GitHubでOpenClaw開発者を狙うフィッシングが拡大、偽アカウントが「CLAWトークンの無料エアドロップ」で誘導

セキュリティ企業OX Securityは、GitHub上でOpenClawプロジェクト関連の開発者を狙った新たなフィッシング活動が拡散していると明らかにしました。攻撃者は偽アカウントでプロジェクトメンバーになりすまし、Issueやコメントで開発者を@メンションして、「無料エアドロップ」「約5,000ドル相当のCLAWトークンを受け取る」といった文言で被害者にリンクをクリックさせ、偽サイトへ誘導します。

この活動の主な目的は、ユーザーに暗号資産ウォレットを接続させることにより、ウォレット内の資産が移転されるリスクを引き起こす点にあります。報道によれば、攻撃ページはOpenClawに関連するかのようなドメインやページデザインを装い、被害者の警戒心を下げます。さらに、OpenClaw自体は反暗号資産の立場に言及されており、過去に偽トークンに関連する詐欺的な背景があったとされるため、この種の「トークンのエアドロップ」はより紛らわしくなり得ます。

セキュリティ対策として、OX Securityは、確認できていないサイトでウォレットを接続しないこと、GitHub内の非公式アカウントからのエアドロップ案内に警戒することを開発者へ呼びかけています。また、すでに露出している疑わしいドメイン（例：token-claw.xyz、watery-compost.today）をブロックやブラックリストに追加することも推奨しています。オープンソースやAIエージェントのエコシステムが盛り上がる中、開発者コミュニティを狙ったソーシャルエンジニアリングやフィッシングは増加し続ける可能性があり、プロジェクト側およびプラットフォーム側のアカウント検証やセキュリティ注意喚起の仕組みが、今後さらに注目されるとみられます。