SlowMist：配置錯誤的 Clawdbot 伺服器洩露 API 金鑰、聊天記錄及私鑰
SlowMist 及獨立研究者發現，配置錯誤的 Clawdbot 控制閘道和反向代理，可能令儀表板被互聯網掃描器（例如 Shodan）發現並在無需登入的情況下獲得存取。被公開的實例可能會洩漏私人聊天記錄、數百個 API 金鑰、機械人令牌、OAuth 及簽名金鑰，並允許攻擊者以用戶身份發送訊息或執行命令。進一步測試顯示，prompt-injection 攻擊可在數分鐘內從被公開的實例中提取私人加密金鑰。Clawdbot 具有廣泛的系統存取權限（讀寫檔案、執行命令、控制瀏覽器），增加了憑證被盜及遠端執行程式碼的風險。建議擁有者審核代理及閘道配置，使用 IP 白名單限制公開端口，並搜尋公開暴露的控制儀表板，以防資料被竊及未授權存取。對加密貨幣交易者而言，這對使用本地 AI 代理的錢包、託管服務及整合構成重大操作安全風險；建議立即審查任何具有錢包或基礎設施存取的 AI 整合。
Bearish
此漏洞增加了整合 Clawdbot 或類似本地 AI 代理的項目和服務的運營及託管風險。即時的現實影響包括憑證被盜、未經授權的交易，以及私鑰被洩露或遭到攻破——所有這些都可能導致資產損失及受影響服務的信任降低。短期內，交易者可能會透過減少對使用脆弱整合的項目的風險暴露，或出售與受影響服務相關的代幣來作出反應，從而造成價格向下的壓力。長期而言，若此類事件反覆發生，可提高整個行業對使用本地 AI 代理和託管整合的項目的風險溢價，可能在安全措施加強之前壓低估值。該消息並不直接影響主要協議的基本面，但對任何依賴暴露部署的代幣或服務構成實質性的運營漏洞，因此受影響項目的市場情緒很可能偏向負面。