PANews đã báo cáo vào ngày 2 tháng 3 rằng cộng đồng GoPlus Trung Quốc đã đưa ra cảnh báo sớm rằng OpenClaw Gateway hiện đang dễ bị tấn công, vui lòng nâng cấp lên 2026.2.25 hoặc muộn hơn ngay lập tức, kiểm tra và thu hồi thông tin đăng nhập không cần thiết, khóa API và quyền nút được cấp cho các phiên bản Agent. Theo phân tích của nó, OpenClaw chạy qua một WebSocket Gateway được liên kết với localhost, đóng vai trò là lớp điều phối cốt lõi của Agent và là một phần quan trọng của OpenClaw. Cuộc tấn công nhắm vào một điểm yếu trong lớp cổng và chỉ đáp ứng một điều kiện: người dùng truy cập vào một trang web độc hại do tin tặc kiểm soát trong trình duyệt.
Chuỗi tấn công đầy đủ như sau:
- Nạn nhân truy cập vào một trang web độc hại do kẻ tấn công kiểm soát trong trình duyệt của họ;
- JavaScript trong trang bắt đầu kết nối WebSocket với cổng OpenClaw trên máy chủ cục bộ;
- Sau đó, tập lệnh tấn công brute-force mật khẩu cổng với hàng trăm lần thử mỗi giây;
- Sau khi bẻ khóa thành công, tập lệnh tấn công được âm thầm đăng ký là thiết bị đáng tin cậy.
- Kẻ tấn công giành được quyền kiểm soát cấp quản trị viên của tác nhân;
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
CEO Ripple Bị Lừa Đảo Giả Mạo Trên Instagram, Đưa Ra Cảnh Báo - U.Today
Sự gia tăng các tài khoản mạo danh trên mạng xã hội là điều đáng lo ngại, đặc biệt là những tài khoản giả mạo các quan chức của Ripple, bao gồm cả CEO Brad Garlinghouse. Các vụ lừa đảo dùng deepfake mời chào nhận XRP miễn phí làm nổi bật nhu cầu cảnh giác, khi Ripple cảnh báo chống lại những thủ đoạn lừa đảo như vậy và làm rõ các phương thức liên lạc xác thực của họ.
UToday20phút trước
孙宇晨 hô “我 là nạn nhân lớn nhất của WLFI”, liệt kê bốn cáo buộc: hợp đồng thông minh cài cắm backdoor, đóng băng trái phép ví tiền…
Tôn Vũ Thần công khai cáo buộc World Liberty Financial (WLFI) cài cắm backdoor trong các hợp đồng thông minh, cho rằng ví của ông đã bị đóng băng bất hợp pháp vào năm 2025, và chỉ ra rằng nhóm WLFI có bốn hành vi sai trái chính gồm thu các khoản phí không hợp lý, kiểm soát backdoor, đóng băng tài sản và thao túng quản trị. Ông nhấn mạnh hành vi này vi phạm quyền cơ bản của nhà đầu tư và kêu gọi WLFI khôi phục tính minh bạch.
動區BlockTempo1giờ trước
Vụ lừa đảo năng lượng tuyệt đối: kẻ cầm đầu là Qiu Zhihào bị quản thúc sau khi được tại ngoại đã phạm tội lừa đảo lần thứ hai trong thời gian tại ngoại, giả mạo dịch vụ cho vay DeFi với lãi suất cao để dụ dỗ
Vụ lừa đảo “hợp đồng thông minh cho vay và đi vay” do Quý Chí Hào đứng đầu đã chiếm đoạt hơn 5 tỷ Nhân dân tệ, với 14 người bị tạm giam. Nền tảng này thu hút nạn nhân bằng mức lợi nhuận cao từ 3% đến 7% lãi suất theo tháng; trên thực tế, đó là một cái bẫy được dàn dựng công phu, sử dụng các khái niệm DeFi để hạ thấp cảnh giác. Trong thời gian được tại ngoại để bảo lãnh, Quý Chí Hào tiếp tục thực hiện hành vi lừa đảo, cho thấy lỗ hổng trong quản lý giám sát; hiện cơ quan công tố vẫn đang tiếp tục điều tra, truy xét.
動區BlockTempo4giờ trước
Cựu CEO của BCB Group bị cướp dùng dao, kẻ cướp đã yêu cầu rõ ràng khóa cá nhân tiền mã hóa
Trước BCB Group, Giám đốc điều hành Oliver von Landsberg-Sadie cùng gia đình bị cướp có vũ trang dao tại nhà riêng, kẻ cướp đã nêu rõ đòi các khóa/mã của ví tiền mã hóa. Cuối cùng, chúng chỉ lấy tiền mặt, đồ bạc và trang sức. Cảnh sát đã vào cuộc điều tra, Oliver cảnh báo người nổi tiếng hãy cảnh giác với các loại tội phạm này.
GateNews9giờ trước
Nhạc sĩ người Mỹ G.Love vô tình tải nhầm ứng dụng Ledger độc hại, bị thiệt hại 5.92 BTC; quỹ đã chảy vào một CEX nào đó
Nhạc sĩ Philadelphia G.Love bị đánh cắp khoảng 5.92 Bitcoin do lỡ tải nhầm một ứng dụng giả mạo. Nhà điều tra trên chuỗi ZachXBT lần theo dòng tiền và đặt câu hỏi về cơ chế kiểm duyệt của App Store của Apple, cho rằng cơ chế này cho phép ứng dụng giả mạo được đưa lên, làm tăng rủi ro cho người dùng.
GateNews11giờ trước
Chuyên gia an ninh: Triều Tiên sử dụng hành vi trộm cắp tài sản mã hóa như một phương thức gây quỹ quốc phòng, đã trở thành mối đe dọa mang tính hệ thống
Tin tặc Bắc Triều Tiên nhắm vào ngành công nghiệp tiền mã hóa tiếp tục leo thang, trở thành một nguồn tài chính quan trọng để duy trì quân phí. Các chuyên gia cho biết, khác với tin tặc của các quốc gia khác, Bắc Triều Tiên còn phụ thuộc nhiều hơn vào hành vi trộm cắp tiền mã hóa; các phương thức tấn công đã phát triển thành việc chiếm quyền một cách chính xác, âm thầm tồn tại trong thời gian dài và khó có thể phòng ngừa hiệu quả, gây ra mối đe dọa nghiêm trọng đối với ngành.
GateNews12giờ trước
