OpenClaw開発者を狙うGitHubフィッシング攻撃：偽アカウントが5000ドル相当のCLAW報酬を餌に

セキュリティ企業のOX Securityは、OpenClaw開発者を標的としたフィッシング活動がGitHub上で拡大していると明らかにしました。攻撃者は偽のGitHubアカウントでプロジェクト関係者になりすまし、Issueやコメント欄で対象の開発者を@メンションし、「5000ドル相当のCLAWトークン報酬を受け取れる」といった誘い文句で、被害者を偽装サイトへ誘導して後続の操作を行わせます。

この活動の中核的な目的は、暗号資産ウォレットの不正流出（wallet drainer）の実行です。被害者が信頼できないサイトでウォレットを接続したり、取引リクエストに署名したりすると、資産が短時間で移転される可能性があります。公開情報によれば、OpenClawは以前から暗号資産に反対する方針を強調しており、「偽トークン」に関連するなりすまし詐欺も経験しています。攻撃者はプロジェクトの注目度と、開発者が協業プラットフォーム上のメッセージを信頼しやすい点を悪用して、ソーシャルエンジニアリングによる侵入を試みています。

所感：オープンソースプロジェクトやAIエージェントのエコシステムが盛り上がるにつれ、GitHubの協業フローを起点とするソーシャルエンジニアリング攻撃は今後増えると見られます。開発者は「エアドロップ／トークン報酬」系の情報をゼロトラストで扱い、ドメインと身元を検証するまでウォレット接続や署名を避け、疑わしいアカウントやドメインは速やかにブロックしてください。