駭客利用冒牌 OpenClaw 安裝程式經由 Bing 搜尋散布惡意軟體

OpenClaw 是可串接外部工具與服務的 AI 代理閘道；中國駭客將其改造成攻擊中樞，自動執行資產掃描、漏洞利用與金流驗證。事件之所以重要，在於目標集中於 Web3 與金融科技服務，一旦 AI、支付金鑰遭竊，可能進一步造成帳戶接管、資產轉移及供應鏈風險。

資安業者最新揭露，駭客利用 React 漏洞入侵目標，竊取 AI 與支付服務金鑰，再呼叫區塊鏈情報 API 篩選可變現資產，形成端到端自動化流程。OpenClaw 後端記錄已出現逾 4.5 萬次漏洞利用嘗試；截至 2026 年 7 月 20 日，相關資訊未揭露確切損失金額與受害機構名單。

OpenClaw由奧地利工程師Peter Steinberger打造，2026年1月開源，能代收郵件、管理行程與預訂機票，因此在中國掀起「養龍蝦」熱潮。它須讀取檔案、環境變數並呼叫API，較高系統權限也讓個人憑證、企業資料與工控系統面臨外洩或遭接管風險。

中國國家互聯網應急中心2026年3月10日示警，惡意網頁指令可能導致產品金鑰外洩；市場隨即出現人民幣199元（約新台幣920元）的遠端解除安裝服務。3月22日，該中心與中國網絡空間安全協會發布首份安全實踐指南，要求以專用設備或虛擬機隔離、禁用管理員權限；金融機構、政府部門及多所大專院校也陸續限制使用。