CertiK не советует устанавливать OpenClaw: агент открывает доступ к криптокошелькам

ИИ-агент OpenClaw оказался в центре нового скандала: компания по кибербезопасности CertiK опубликовала доклад, в котором назвала платформу «главным вектором атак на цепочку поставок в масштабах всей экосистемы».

Что такое OpenClaw и почему он опасен

OpenClaw — устанавливаемый пользователем локально ИИ-агент, который интегрируется с мессенджерами WhatsApp, Slack и Telegram и способен автономно выполнять действия на компьютере пользователя: управлять электронной почтой, календарями и файлами. Платформа выросла из личного проекта Clawdbot, запущенного в ноябре 2025 года, и за несколько месяцев набрала свыше 300 000 звёзд на GitHub — своего рода «лайков» на платформе для разработчиков. По данным Openclaw.vps, ежемесячная аудитория сервиса составляет около 2 млн активных пользователей.

Стремительный рост, однако, обошёлся дорогой ценой. По данным Bitsight, в сети насчитывается 30 000 общедоступных экземпляров OpenClaw. Аналитики SecurityScorecard выявили 135 000 подобных инсталляций в 82 странах, из которых 15 200 уязвимы для удалённого выполнения кода. С момента запуска платформа накопила более 280 уведомлений о безопасности на GitHub и свыше 100 записей в реестре Common Vulnerabilities and Exposures (CVE).

Вредоносные «навыки» и угроза криптокошелькам

Ключевая угроза связана с системой плагинов и «навыков» (skills) — расширений, которые пользователи могут устанавливать из локальных источников или маркетплейса. В отличие от классических вирусов, вредоносные «навыки» управляют поведением агента через естественный язык и потому не поддаются обычному антивирусному сканированию.

Как только такой модуль запускается, он способен извлекать конфиденциальные данные: пароли и учётные данные криптовалютных кошельков. Злоумышленники целенаправленно размещали вредоносные «навыки» в высокоприоритетных категориях — утилиты для Phantom, трекеры кошельков, инструменты для Polymarket и интеграции с Google Workspace. Конечная цель — одновременная атака на множество браузерных расширений: MetaMask, Phantom, Trust Wallet, Coinbase Wallet, OKX Wallet и другие.

Поскольку OpenClaw выступает мостом между внешними запросами и локальным выполнением команд, он открывает дополнительный вектор атаки: вредоносные сайты могут эксплуатировать присутствие агента на устройстве для извлечения данных или запуска несанкционированных команд. Вредоносный код нередко прячется внутри легитимных кодовых баз и загружает якобы безобидные URL, которые на деле доставляют команды оболочки или полезные нагрузки с вредоносным ПО.

Общая картина атак перекликается с типичными схемами криптодрейнеров: социальная инженерия, поддельные утилиты, кража учётных данных, фишинг с акцентом на кошельки.

Реакция разработчиков и рекомендации

Основатель OpenClaw Питер Стайнберг (Peter Steinberg), недавно перешедший в OpenAI, на мероприятии ClawCon в Токио заявил, что команда активно работает над безопасностью платформы последние два месяца. По его словам, ситуация заметно улучшилась.

Тем не менее CertiK придерживается однозначной позиции: обычным пользователям, не являющимся специалистами по безопасности, разработчиками или опытными техническими специалистами, не следует устанавливать OpenClaw в нынешнем виде. Компания рекомендует дождаться более зрелых и защищённых версий платформы. Ранее в марте другая компания по кибербезопасности — SlowMist — представила специализированный фреймворк безопасности для ИИ-агентов, позиционируя его как защиту от рисков, связанных с автономными системами, которые управляют цифровыми активами.

По данным исследования McKinsey, 62% респондентов уже экспериментируют с ИИ-агент

ами в своих организациях. На фоне такого распространения угрозы, которые описывает CertiK, приобретают системный масштаб: речь идёт не об уязвимости одного продукта, а о фундаментальном противоречии между скоростью внедрения ИИ-инструментов и уровнем их защищённости.

Мнение ИИ

С точки зрения истории атак на цепочки поставок ситуация с OpenClaw воспроизводит давно известный паттерн: злоумышленник не взламывает платформу напрямую, а публикует вредоносный инструмент в официальном маркетплейсе — и ждёт, пока пользователи сами его установят. Принципиальное отличие нынешней угрозы от предыдущих аналогов — масштаб привилегий: вредоносный «навык» получает одновременный доступ к файловой системе, токенам OAuth и браузерным расширениям, тогда как классические атаки такого типа, как правило, были нацелены на что-то одно.

Источник