OpenClaw apresenta vulnerabilidade de «auto-ataque»: execução indevida de comandos Bash que leva à divulgação de chaves

GateNews

2026-03-05 12:31:11

BlockBeats notícia, a 5 de março, a empresa de segurança Web3 GoPlus publicou que a ferramenta de desenvolvimento de IA OpenClaw foi recentemente exposta a um incidente de “auto-ataque” de segurança. Durante a execução de tarefas automatizadas, o sistema construiu comandos Bash incorretos ao chamar o comando Shell para criar uma Issue no GitHub, o que inadvertidamente acionou uma injeção de comandos, levando à divulgação de várias variáveis de ambiente sensíveis.

No incidente, a string gerada pela IA continha um set envolvido por crases, que foi interpretado pelo Bash como substituição de comando e executado automaticamente. Como o Bash, ao executar set sem argumentos, exibe todas as variáveis de ambiente atuais, isso resultou na escrita direta de mais de 100 linhas de informações sensíveis (incluindo chaves do Telegram, tokens de autenticação, etc.) na Issue do GitHub, tornando-as públicas.

A GoPlus recomenda que, em cenários de automação de IA para desenvolvimento ou testes, seja preferível usar chamadas de API em vez de concatenar comandos Shell diretamente, seguir o princípio de menor privilégio para isolar variáveis de ambiente, desativar modos de execução de alto risco e implementar mecanismos de revisão manual em operações críticas.

Ver fonte

Aviso: As informações nesta página podem ser provenientes de terceiros e não representam as opiniões ou pontos de vista da Gate. O conteúdo exibido nesta página é apenas para referência e não constitui aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou integridade das informações e não será responsável por quaisquer perdas decorrentes do uso dessas informações. Os investimentos em ativos virtuais apresentam altos riscos e estão sujeitos a uma volatilidade de preços significativa. Você pode perder todo o capital investido. Por favor, compreenda completamente os riscos envolvidos e tome decisões prudentes com base em sua própria situação financeira e tolerância ao risco. Para mais detalhes, consulte o Aviso Legal.

Bubblemaps: Token MYSTERY apresenta sinais de controle concentrado, 90 carteiras detêm 90% do fornecimento no lançamento

Incidentes de segurança Dados on-chain

De acordo com a plataforma de análise on-chain Bubblemaps, o token MYSTERY apresentou sinais de controle concentrado no lançamento, com a plataforma o descrevendo como um “golpe de livro-texto”. A Bubblemaps revelou que cerca de 90 carteiras acumularam aproximadamente 90% da oferta do token no lançamento e que têm sido

GateNews1h atrás

Atacantes do Wasabi Protocol transferem US$ 5,9 milhões em fundos roubados para o Tornado Cash em 5 de maio

Ações de fiscalização Incidentes de segurança Dados on-chain

De acordo com o analista on-chain Specter, os atacantes do protocolo Wasabi transferiram aproximadamente US$ 5,9 milhões em fundos roubados para o Tornado Cash em 5 de maio, concluindo uma operação centralizada de mistura de moedas. Os recursos seguem um caminho de transferência complexo em múltiplas etapas, envolvendo invasões anteriores na KelpDAO e

GateNews5h atrás

Ripple Compartilha Inteligência sobre Hacking da Coreia do Norte enquanto os Ataques Cripto Mudam para a Engenharia Social

Geopolítica Ações de fiscalização Incidentes de segurança

De acordo com o anúncio do Crypto ISAC na terça-feira, a Ripple está compartilhando inteligência interna sobre atores de ameaça ligados à Coreia do Norte com o setor de cripto, incluindo domínios associados a fraudes, endereços de carteira e indicadores de comprometimento de campanhas recentes de hacking. A medida vem após o D

GateNews7h atrás

ZachXBT: Tokenlon facilitou fundos do $45M Grupo Lazarus

Ações de fiscalização Incidentes de segurança Dados on-chain

Em 4 de maio de 2026, o investigador on-chain ZachXBT publicou um relatório detalhado acusando o agregador de exchange descentralizado Tokenlon de facilitar a movimentação de fundos ilícitos ligados ao Grupo Lazarus, o cartel de hackers norte-coreano associado a grandes roubos de cripto. De acordo com o relatório de ZachXBT's

CryptoFrontier7h atrás

Aave tenta bloquear a apreensão de US$ 71 milhões em ETH na Arbitrum após exploração do rsETH

ethereum news Ações de fiscalização Incidentes de segurança

Aave entrou com uma contestação judicial para bloquear uma notificação cautelar de restrição de Nova York que congelou US$ 71 milhões em ETH na Arbitrum após o exploit do rsETH. O credor argumenta que os fundos congelados pertencem a usuários do protocolo e não a credores ligados à Coreia do Norte, como alegado pelas autoridades. A ordem de restrição

GateNews8h atrás

Comentário

0/400

Sem comentários