GitHub 피싱, OpenClaw 개발자 노린다: 가짜 계정·에어드롭 미끼 주의

보안 기업 OX Security는 GitHub에서 OpenClaw 프로젝트 관련 개발자를 겨냥한 새로운 피싱 캠페인이 확산하고 있다고 밝혔다. 공격자는 위조 계정으로 프로젝트 멤버를 사칭한 뒤, Issue나 댓글에서 개발자를 @멘션하며 “무료 에어드롭”, “약 5,000달러 상당의 CLAW 토큰 수령” 등의 문구로 피해자가 링크를 클릭하도록 유도하고, 이를 통해 가짜 사이트로 이동시킨다.

이 캠페인의 핵심 목적은 사용자가 암호화폐 지갑을 연결하도록 유도해 지갑 자산이 전송(탈취)될 위험을 발생시키는 것이다. 보도에 따르면 공격 페이지는 OpenClaw와 연관된 것처럼 보이는 도메인과 페이지 스타일로 위장해 경계심을 낮추며, 동시에 OpenClaw 자체가 반(反)암호화폐 성향을 언급해온 것으로도 거론된다. 과거 가짜 토큰과 관련된 사기 배경이 있었던 만큼, 이러한 “토큰 에어드롭” 미끼가 더욱 혼란을 주기 쉽다는 점이 지적됐다.

보안 권고로 OX Security는 확인되지 않은 사이트에서 지갑을 연결하지 말고, GitHub 내 비공식 계정이 제안하는 에어드롭 초대에 주의할 것을 개발자들에게 당부했다. 또한 공개된 의심 도메인(예: token-claw.xyz, watery-compost.today)을 차단 목록 및 블랙리스트에 추가할 수 있다고 덧붙였다. 오픈소스 및 AI 에이전트 생태계가 활기를 띠면서 개발자 커뮤니티를 둘러싼 소셜 엔지니어링과 피싱이 계속 증가할 수 있어, 프로젝트 측과 플랫폼 측의 계정 검증 및 보안 안내 메커니즘이 더 주목받을 수 있다.