OpenClaw presenta vulnerabilidad de «autoataque»: ejecución errónea de comandos Bash que provoca la filtración de claves

GateNews

2026-03-05 12:31:11

BlockBeats informa que, el 5 de marzo, la empresa de seguridad Web3 GoPlus publicó que la herramienta de desarrollo de IA OpenClaw fue recientemente víctima de un incidente de seguridad de “autoataque”. Durante la ejecución de tareas automatizadas, el sistema, al llamar a comandos Shell para crear un issue en GitHub, construyó instrucciones Bash incorrectas, lo que provocó accidentalmente una inyección de comandos y la divulgación de una gran cantidad de variables de entorno sensibles.

En el incidente, la cadena generada por la IA contenía un set rodeado de comillas invertidas, que Bash interpretó como una sustitución de comandos y ejecutó automáticamente. Debido a que Bash, al ejecutar set sin argumentos, muestra todas las variables de entorno actuales, esto llevó a que más de 100 líneas de información sensible (incluyendo claves de Telegram, tokens de autenticación, etc.) se escribieran directamente en el issue de GitHub y se hicieran públicas.

Ver fuente

Aviso legal: La información de esta página puede proceder de terceros y no representa los puntos de vista ni las opiniones de Gate. El contenido que aparece en esta página es solo para fines informativos y no constituye ningún tipo de asesoramiento financiero, de inversión o legal. Gate no garantiza la exactitud ni la integridad de la información y no se hace responsable de ninguna pérdida derivada del uso de esta información. Las inversiones en activos virtuales conllevan riesgos elevados y están sujetas a una volatilidad significativa de los precios. Podrías perder todo el capital invertido. Asegúrate de entender completamente los riesgos asociados y toma decisiones prudentes de acuerdo con tu situación financiera y tu tolerancia al riesgo. Para obtener más información, consulta el Aviso legal.

Artículos relacionados

Alerta de Mist: vulnerabilidad de «fallo de copia en Linux» extremadamente explotable; se recomienda actualizar el kernel lo antes posible

Incidentes de seguridad

Según el director de seguridad de la información de SlowMist (23pds) publicado el 30 de abril en X, se encontró en sistemas Linux una vulnerabilidad lógica denominada “Copy Fail” (CVE-2026-31431), que puede ser explotada con gran facilidad; SlowMist recomienda a los usuarios actualizar rápidamente el kernel.

MarketWhisperhace1h

Aftermath Finance sufrió un ataque con pérdidas de 1,14 millones; Mysten Labs apoya el reembolso completo a los usuarios

Avance del proyecto Incidentes de seguridad

Según el análisis técnico del incidente de ataque publicado por GoPlus el 30 de abril y el comunicado oficial de Aftermath Finance, la plataforma de contratos perpetuos Aftermath Finance en la cadena Sui fue atacada el 29 de abril y sufrió pérdidas superiores a 1,14 millones de dólares; el equipo del proyecto anunció que, con el apoyo de Mysten Labs y la Fundación Sui, todos los usuarios recibirán una compensación total.

MarketWhisperhace2h

Aftermath Finance pierde más de $1.14M en un ataque el 29 de abril, prometiendo compensación total a los usuarios

Incidentes de seguridad

Según PANews, Aftermath Finance, una plataforma de futuros perpetuos en la blockchain Sui, perdió más de $1.14 millones en un ataque el 29 de abril. El análisis de GoPlus reveló que los atacantes explotaron una vulnerabilidad de discrepancia de símbolos en la función calculate_taker_fees al robar privilegios ADMIN mediante la función add_integrator_config para extraer repetidamente tokens.

GateNewshace3h

El protocolo SWEAT fue robado con 13.71 mil millones de tokens, se suspendieron los contratos y los fondos de los usuarios se recuperaron completamente

Incidentes de seguridad

De acuerdo con el informe posterior publicado después del ataque al protocolo SWEAT, los fondos de los usuarios robados en el incidente de vulnerabilidad ocurrido el miércoles ya se han recuperado por completo, y la operación del protocolo ha vuelto a la normalidad. La empresa de seguridad criptográfica Blockaid estima que el atacante robó aproximadamente 137.1 mil millones de tokens SWEAT; el equipo de SWEAT suspendió rápidamente el contrato de tokens y se coordinó con los exchanges y el proveedor de liquidez Rhea Finance, y finalmente restauró los saldos de todas las cuentas de los usuarios.

MarketWhisperhace4h

Polymarket Niega la Acusación de una Filtración de Datos Tras que un Hacker Alegara que se Comprometieron 300K+ Registros

Mercado de predicción Incidentes de seguridad

Según el comunicado oficial de Polymarket, la plataforma de mercados de predicción ha negado las acusaciones recientes de que sufrió una filtración de datos, diciendo que la información que se está difundiendo involucra endpoints públicos de API y datos de blockchain en la cadena. Un hacker que usa el seudónimo "xorcat" afirmó haber obtenido

GateNewshace12h

Comentar

0/400

Sin comentarios