa khóa SSH và khóa riêng của ví tiền mã hóa. “Niềm tin mặc định” trong hệ sinh thái công cụ AI đang trở thành một trong những mặt trận tấn công bị đánh giá thấp nhất của Web3.
(Thông tin trước đó: Bloomberg: Tại sao a16z trở thành lực lượng chủ chốt đằng sau chính sách AI của Mỹ?)
(Bổ sung nền tảng: Bài viết mới của Arthur Hayes: AI sẽ kích hoạt sụp đổ tín dụng, Cục Dự trữ Liên bang cuối cùng sẽ “in tiền vô hạn” và đẩy giá Bitcoin lên cao)
Mục lục bài viết
- Văn bản không còn chỉ là văn bản, mà là lệnh lệnh
- Bài học 1,78 triệu USD của Moonwell
- Sai lệch trong giá trị mặc định của niềm tin
Người sáng lập SlowMist,余弦, sớm đăng cảnh báo trên nền tảng X: Trong thị trường kỹ năng ClawHub của OpenClaw, có khoảng 1.184 plugin kỹ năng độc hại, có thể trộm chìa khóa SSH, khóa ví tiền mã hóa, mật khẩu trình duyệt, thậm chí tạo backdoor Shell ngược. Các plugin độc hại có điểm yếu gồm 9 lỗ hổng, số lượt tải đã lên đến hàng nghìn.
Nhắc lại: Văn bản không còn chỉ là văn bản, mà là lệnh lệnh. Khi chơi với các công cụ AI cần dùng môi trường độc lập…
Skills rất nguy hiểm⚠️
Skills rất nguy hiểm⚠️
Skills rất nguy hiểm⚠️ https://t.co/GZ3hhathkE
— Cos(余弦)😶🌫️ (@evilcos) 20 tháng 2, 2026
ClawHub là thị trường kỹ năng chính thức của OpenClaw (tiền thân là clawbot) mới nổi gần đây. Người dùng cài đặt các tiện ích mở rộng của bên thứ ba để AI thực thi các nhiệm vụ từ triển khai mã đến quản lý ví.
Công ty an ninh Koi Security đầu tháng 1 đã tiết lộ cuộc tấn công mang tên “ClawHavoc”, ban đầu xác định được 341 plugin độc hại. Sau đó, các nhà nghiên cứu an ninh độc lập và Antiy CERT mở rộng phạm vi lên 1.184 plugin, liên quan đến 12 tài khoản phát hành. Trong đó, một kẻ giả danh hightower6eu đã tải lên 677 gói, chiếm hơn một nửa tổng số.
Nói cách khác, chỉ một người đã làm nhiễu loạn hơn một nửa nội dung độc hại của toàn thị trường, mà cơ chế kiểm duyệt của nền tảng hoàn toàn không phát hiện ra.
Văn bản không còn chỉ là văn bản, mà là lệnh lệnh
Các plugin độc hại này không rườm rà. Chúng giả dạng thành bot giao dịch tiền mã hóa, tracker ví Solana, công cụ chiến lược Polymarket, trình tóm tắt YouTube, kèm tài liệu hướng dẫn chuyên nghiệp. Nhưng thủ đoạn thực sự nằm trong phần “Điều kiện tiên quyết” của tệp SKILL.md: hướng dẫn người dùng sao chép một đoạn shell script đã qua xử lý làm rối từ website bên ngoài, dán vào terminal để chạy.
Đoạn script này sẽ tải xuống Atomic Stealer (AMOS), một công cụ trộm thông tin macOS có phí thuê tháng từ 500 đến 1.000 USD, từ máy chủ C2.
AMOS quét các dữ liệu như mật khẩu trình duyệt, chìa khóa SSH, nhật ký trò chuyện Telegram, khóa riêng Phantom, API của các sàn giao dịch, cùng tất cả các tệp trong thư mục desktop và tài liệu. Kẻ tấn công còn đăng ký nhiều biến thể chính tả của ClawHub (clawhub1, clawhubb, cllawhub) để giả mạo tên miền, và hai plugin liên quan đến chủ đề Polymarket còn chứa backdoor Shell ngược.
Trong các tệp của plugin độc hại còn nhúng lệnh hướng dẫn AI, nhằm lừa AI của OpenClaw, khiến AI “gợi ý” người dùng thực thi các lệnh độc hại.余弦 tổng kết rất chính xác: “Văn bản không còn chỉ là văn bản, mà là lệnh lệnh.” Khi dùng công cụ AI, nên dùng môi trường riêng biệt.
Đây chính là vấn đề cốt lõi. Khi người dùng tin tưởng vào các đề xuất của AI, mà nguồn đề xuất bị nhiễm độc, toàn bộ chuỗi niềm tin sẽ đứt đoạn.
Bài học 1,78 triệu USD của Moonwell
余弦 trong cảnh báo còn đề cập đến một sự kiện khác: ngày 15 tháng 2, giao thức cho vay DeFi Moonwell gặp lỗi oracle gây thiệt hại 1,78 triệu USD.
Vấn đề nằm ở đoạn mã tính giá trị USD của cbETH, quên nhân tỷ giá cbETH/ETH với giá ETH/USD, khiến cbETH bị định giá khoảng 1,12 USD thay vì thực tế 2.200 USD. Robot thanh lý đã quét tất cả các vị thế thế chấp bằng cbETH, khiến 181 người vay mất khoảng 2,68 triệu USD.
Kỹ sư an ninh blockchain Krum Pashov phát hiện, đoạn mã này có ghi chú trong commit trên GitHub là “Co-Authored-By: Claude Opus 4.6”. Phân tích của NeuralTrust mô tả chính xác cái bẫy này: “Mã trông có vẻ đúng, có thể biên dịch, qua kiểm thử đơn vị cơ bản, nhưng thất bại hoàn toàn trong môi trường chống đối của DeFi.”
Điều đáng chú ý hơn nữa là, các lớp kiểm tra thủ công, GitHub Copilot và OpenZeppelin Code Inspector đều không phát hiện ra phép nhân thiếu trong đoạn mã.
Cộng đồng gọi đây là “Tai nạn an toàn lớn trong thời đại Vibe Coding”.余弦 nhấn mạnh rõ ràng: an toàn của Web3 không còn giới hạn trong hợp đồng thông minh, công cụ AI đang trở thành mặt trận tấn công mới.
Sai lệch trong giá trị mặc định của niềm tin
Người sáng lập OpenClaw, Peter Steinberger, đã thiết lập cơ chế báo cáo cộng đồng, tự động ẩn các plugin đáng ngờ sau 3 lần báo cáo. Koi Security cũng phát hành công cụ quét Clawdex, nhưng đó chỉ là biện pháp vá lỗi tạm thời.
Vấn đề căn bản nằm ở chỗ, hệ sinh thái công cụ AI mặc định là “tin tưởng”, tin tưởng các plugin đã đăng tải là an toàn, tin tưởng đề xuất của AI là chính xác, tin tưởng mã code sinh ra là đáng tin cậy. Khi hệ sinh thái này quản lý ví tiền mã hóa và các giao thức DeFi, thì sai lệch trong niềm tin sẽ dẫn đến hậu quả thật sự bằng tiền thật.
Lưu ý: Dữ liệu của VanEck cho thấy, đến cuối năm 2025, có hơn 10.000 proxy AI trong lĩnh vực crypto, dự kiến năm 2026 sẽ vượt mốc 100.000.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Ví Web3 Zerion phát hiện hoạt động bất thường của nền tảng, dịch vụ phía web tạm thời ngừng hoạt động
Tin tức từ Gate News: vào ngày 11 tháng 4, ví Web3 Zerion đã đăng thông báo trên nền tảng X, cho biết họ đã phát hiện hoạt động bất thường trên nền tảng; dịch vụ ứng dụng trên web đã tạm thời ngừng hoạt động. Zerion nhắc người dùng tạm thời không sử dụng ứng dụng trên web; hiện tại, ứng dụng trên iOS và Android, cũng như chương trình tiện ích mở rộng của trình duyệt, vẫn đang hoạt động bình thường và an toàn, và tiền của người dùng trong ví không bị ảnh hưởng. Zerion cho biết đang tích cực theo dõi tình hình và sau khi ứng dụng web được khôi phục sẽ thông báo cho người dùng.
GateNews6giờ trước
Ví Phantom gặp sự cố nghiêm trọng! Trong giai đoạn airdrop, giá coin bị rối loạn, số dư về 0, người dùng bực tức chỉ trích “đền tiền”
Ví Phantom trong hệ sinh thái Solana đã xảy ra gián đoạn dịch vụ trong thời gian diễn ra airdrop, khiến giá token và số dư tài khoản hiển thị bất thường, ảnh hưởng đến giao dịch của người dùng. Một số người dùng vì vậy đã bị thiệt hại và yêu cầu được bồi thường. Các chuyên gia an ninh cảnh báo có rủi ro bị tấn công lừa đảo (phishing) và khuyên người dùng xác minh dữ liệu trên chuỗi. Mặc dù sự cố đã được khắc phục, nhưng cuộc khủng hoảng niềm tin vẫn cần được theo dõi. Sự kiện lần này đã làm nổi bật những thách thức của ví tự quản (self-custody) đối với độ ổn định hệ thống và trải nghiệm sử dụng.
区块客7giờ trước
TAO Giảm 25% khi Đồng sáng lập Bittensor Bị Buộc Tội Dùng Bán Token để Ép Tuân Thủ
Token TAO của Bittensor đã giảm 25% do các cáo buộc về việc kiểm soát tập trung bởi đồng sáng lập Jacob Steeves, dẫn đến mất mát $650 triệu vốn hóa thị trường và $9.1 triệu bị thanh lý. Cuộc tranh cãi làm dấy lên những lo ngại về cơ chế quản trị của dự án.
Coinpedia8giờ trước
Bitcoin Depot Tiết lộ Trộm cắp 3,6 triệu USD BTC Sau Vụ Hack Tài khoản Thanh toán
Bitcoin Depot đã báo cáo một vụ vi phạm bảo mật, trong đó tin tặc đã đánh cắp 50.9 BTC, trị giá khoảng $3.6 triệu, bằng cách xâm nhập vào thông tin đăng nhập của tài khoản thanh toán nội bộ. Sự cố này nêu bật những lỗ hổng trong cơ sở hạ tầng vận hành của các công ty tiền mã hóa, đồng thời nhấn mạnh nhu cầu cần tăng cường các biện pháp bảo mật.
CryptoNewsFlash11giờ trước
OpenAI phát hành thông báo về sự cố an toàn của thư viện bên thứ ba: không phát hiện rò rỉ dữ liệu người dùng hoặc xâm nhập hệ thống
OpenAI đã công bố thông báo an toàn vào ngày 11 tháng 4, xác nhận đã phát hiện vấn đề an toàn liên quan đến thư viện bên thứ ba Axios, nhưng không tìm thấy bằng chứng cho thấy dữ liệu người dùng bị truy cập. Để đảm bảo an toàn, công ty yêu cầu tất cả người dùng macOS cập nhật lên phiên bản mới nhất nhằm ngăn ngừa rủi ro từ các ứng dụng giả mạo.
GateNews11giờ trước
Từ năm 2026 đến nay, tổn thất an ninh chuỗi khối (blockchain) gần 800 triệu USD, các sự kiện liên quan đến Triều Tiên chiếm khoảng 42%
Kể từ ngày 1 tháng 1 năm 2026, CertiK Alert đã ghi nhận 163 sự cố an ninh blockchain, với tổng thiệt hại khoảng 796,7 triệu USD, trong đó 12 vụ liên quan đến các nhóm tin tặc của Triều Tiên, với thiệt hại khoảng 329 triệu USD, chiếm 42% tổng thiệt hại. So với mức 60% của năm 2025, tỷ lệ này đã giảm.
GateNews13giờ trước
