CertiK चेतावनी: OpenClaw जैसे AI एजेंट से क्रिप्टो चोरी का खतरा

• CertiK ने गंभीर सुरक्षा खामियों के कारण सामान्य उपयोगकर्ताओं को OpenClaw AI एजेंट इंस्टॉल न करने की सलाह दी है।
• इस प्लेटफॉर्म के GitHub पर 300,000 से अधिक स्टार और 20 लाख मासिक सक्रिय उपयोगकर्ता हैं, लेकिन इसने भारी सुरक्षा जोखिम पैदा कर दिया है।
• शोधकर्ताओं ने इंटरनेट पर मौजूद 135,000 ओपनक्लॉ उदाहरणों की पहचान की है, जिनमें से कई रिमोट कोड निष्पादन और वॉलेट ड्रेनिंग के प्रति संवेदनशील हैं।

AI एजेंटों में सुरक्षा का संकट

CertiK के अनुसार, OpenClaw जैसे AI सहायकों का बढ़ता उपयोग, जो मैसेजिंग ऐप, ईमेल और फाइलों को स्वायत्त रूप से प्रबंधित कर सकते हैं, उपयोगकर्ताओं के लिए डेटा चोरी और सिस्टम कॉम्प्रोमाइज का बड़ा जोखिम पैदा करता है। नवंबर 2025 में लॉन्च होने के बाद से इसकी लोकप्रियता बढ़ी है, लेकिन यह सप्लाई चेन हमलों का एक मुख्य जरिया बन गया है। McKinsey के एक अध्ययन से पता चला है कि 62% संगठन पहले से ही AI एजेंटों के साथ प्रयोग कर रहे हैं, जो अक्सर सुरक्षा को नजरअंदाज कर देते हैं।

चूंकि OpenClaw बाहरी इनपुट और स्थानीय सिस्टम के बीच एक सेतु के रूप में कार्य करता है, यह लोकल गेटवे हाईजैकिंग जैसे हमलों के लिए रास्ता खोलता है। अब तक, इस प्लेटफॉर्म से संबंधित 280 GitHub सुरक्षा परामर्श और 100 कॉमन वल्नेरेबिलिटी एंड एक्सपोजर (CVE) दर्ज किए जा चुके हैं।

'दुर्भावनापूर्ण कौशल' का खतरा

पारंपरिक मैलवेयर के विपरीत, "दुर्भावनापूर्ण कौशल" (malicious skills) प्राकृतिक भाषा के माध्यम से AI के व्यवहार में हेरफेर करते हैं, जिससे सामान्य स्कैनिंग से बचना आसान हो जाता है। हमलावरों ने इन कौशलों को क्रिप्टो इकोसिस्टम से जुड़ी श्रेणियों में चतुराई से शामिल किया है, जैसे:

• Phantom और MetaMask वॉलेट ट्रैकर्स
• Polymarket टूल्स और Google Workspace एकीकरण
• इनसाइडर-वॉलेट खोजक उपकरण

इन हमलों का मुख्य उद्देश्य एक साथ कई ब्राउज़र एक्सटेंशन वॉलेट को निशाना बनाना है, जिनमें Trust Wallet, Coinbase Wallet, और OKX Wallet शामिल हैं। यह तकनीक फिशिंग और सोशल इंजीनियरिंग जैसे अन्य क्रिप्टो चोरी के तरीकों से काफी मिलती-जुलती है।

उद्योग की प्रतिक्रिया और सुरक्षा सुझाव

टोक्यो में आयोजित ClawCon कार्यक्रम में, OpenClaw के संस्थापक Peter Steinberg, जो हाल ही में OpenAI में शामिल हुए हैं, ने कहा कि वे सुरक्षा में सुधार पर काम कर रहे हैं। हालांकि, इस महीने की शुरुआत में नकली GitHub पोस्ट और फर्जी "CLAW" टोकन का उपयोग करके डेवलपर्स को ठगने के मामले सामने आए हैं।

CertiK ने सुरक्षा विशेषज्ञों के अलावा अन्य लोगों को अधिक सुरक्षित संस्करण आने तक OpenClaw के उपयोग से बचने की सलाह दी है। वहीं, साइबर सुरक्षा फर्म SlowMist ने मार्च में AI एजेंटों के लिए एक सुरक्षा ढांचा पेश किया है, जिसे ऑन-चेन संपत्तियों की सुरक्षा के लिए एक "डिजिटल किले" के रूप में प्रचारित किया जा रहा है।