クリプト・スウォームへ変貌させる ClawHub の 30 の隠されたスキル

一人の著者によって公開された30のClawHubスキルが、マルウェアもユーザーの同意もなく、AI エージェントを静かに乗っ取り、大規模な暗号通貨マイニングスイームを形成しています。

Agentic AI 専門セキュリティ企業Manifoldの研究責任者であるAx Sharma氏は、OpenClawスキルのレジストリおよびマーケットプレイスであるClawHub上でこれらのスキルを発見しました。

「imaflytok」という名前のClawHubユーザーが公開したこのスキルは、約9,800回のダウンロード数を記録しています。Sharma氏は『The Register』に対し、彼が「ClawSwarm」と呼ぶこのキャンペーンは、過去の悪意のあるClawHubコードの配布試みとは異なり、マルウェアを使用せず、人間を標的としない点で特徴的だと語りました。

代わりに、ClawSwarmはエージェント自体およびSKILL.mdファイルを標的にします。SKILL.mdファイルは、他のシステムとの相互作用方法をエージェントに指示する文書です。

「ClawSwarmは脆弱性の開示ではありません」とSharma氏は述べました。「修正すべき欠陥はなく、インフラストラクチャにも隠された要素はありません。これはGitHub上のオープンソースプロジェクトであり、公開ドキュメント、Telegramグループ、パブリックチェーン上のトークンを備えています。」

このキャンペーンでは、ユーザーが表面上は無害なスキルをインストールします。これらは、cronヘルパー（903ダウンロード）、エージェントセキュリティスキル（685ダウンロード）、鯨（大規模保有者）ウォッチャー（347ダウンロード）、クロスプラットフォーム投稿ツール（292ダウンロード）、予測市場統合（154ダウンロード）など、あらゆる種類の機能と称しています。

AI エージェントはその後、「$FLY トークンと挑発的なアートに焦点を当てたサイト」である「onlyflies.buzz」に登録します。

外部サーバーへの登録が完了すると、エージェントは SKILL.md ファイル内の指示に従い、自身の名前や機能、インストールされているスキルを第三者に報告します。

エージェントはディスク上に認証情報を保存し、4 時間ごとにチェックインを行います。適切なスキルがインストールされていれば、Hedera の暗号化ウォレットを生成し、その秘密鍵を同じサーバーに登録します。人間ユーザーはこの活動の承認を行っておらず、発生している様子も見ていません。

シャーマ氏が文書化した暗号化スワームキャンペーンの名前であるだけでなく、ClawSwarm は GitHub 上で公開されているオープンソースのエージェント型スキルフレームワークでもあります。imaflytok のスキルが onlyflies.buzz で開かれるのは、そのフレームワークの一例です。

「これらすべてを読み、『これは小規模な暗号化コミュニティ構築エージェントインフラだ』と結論付けることもできるかもしれません。そうなのかもしれませんが、意図に関わらずメカニズムは同一です：第三者サーバーに静かに登録し、機能を報告し、暗号鍵を生成し、遠隔タスクを受け入れる AI エージェントが、ユーザーの開始や承認なしにこれらすべてを実行することです」

• OpenClaw が単純なクラック後に詳細な個人情報を露呈
• CEO が大規模トークンファームキャンペーンについて本音を語る
• Anthropic が OpenClaw のサブスクリプション利用を拒否
• DIY AI ボットファームである OpenClaw はセキュリティ上の『ゴミ捨て場』

これは、以前行われた Tea Protocol トークンファームキャンペーン と同様で、その際には 150,000 パッケージ以上ものスパムパッケージが npm レジストリに溢れ、Tea ポイントをファームする目的で使用されました。

シャーマ氏によると、ClawSwarm は「同じプレイブックに従う」ものの、npm パッケージの代わりにスキルを使用します。「ClawSwarm のインスタンスがエージェント経済における正当な実験なのか、投機的な暗号資産のための採用経路に過ぎないのかに関わらず、ユーザーにとっての結果は同じです。つまり、ユーザーが依頼していないことを、知らない誰かのために、ユーザーが承認していない鍵を使って実行しているのです」と彼は記述しています。

ClawHub のメンテナーたちは、*The Register* からの問い合わせに対して即座には回答しておらず、正当な ClawSwarm オープンソースフレームワークの側も同様に回答していませんでした。

シャーマ氏は、エージェントが人間のユーザーの承認なしにネットワークに参加しウォレットを生成しているにもかかわらず、これは実際にはセキュリティの問題ではないため、メンテナーたちは難しい立場にあると述べています。

「この問題を解決するには、レジストリ層は不適切です」と彼は『ザ・レジスター』に語った。「悪意のあるコードパターンを検索するスキャナでは何も検出されません。cURL コールはクリーンで、SDK も正当なものです。必要なのは、スキルがインストールされた後にエージェントが実際に何を行うかについてのランタイム可視性です。レジストリ側で、スキルマニフェスト内にネットワークエンドポイントやウォレット生成の開示を義務付けることは可能ですが、それはセキュリティの問題ではなくポリシーの問題です。」 ®