Người sáng lập OpenClaw, Peter Steinberger, đã đưa ra cảnh báo công khai trên nền tảng X vào ngày 19 tháng 3, kêu gọi tất cả người dùng coi bất kỳ email liên quan đến tiền mã hóa nào tự xưng liên quan đến OpenClaw đều là lừa đảo. Ông nhấn mạnh rõ ràng rằng, OpenClaw là một dự án “mã nguồn mở và phi thương mại”. Trước đó, đã có nhiều báo cáo từ các nhà phát triển trên toàn cầu về các cuộc tấn công lừa đảo quy mô lớn nhắm vào các nhà phát triển trên GitHub.
Chiêu thức tấn công lừa đảo cụ thể: Giả mạo thông báo của GitHub, tấn công hàng loạt các nhà phát triển
(Nguồn: X)
Chiến dịch lừa đảo này được thiết kế tinh vi đến mức khó nhận biết ngay lập tức. Nhà nghiên cứu an ninh Aoke Quant nghi ngờ rằng, kẻ tấn công đã trực tiếp lấy thông tin liên hệ công khai của các nhà phát triển từ nền tảng GitHub để hỗ trợ việc truyền thông quy mô lớn chính xác.
Các đặc điểm chính của email lừa đảo như sau:
Giả mạo người gửi: Hình thức email bắt chước đúng định dạng thông báo chính thức của GitHub, gây khó phân biệt
Tên tài khoản gửi: Sử dụng các tài khoản giả mạo như “ClawFunding” và “ClawReward”
Nội dung dẫn dụ: Tuyên bố người nhận đã được liệt kê trong danh sách “đóng góp nổi bật”, tạo cảm giác đặc quyền và cấp bách
Lời kêu gọi hành động: Hướng dẫn người dùng nhấp vào liên kết Google đáng ngờ để “nhận” token giả mạo
Phiên bản đa ngôn ngữ: Một số email đã được dịch sang tiếng Tây Ban Nha, cho thấy phạm vi tấn công đã vượt ra ngoài nhiều khu vực
Nhà phát triển Daniel Sánchez khi chia sẻ các hình ảnh báo cáo đã nói: “Việc chủ động cung cấp tiền miễn phí gần như chắc chắn là lừa đảo. Các dự án mã nguồn mở không có lý do gì để tổ chức các hoạt động tặng tiền mã hóa dưới mọi hình thức.”
Dòng thời gian toàn diện của các tháng bị quấy rối: Từ meme coin đến mất tài khoản chỉ trong 30 giây
Chuỗi tấn công lừa đảo này là đợt nâng cấp mới nhất trong chuỗi quấy rối có hệ thống kéo dài nhiều tháng nhằm vào OpenClaw. Kể từ tháng 1 năm nay, khi OpenClaw nổi bật với tên gọi “Clawdbot”, các nhà đầu cơ tiền mã hóa đã liên tục phát động các cuộc tấn công đa tầng nhằm vào Steinberger và dự án của ông.
Các mốc sự kiện chính:
Tạo meme coin: Các kẻ lừa đảo đã phát hành trái phép meme coin mang tên OpenClaw trên Solana, giá trị token giảm 96% trong một ngày, gây thiệt hại nặng nề cho nhiều nhà đầu tư nhỏ lẻ
Khủng hoảng tái thương hiệu: Anthropic yêu cầu Steinberger đổi tên robot do vấn đề nhãn hiệu — sau khi đổi từ “Clawdbot” thành “Moltbot”, kẻ tấn công đã xâm nhập vào tài khoản gốc trong chưa đầy 5 giây, bắt đầu quảng bá token lừa đảo mới và truyền malware trước khi Steinberger kịp bảo vệ tài khoản của mình
Mất quyền truy cập GitHub: Tài khoản GitHub của ông bị chiếm đoạt trong khoảng 30 giây, sau đó bị sử dụng để phát tán mã độc
Khóa Discord: Đối mặt với hàng loạt các hash token bị tấn công, Steinberger buộc phải cấm hoàn toàn các hoạt động liên quan đến tiền mã hóa trên server Discord của mình
Thông báo trên X bị tê liệt: Thông báo của X (Twitter) bị quá tải bởi các hash token và spam, khiến chức năng không thể sử dụng
Steinberger mô tả toàn bộ trải nghiệm này là “quấy rối mạng nghiêm trọng nhất” mà ông từng gặp phải. Ngay cả sau khi gia nhập OpenAI vào tháng 2 năm 2026, dưới sự dẫn dắt của Sam Altman trong bộ phận AI cá nhân, và được các tập đoàn công nghệ lớn như OpenAI bảo trợ, các hoạt động lừa đảo vẫn tiếp tục lợi dụng thương hiệu OpenClaw để trục lợi.
Các câu hỏi thường gặp
Làm thế nào để nhận biết email lừa đảo giả mạo OpenClaw?
Theo cảnh báo công khai của Steinberger, cách hiệu quả nhất để nhận biết email giả mạo OpenClaw là: Thứ nhất, OpenClaw không có bất kỳ token mã hóa nào (không tồn tại “CLAW” hay bất kỳ token chính thức nào khác); Thứ hai, mọi yêu cầu nhấp vào liên kết trong email để “nhận airdrop” hoặc “kết nối ví” đều là lừa đảo; Thứ ba, chỉ tin tưởng vào trang web chính thức của OpenClaw là nguồn thông tin duy nhất đáng tin cậy, và cảnh giác với các gói thương mại của bên thứ ba. Các nhà nghiên cứu an ninh khuyên rằng, ngay cả khi email trông có vẻ đến từ địa chỉ chính thức của GitHub, cũng cần kiểm tra kỹ tên miền gửi, vì kẻ lừa đảo thường giả mạo tên hiển thị.
Liệu lỗ hổng bảo mật của OpenClaw có tạo điều kiện cho các cuộc tấn công lừa đảo?
Các công ty an ninh như SlowMist đã cảnh báo rằng, các phiên bản Clawdbot/OpenClaw chưa được cấu hình đúng có thể tiết lộ API key và các cuộc trò chuyện riêng tư. Nhà nghiên cứu Jamieson O’Reilly cũng phát hiện rằng các phiên bản chưa xác thực có thể khiến hàng trăm chứng chỉ bị công khai truy cập. Những lỗ hổng này có thể cung cấp cho kẻ lừa đảo dữ liệu người dùng thực để tạo ra các email lừa đảo chân thực, từ đó tăng khả năng thành công của các cuộc tấn công. Người dùng triển khai OpenClaw cần đảm bảo đã hoàn tất cấu hình xác thực và thường xuyên thay đổi API key.
Nếu gặp phải các cuộc tấn công lừa đảo tương tự, cần làm gì?
Nếu nhận được bất kỳ lời mời airdrop tiền mã hóa nào liên quan đến OpenClaw, hãy xóa ngay và đánh dấu là email lừa đảo, không nhấp vào bất kỳ liên kết nào trong email hoặc cung cấp thông tin cá nhân. Nếu đã nhấp vào liên kết, cần thay đổi tất cả mật khẩu các tài khoản liên quan, thu hồi quyền truy cập của các ứng dụng bên thứ ba đáng ngờ, và quét thiết bị để phát hiện phần mềm độc hại. Có thể báo cáo các hoạt động lừa đảo này qua các kênh chính thức của OpenClaw để giúp bảo vệ cộng đồng các nhà phát triển khác.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
