SlowMist：配置错误的 Clawdbot 服务器暴露 API 密钥、聊天记录和私钥
区块链安全公司 SlowMist 与独立研究员发现，配置不当的 Clawdbot 控制网关和反向代理可能导致仪表盘被互联网扫描器（如 Shodan）发现并在无登录限制情况下访问。暴露的实例可能泄露私人聊天记录、数百个 API 密钥、机器人令牌、OAuth 与签名密钥，并允许攻击者以用户身份发送消息或执行命令。进一步测试显示，在暴露的实例上可通过 prompt 注入在数分钟内提取私有加密密钥。Clawdbot 拥有广泛的系统权限（读/写文件、运行命令、控制浏览器），这增加了凭证被窃取和远程代码执行的风险。建议运行者立即审计代理和网关配置，使用 IP 白名单限制暴露端口，并检查公开暴露的 Control 仪表盘以防止数据被窃取和未授权访问。对加密交易者而言，这构成对钱包、托管服务和使用本地 AI 代理的整合的重大运营安全风险；建议立即审计任何与钱包或基础设施相连的 AI 集成。
看跌
该漏洞提高了集成 Clawdbot 或类似本地 AI 代理的项目和服务的运营与托管风险。即时现实影响包括凭证被窃取、未授权交易和私钥泄露——这些都可能导致资产损失并削弱受影响服务的信任度。短期内，交易者可能通过减少对使用易受攻击集成的项目的敞口或抛售与受影响服务相关的代币来应对，造成下行价格压力。长期来看，此类事件的反复发生会提高整个行业对使用本地 AI 代理和托管集成项目的风险溢价，可能压低估值，直到安全实践得到加强。该消息并不直接影响主要协议的基本面，但对任何依赖暴露部署的代币或服务构成重大运营性风险，因此受影响项目的市场情绪可能偏负面。