SlowMist: Pelayan Clawdbot salah konfigurasi mendedahkan kunci API, log sembang dan kunci peribadi
SlowMist dan penyelidik bebas mendapati bahawa gateway kawalan Clawdbot dan reverse proxy yang salah konfigurasi boleh menyebabkan papan pemuka ditemui melalui pengimbas internet (contohnya Shodan) dan diakses tanpa log masuk. Instans yang didedahkan boleh membocorkan sejarah sembang peribadi, ratusan kunci API, token bot, kunci OAuth dan menandatangani, serta membolehkan penyerang menghantar mesej atau menjalankan arahan sebagai pengguna. Ujian lanjut menunjukkan serangan suntikan arahan boleh mengekstrak kunci kripto peribadi dalam beberapa minit pada instans yang didedahkan. Clawdbot mempunyai akses sistem yang luas (baca/tulis fail, jalankan arahan, kawal pelayar), meningkatkan risiko kecurian kelayakan dan pelaksanaan kod jauh. Pemilik digalakkan untuk mengaudit konfigurasi proksi dan gateway, mengehadkan port yang didedahkan dengan senarai putih IP, dan mencari papan pemuka Kawalan yang didedahkan kepada umum untuk mengelakkan kecurian data dan akses tidak dibenarkan. Bagi pedagang kripto, ini adalah risiko keselamatan operasi yang material bagi dompet, perkhidmatan kustodian dan integrasi yang menggunakan ejen AI tempatan; audit segera terhadap sebarang integrasi AI yang mempunyai akses ke dompet atau infrastruktur adalah disyorkan.
Bearish
Pelanggaran ini meningkatkan risiko operasi dan kustodian bagi projek dan perkhidmatan yang mengintegrasikan Clawdbot atau ejen AI tempatan yang serupa. Kesan nyata segera termasuk kecurian kelayakan, transaksi tidak sah, dan kompromi kunci peribadi — kesemua ini boleh menyebabkan kehilangan aset dan pengurangan kepercayaan terhadap perkhidmatan terjejas. Dalam jangka pendek, pedagang mungkin bertindak balas dengan mengurangkan pendedahan kepada projek yang menggunakan integrasi yang terdedah atau dengan menjual token yang berkaitan dengan perkhidmatan terjejas, menghasilkan tekanan harga ke bawah. Dalam jangka panjang, insiden berulang daripada kelas ini boleh meningkatkan premium risiko di seluruh industri bagi projek yang menggunakan ejen AI tempatan dan integrasi kustodian, berkemungkinan menekan penilaian sehingga amalan keselamatan diperketat. Berita ini tidak secara langsung menjejaskan asas protokol utama tetapi mewakili kerentanan operasi material bagi mana-mana token atau perkhidmatan yang bergantung pada deployment terdedah, jadi sentimen pasaran bagi projek terjejas kemungkinan negatif.